0x55aa的博客

FinalizeRunMode,检查了一下daemon和运行的模式是否匹配，然后模式保存到全局变量run_mode中。 StartInternalRunMode,这个是判断是否是一些打印相关的模式，如果是这些模式，调用相关的方法，这些方法就不看了。比如列出模式，打印软件帮助等这类的模式。 GlobalsInitPreConfig,先调用TimeInit，初始化了一个当前时间的自旋锁current_time_spinlock，具体干啥的还不知道，调用tzset设置时区变量。之后调用SupportFastPatternForSigMatchTypes，初始化sm_fp_support_smlist_list，是个链表，默认保存了DETECT_SM_LIST_PMATCH，优先级为3，具体不知道这个是干啥的。之后调用SCThresholdConfGlobalInit，我看主要是初始化了解析Thresholding的正则表达式。 LoadYamlConfig,加载配置文件，调用ConfYamlLoadFile，这个里边主要利用了yaml库解析配置文件，没查这个库具体函数，函数名很容易知道是干啥的。保存了一下配置文件的目录，主要是调用ConfYamlParse，把配置读入ConfNode结构的树里边，有父节点，然后是个链表。所以也不单纯是个树。没太仔细看具体解析流程，单纯就是读到树里了。 typedef struct ConfNode_ { char *name; char *val; int is_seq; /**< Flag that sets this nodes value as final. */ int final; struct ConfNode_ *parent; TAILQ_HEAD(, ConfNode_) head; TAILQ_ENTRY(ConfNode_) next; } ConfNode; ConfDump模式单纯就是把刚读如的链表树再打印一下。 查了一下“vlan.use-for-tracking”的值，这个参数看了一下配置文件介绍，基本用不到。 ConfGetBool获取配置中的bool值，先调用ConfGetValue获取值，里面通过ConfGetNode通过name找到node，key通过“.”进行分割，然后ConfNodeLookupChild查找当前等级的链表。看到这里发现，用c实现个json解析啥的好像也不太难啊。 SetupUserMode(&suricata);这个是设置非system模式的情况下，把日志和数据目录设置到当前目录，函数没跟进取，暂时不看了，这些模式不是看的重点。 SCLogLoadConfig应该是设置日志了，通过verbose设置等级，verbose通过参数有几个v来设置，等级为SC_LOG_NOTICE + verbose，看了一下SCLogLevel, 最高可以有5个v。获取logging.outputs的配置保存到outputs,SCLogAllocLogInitData初始化SCLogInitData,这个数据结构主要保存日志等级，格式，写到什么地方等信息。获取配置文件里"logging.default-log-level"配置的日志等级，然后跟参数里的比较，取等级最低的，保存到global_log_level。如果等级跟配置文件一致，使用配置文件的format。将outputs配置文件保存到变量，这些主要是日志的方式，console/file/syslog，没有细看，看了一下file的，这个用的多，调用SCLogInitFileOPIface,append模式打开文件，方式里面有个锁变量，注释说用来切割日志时候用的，然后调用OutputRegisterFileRotationFlag，把需要分割日志的这个flag都保存到output_file_rotation_flags里了，这个也是个链表。这里暂时有个疑问，我看flag初始化的时候没设置值，不知道后面会不会设置，还是我漏了。这里保存的是指针，可能不是漏了。日志等级还比较了outputs里的等级，取最低等级。然后调用SCLogInitLogModule，这个在之前调用过，之前可能是终端输出，现在可以配置文件了。 LogVersion，打印版本。 UtilCpuPrintSummary，打印cpu个数信息。 ParseInterfacesList，这里是看启动参数是否设置网口，如果设置会在配置里加一个xxx.live-interface的配置项，没设置就调用LiveBuildDeviceList，参数是模式，也是配置文件里的顶级名称，使用这个参数获取配置，如果interface为default,则忽略，这个是默认配置，其他情况调用LiveRegisterDeviceName，把接口插入队列，这个跟参数解析一致。所以看起来好像启动参数不加网口也可以啊。