ui/gtk/follow_ssl.c

   1 /* follow_ssl.c
   2  * SSL specific routines for following traffic streams
   3  *
   4  * $Id$
   5  *
   6  * Wireshark - Network traffic analyzer
   7  * By Gerald Combs <gerald@wireshark.org>
   8  * Copyright 1998 Gerald Combs
   9  *
  10  * This program is free software; you can redistribute it and/or
  11  * modify it under the terms of the GNU General Public License
  12  * as published by the Free Software Foundation; either version 2
  13  * of the License, or (at your option) any later version.
  14  *
  15  * This program is distributed in the hope that it will be useful,
  16  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  17  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  18  * GNU General Public License for more details.
  19  *
  20  * You should have received a copy of the GNU General Public License
  21  * along with this program; if not, write to the Free Software
  22  * Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA  02110-1301,
  23  * USA.
  24  */
  25
  26 #ifdef HAVE_CONFIG_H
  27 #  include <config.h>
  28 #endif
  29 #include <stdio.h>
  30 #include <string.h>
  31
  32
  33 #ifdef HAVE_UNISTD_H
  34 #include <unistd.h>
  35 #endif
  36
  37 #include <ctype.h>
  38
  39 #include <gtk/gtk.h>
  40
  41 #include <epan/follow.h>
  42 #include <epan/dissectors/packet-ipv6.h>
  43 #include <epan/prefs.h>
  44 #include <epan/addr_resolv.h>
  45 #include <epan/epan_dissect.h>
  46 #include <epan/filesystem.h>
  47 #include <epan/tap.h>
  48
  49 #include <../alert_box.h>
  50 #include <../simple_dialog.h>
  51 #include <../util.h>
  52
  53 #include "gtkglobals.h"
  54 #include "ui/gtk/color_utils.h"
  55 #include "ui/gtk/main.h"
  56 #include "ui/gtk/dlg_utils.h"
  57 #include "ui/gtk/file_dlg.h"
  58 #include "ui/gtk/keys.h"
  59 #include "ui/gtk/gui_utils.h"
  60 #include "ui/gtk/font_utils.h"
  61 #include "ui/gtk/follow_ssl.h"
  62 #include "ui/gtk/follow_stream.h"
  63 #include "ui/gtk/utf8_entities.h"
  64
  65 #ifdef SSL_PLUGIN
  66 #include "packet-ssl-utils.h"
  67 #else
  68 #include <epan/dissectors/packet-ssl-utils.h>
  69 #endif
  70
  71
  72 typedef struct {
  73     gboolean is_server;
  74     StringInfo data;
  75 } SslDecryptedRecord;
  76
  77 static int
  78 ssl_queue_packet_data(void *tapdata, packet_info *pinfo, epan_dissect_t *edt _U_, const void *ssl)
  79 {
  80     follow_info_t* follow_info = tapdata;
  81     SslDecryptedRecord* rec;
  82     SslDataInfo* appl_data;
  83     gint total_len;
  84     guchar *p;
  85     int proto_ssl = (long) ssl;
  86     SslPacketInfo* pi = p_get_proto_data(pinfo->fd, proto_ssl);
  87
  88     /* skip packet without decrypted data payload*/
  89     if (!pi || !pi->appl_data)
  90         return 0;
  91
  92     /* compute total length */
  93     total_len = 0;
  94     appl_data = pi->appl_data;
  95     do {
  96       total_len += appl_data->plain_data.data_len;
  97       appl_data = appl_data->next;
  98     } while (appl_data);
  99
 100     /* compute packet direction */
 101     rec = g_malloc(sizeof(SslDecryptedRecord) + total_len);
 102
 103     if (follow_info->client_port == 0) {
 104         follow_info->client_port = pinfo->srcport;
 105         COPY_ADDRESS(&follow_info->client_ip, &pinfo->src);
 106     }
 107     if (ADDRESSES_EQUAL(&follow_info->client_ip, &pinfo->src) &&
 108         follow_info->client_port == pinfo->srcport)
 109         rec->is_server = 0;
 110     else
 111         rec->is_server = 1;
 112
 113     /* update stream counter */
 114     follow_info->bytes_written[rec->is_server] += total_len;
 115
 116     /* extract decrypted data and queue it locally */
 117     rec->data.data = (guchar*)(rec + 1);
 118     rec->data.data_len = total_len;
 119     appl_data = pi->appl_data;
 120     p = rec->data.data;
 121     do {
 122       memcpy(p, appl_data->plain_data.data, appl_data->plain_data.data_len);
 123       p += appl_data->plain_data.data_len;
 124       appl_data = appl_data->next;
 125     } while (appl_data);
 126     follow_info->payload = g_list_append(
 127         follow_info->payload,rec);
 128
 129     return 0;
 130 }
 131
 132 extern gboolean
 133 packet_is_ssl(epan_dissect_t* edt);
 134
 135
 136 /* Follow the SSL stream, if any, to which the last packet that we called
 137    a dissection routine on belongs (this might be the most recently
 138    selected packet, or it might be the last packet in the file). */
 139 void
 140 follow_ssl_stream_cb(GtkWidget * w _U_, gpointer data _U_)
 141 {
 142     GtkWidget   *filter_te, *filter_cm;
 143     gchar       *follow_filter;
 144     const gchar *previous_filter;
 145     int         filter_out_filter_len, previous_filter_len;
 146     const char  *hostname0, *hostname1;
 147     char        *port0, *port1;
 148     gchar       *server_to_client_string = NULL;
 149     gchar       *client_to_server_string = NULL;
 150     gchar       *both_directions_string = NULL;
 151     follow_stats_t stats;
 152     follow_info_t *follow_info;
 153     GString*    msg;
 154
 155     /* we got ssl so we can follow */
 156     if (!packet_is_ssl(cfile.edt)) {
 157         simple_dialog(ESD_TYPE_ERROR, ESD_BTN_OK,
 158                       "Error following stream.  Please make\n"
 159                       "sure you have an SSL packet selected.");
 160         return;
 161     }
 162
 163     follow_info = g_new0(follow_info_t, 1);
 164     follow_info->follow_type = FOLLOW_SSL;
 165
 166     /* Create a new filter that matches all packets in the SSL stream,
 167        and set the display filter entry accordingly */
 168     reset_tcp_reassembly();
 169     follow_filter = build_follow_filter(&cfile.edt->pi);
 170     if (!follow_filter)
 171     {
 172         simple_dialog(ESD_TYPE_ERROR, ESD_BTN_OK,
 173                       "Error creating filter for this stream.\n"
 174                       "A network layer header is needed");
 175         g_free(follow_info);
 176         return;
 177     }
 178
 179     /* Set the display filter entry accordingly */
 180         filter_cm = g_object_get_data(G_OBJECT(top_level), E_DFILTER_CM_KEY);
 181         filter_te = gtk_bin_get_child(GTK_BIN(filter_cm));
 182
 183     /* needed in follow_filter_out_stream(), is there a better way? */
 184     follow_info->filter_te = filter_te;
 185
 186     /* save previous filter, const since we're not supposed to alter */
 187     previous_filter =
 188         (const gchar *)gtk_entry_get_text(GTK_ENTRY(filter_te));
 189
 190     /* allocate our new filter. API claims g_malloc terminates program on failure */
 191     /* my calc for max alloc needed is really +10 but when did a few extra bytes hurt ? */
 192     previous_filter_len = previous_filter?(int)strlen(previous_filter):0;
 193     filter_out_filter_len = (int)strlen(follow_filter) + previous_filter_len + 16;
 194     follow_info->filter_out_filter = (gchar *)g_malloc(filter_out_filter_len);
 195
 196     /* append the negation */
 197     if(previous_filter_len) {
 198         g_snprintf(follow_info->filter_out_filter, filter_out_filter_len,
 199         "%s and !(%s)", previous_filter, follow_filter);
 200     } else {
 201         g_snprintf(follow_info->filter_out_filter, filter_out_filter_len,
 202         "!(%s)", follow_filter);
 203     }
 204
 205     /* data will be passed via tap callback*/
 206     msg = register_tap_listener("ssl", follow_info, follow_filter, 0,
 207         NULL, ssl_queue_packet_data, NULL);
 208     if (msg)
 209     {
 210         simple_dialog(ESD_TYPE_ERROR, ESD_BTN_OK,
 211             "Can't register ssl tap: %s\n",msg->str);
 212         g_free(follow_info->filter_out_filter);
 213         g_free(follow_info);
 214         g_free(follow_filter);
 215         return;
 216     }
 217     gtk_entry_set_text(GTK_ENTRY(filter_te), follow_filter);
 218
 219     /* Run the display filter so it goes in effect - even if it's the
 220        same as the previous display filter. */
 221     main_filter_packets(&cfile, follow_filter, TRUE);
 222
 223     /* Free the filter string, as we're done with it. */
 224     g_free(follow_filter);
 225
 226     remove_tap_listener(follow_info);
 227
 228     /* Stream to show */
 229     follow_stats(&stats);
 230
 231     if (stats.is_ipv6) {
 232             struct e_in6_addr ipaddr;
 233             memcpy(&ipaddr, stats.ip_address[0], 16);
 234             hostname0 = get_hostname6(&ipaddr);
 235             memcpy(&ipaddr, stats.ip_address[0], 16);
 236             hostname1 = get_hostname6(&ipaddr);
 237     } else {
 238             guint32 ipaddr;
 239             memcpy(&ipaddr, stats.ip_address[0], 4);
 240             hostname0 = get_hostname(ipaddr);
 241             memcpy(&ipaddr, stats.ip_address[1], 4);
 242             hostname1 = get_hostname(ipaddr);
 243     }
 244
 245     port0 = get_tcp_port(stats.port[0]);
 246     port1 = get_tcp_port(stats.port[1]);
 247
 248     follow_info->is_ipv6 = stats.is_ipv6;
 249
 250    /* Both Stream Directions */
 251     both_directions_string = g_strdup_printf("Entire conversation (%u bytes)", follow_info->bytes_written[0] + follow_info->bytes_written[1]);
 252
 253     if(follow_info->client_port == stats.port[0]) {
 254             server_to_client_string =
 255                     g_strdup_printf("%s:%s " UTF8_RIGHTWARDS_ARROW " %s:%s (%u bytes)",
 256                                     hostname0, port0,
 257                                     hostname1, port1,
 258                                     follow_info->bytes_written[0]);
 259
 260             client_to_server_string =
 261                     g_strdup_printf("%s:%s " UTF8_RIGHTWARDS_ARROW " %s:%s (%u bytes)",
 262                                     hostname1, port1,
 263                                     hostname0, port0,
 264                                     follow_info->bytes_written[1]);
 265     } else {
 266             server_to_client_string =
 267                     g_strdup_printf("%s:%s " UTF8_RIGHTWARDS_ARROW " %s:%s (%u bytes)",
 268                                     hostname1, port1,
 269                                     hostname0, port0,
 270                                     follow_info->bytes_written[0]);
 271
 272             client_to_server_string =
 273                     g_strdup_printf("%s:%s " UTF8_RIGHTWARDS_ARROW " %s:%s (%u bytes)",
 274                                     hostname0, port0,
 275                                     hostname1, port1,
 276                                     follow_info->bytes_written[1]);
 277     }
 278
 279     follow_stream("Follow SSL Stream", follow_info, both_directions_string,
 280                   server_to_client_string, client_to_server_string);
 281
 282     g_free(both_directions_string);
 283     g_free(server_to_client_string);
 284     g_free(client_to_server_string);
 285 }
 286
 287 #define FLT_BUF_SIZE 1024
 288
 289 /*
 290  * XXX - the routine pointed to by "print_line_fcn_p" doesn't get handed lines,
 291  * it gets handed bufferfuls.  That's fine for "follow_write_raw()"
 292  * and "follow_add_to_gtk_text()", but, as "follow_print_text()" calls
 293  * the "print_line()" routine from "print.c", and as that routine might
 294  * genuinely expect to be handed a line (if, for example, it's using
 295  * some OS or desktop environment's printing API, and that API expects
 296  * to be handed lines), "follow_print_text()" should probably accumulate
 297  * lines in a buffer and hand them "print_line()".  (If there's a
 298  * complete line in a buffer - i.e., there's nothing of the line in
 299  * the previous buffer or the next buffer - it can just hand that to
 300  * "print_line()" after filtering out non-printables, as an
 301  * optimization.)
 302  *
 303  * This might or might not be the reason why C arrays display
 304  * correctly but get extra blank lines very other line when printed.
 305  */
 306 frs_return_t
 307 follow_read_ssl_stream(follow_info_t *follow_info,
 308                        gboolean (*print_line_fcn_p)(char *, size_t, gboolean, void *),
 309                        void *arg)
 310 {
 311     guint32             global_client_pos = 0, global_server_pos = 0;
 312     guint32             server_packet_count = 0;
 313     guint32             client_packet_count = 0;
 314     guint32             *global_pos;
 315     gboolean            skip;
 316     GList* cur;
 317     frs_return_t        frs_return;
 318
 319     for (cur = follow_info->payload; cur; cur = g_list_next(cur)) {
 320         SslDecryptedRecord* rec = cur->data;
 321         skip = FALSE;
 322         if (!rec->is_server) {
 323             global_pos = &global_client_pos;
 324             if (follow_info->show_stream == FROM_SERVER) {
 325                 skip = TRUE;
 326             }
 327         } else {
 328             global_pos = &global_server_pos;
 329             if (follow_info->show_stream == FROM_CLIENT) {
 330                 skip = TRUE;
 331             }
 332         }
 333
 334         if (!skip) {
 335             size_t nchars = rec->data.data_len;
 336             gchar *buffer = g_memdup(rec->data.data, (guint) nchars);
 337
 338             frs_return = follow_show(follow_info, print_line_fcn_p, buffer, nchars,
 339                                      rec->is_server, arg, global_pos,
 340                                      &server_packet_count, &client_packet_count);
 341             g_free(buffer);
 342             if(frs_return == FRS_PRINT_ERROR)
 343                     return frs_return;
 344         }
 345     }
 346
 347     return FRS_OK;
 348 }