snort 之 ProcessTcp（）



int ProcessTcp(Stream5LWSession *lwssn,Packet *p, TcpDataBlock *tdb,

       Stream5TcpPolicy *s5TcpPolicy)

   lwssn :
当前的流

   p   
：当前的包

   tdb 
：包含 seq 
ack  end_seq win ts

   s5TcpPolicy
：流的规则参数，如最大字节数，段数，超时时间

{

   
tcpssn= (TcpSession *)lwssn->proto_specific_data->data;

   
如果tcpssn== NULL

   
{

       判断该包是否需要处理，不需要处理则返回；

       如果(SYN , ! ACK)

       如果(SYN
或者ACK)

       如果(ACK, !RST,
STREAM5_STATE_SYN_ACK)

       如果(p->dsize >
0)&& (!require3Way || midstream_allowed)

       如果(p->dsize ==
0)

   
}

   else //tcpssn!=NULL

   
{

       如果流的状态不为STREAM5_STATE_ESTABLISHED

       那么
：

           如果1：(TH_SYN|TH_ACK),状态为STREAM5_STATE_NONE,那么进入，|=
STREAM5_STATE_SYN_ACK;

           如果2：TH_ACK，状态为STREAM5_STATE_SYN_ACK，那么进入|=
STREAM5_STATE_ACK |STREAM5_STATE_ESTABLISHED；

   
}

 

   
判断并设置包来自于客户端还是服务端；

   
包来自于服务端，设定流的状态；

   
包来自于客户端，设定流的状态；

   
流的状态为RESET，并且收到SYN，对已收到的数据包检测，释放原来的空间，对新的包，1.如果为RST,
则不做处理，直接丢弃该包；2.如果为SYN, !ACK,
建流；3.如果为SYN, ACK,建流；

   talker或者listener的flags置位TF_FORCE_FLUSH，则该流被检测；

   
如果该流被忽略，则该包不被检测；

   
如果包带数据，又有SYN标志，则判断该包是否来自操作系统MACOS,其他的不做处理；

   
如果到此处tcpssn
为空，则退出该函数，不做处理；

   
处理没有进入established状态的流，收到ACT, RST,SYN, ECE等包的情况的处理，进入该流程，执行完后都退出该函数，没有进一步的检测；

   
处理wscale

   
处理timestamp;

 

   //执行到此处，流已经是进入established状态下的了；

   
收到的包是RST，则该流进行检测，退出；如果不是RST，则判断包的序号，如果乱序包，则丢弃；

 

   
更新流的最后一个包的时间戳；

   
如果在已经是established流上又收到SYN，则处理重复的SYN；

   
检测流的窗口（tdb->win > listener->tcp_policy->max_window）是否在限制的范围内，超出范围则丢弃；

 

   
处理ACK包，在各个状态下调用UpdateSsn()，更新tdb：包含
seq ack end_seq wints

 

   
如果包带的数据大于0，1.(TCP_STATE_FIN_WAIT_2 == talker->s_mgr.state
||

          TCP_STATE_TIME_WAIT == talker->s_mgr.state)，丢弃该包；
2. (TCP_STATE_CLOSED == talker->s_mgr.state)，丢弃该包；3. (p->tcph->th_flags != 0) || (s5TcpPolicy->policy ==STREAM_POLICY_LINUX)，处理该包进行检测，否则丢弃该包；

 

   
处理FIN包，在各个状态下更新流的状态（更新流状态另外一个地方是收到ACK包后的处理）；

   

   dupfin:状态下，流的状态为(talker->s_mgr.state==
TCP_STATE_TIME_WAIT && listener->s_mgr.state == TCP_STATE_CLOSED)||

      (listener->s_mgr.state == TCP_STATE_TIME_WAIT &&talker->s_mgr.state == TCP_STATE_CLOSED) ||

      (listener->s_mgr.state == TCP_STATE_TIME_WAIT &&talker->s_mgr.state == TCP_STATE_TIME_WAIT)

以上的状态为三种，主动关闭，被动关闭，同时关闭，
处理服务端流的检测，处理客户端流的检测。

}