默认suricata的http body是单独输出的，现在我们想在eve.json输出http请求的时候输出请求和响应体。
下载源码
这儿下载的是5.0.3，好像最新源码和这个版本的不太相同，这儿只是做个笔记。
输出httpBody
- 修改源码
打开 src目录下 output-json-http.c 文件（以下源码文件皆在src目录下)。找到 JsonHttpLogJSON 方法。将此方法改为：
static void JsonHttpLogJSON(JsonHttpLogThread *aft, json_t *js, htp_tx_t *tx, uint64_t tx_id)
{
LogHttpFileCtx *http_ctx = aft->httplog_ctx;
json_t *hjs = json_object();
if (hjs == NULL) {
return;
}
JsonHttpLogJSONBasic(hjs, tx);
/* log custom fields if configured */
if (http_ctx->fields != 0)
JsonHttpLogJSONCustom(http_ctx, hjs, tx);
if (http_ctx->flags & LOG_HTTP_EXTENDED)
JsonHttpLogJSONExtended(hjs, tx);
if (http_ctx->flags & LOG_HTTP_REQ_HEADERS)
JsonHttpLogJSONHeaders(hjs, LOG_HTTP_REQ_HEADERS, tx);
if (http_ctx->flags & LOG_HTTP_RES_HEADERS)
JsonHttpLogJSONHeaders(hjs, LOG_HTTP_RES_HEADERS, tx);
//加入下面7行代码
if (tx) {
HtpTxUserData *htud = (HtpTxUserData *)htp_tx_get_user_data(tx);
if (htud != NULL) {
BodyPrintableBuffer(hjs, &htud->request_body, "http_request_body");
BodyPrintableBuffer(hjs, &htud->response_body, "http_response_body");
}
}
json_object_set_new(js, "http", hjs);
}
- 查看结果
这块我访问了下百度，结果如下：
cat eve.json
image.png
响应体里面应该是把汉语变成.................了
- 解决中文无法显示问题
上述可知，输出的结果中把中文变成...了。现在查看源码文件 output-json-http.c
上述加入的函数为BodyPrintableBuffer()，查看此函数定义：
image.png
可知该函数调用了PrintStringsToBuffer() 方法。全局搜索下，发现在 util-print.c（util-print.h是对应的头文件）中找到该函数的定义。
image.png
点入查看该函数，发现在此函数中对输出进行了判断，如果字符串为可打印字符(isprint函数)或者换行等字符则输出，否则输出'.'
image.png
汉字'中'的ASCII码是4e2d，验证下是否为可打印字符
image.png
可见中文为不可打印字符。替换上述代码为：
void PrintStringsToBuffer(uint8_t *dst_buf, uint32_t *dst_buf_offset_ptr, uint32_t dst_buf_size,
const uint8_t *src_buf, const uint32_t src_buf_len)
{
uint32_t ch = 0;
for (ch = 0; ch < src_buf_len; ch++) {
// PrintBufferData((char *)dst_buf, dst_buf_offset_ptr, dst_buf_size,
// "%c",
// (isprint((uint8_t)src_buf[ch]) ||
// src_buf[ch] == '\n' ||
// src_buf[ch] == '\r') ? (uint8_t)src_buf[ch] : '.');
PrintBufferData((char *)dst_buf, dst_buf_offset_ptr, dst_buf_size,
"%c",
(uint8_t)src_buf[ch]);
}
dst_buf[dst_buf_size - 1] = 0;
return;
}
保存后重新编译安装，查看效果如下：
image.png
修改请求头及响应头格式
为了减少后期工作，想直接把源码输出的格式改成想要的 。修改output-json-http.c的JsonHttpLogJSONHeaders方法如下：
static void JsonHttpLogJSONHeaders(json_t *js, uint32_t direction, htp_tx_t *tx) {
htp_table_t *headers = direction & LOG_HTTP_REQ_HEADERS ?
tx->request_headers : tx->response_headers;
char name[MAX_SIZE_HEADER_NAME] = {0};
char value[MAX_SIZE_HEADER_VALUE] = {0};
char head[6];
size_t n = htp_table_size(headers);
if (direction & LOG_HTTP_REQ_HEADERS) {
strcpy(head, "_ReqH");
} else {
strcpy(head, "_ResH");
}
for (size_t i = 0; i < n; i++) {
htp_header_t *h = htp_table_get_index(headers, i, NULL);
if (h == NULL) {
continue;
}
size_t size_name = bstr_len(h->name) < MAX_SIZE_HEADER_NAME - 1 ?
bstr_len(h->name) : MAX_SIZE_HEADER_NAME - 1;
memcpy(name, bstr_ptr(h->name), size_name);
name[size_name] = '\0';
size_t size_value = bstr_len(h->value) < MAX_SIZE_HEADER_VALUE - 1 ?
bstr_len(h->value) : MAX_SIZE_HEADER_VALUE - 1;
memcpy(value, bstr_ptr(h->value), size_value);
value[size_value] = '\0';
strcat(name, head);
json_object_set_new(js,name, SCJsonString(value));
}
}
最后结果为：这儿就是把请求头和响应头都单独拿出来了，没有用数组。请求头都以_ReqH结尾。响应头皆以_ResH结尾
image.png
