Question

我正在尝试使用pynids库解析多个pcap文件，但是只能解析第一个文件。我看到libnids中有一个函数nids_unregister_tcp，这会有帮助吗？我在pynids中找不到这个功能。

import nids


def handle_tcp_stream(tcp):
    print "In handle_tcp_stream"


def extract(pcap_file):
    nids.param("tcp_workarounds", 1)
    nids.param("pcap_filter", "tcp")         # bpf restrict to TCP only, note
    nids.param("scan_num_hosts", 0)          # disable portscan detection
    nids.chksum_ctl([('0.0.0.0/0', False)])  # disable checksumming

    nids.param("filename", pcap_file)
    nids.init()
    nids.register_tcp(handle_tcp_stream)

    try:
        nids.run()
    except Exception, e:
        print "Exception ", pcap_file + " ", e


def main():
    extract("a.pcap")
    print "Done"
    extract("a.pcap")


if __name__ == "__main__":
    main()

这是输出：

In handle_tcp_stream
In handle_tcp_stream
In handle_tcp_stream
In handle_tcp_stream
Done

Answer 1

看起来绑定写得不正确。

Perl对手过去也遇到过这个问题：https://rt.cpan.org/Public/Bug/Display.html?id=51107

基本上可以概括为：

... libnids清理并在run（）后删除其回调结束。

这里的错误似乎与https://github.com/MITRECND/pynids/blob/master/nidsmodule.c#L533

类似

我可能会弄错，但else会导致它在之前定义FP时错过实际注册。应始终执行else正文。所以快速解决方法是：

https://github.com/soulseekah/pynids/commit/8d420e88dbdc340f309db9db7c3b9c2508b1cb80

我的Python API有点生疏，但我认为PyObject_Del应该是Py_DECREF。虽然它也适用于删除。

观看https://github.com/MITRECND/pynids/pull/2了解更多进展，我相信他们会找到更正确的解决方法。与此同时，我所做的应该暂时正常工作。

太糟糕了，没有任何单元测试可以查看是否一切正常。

在多个pcaps上使用pynids

1 个答案: