packet-ajp13.c

   1 /* packet-ajp13.c
   2  * Routines for AJP13 dissection
   3  * Copyright 2002, Christopher K. St. John <cks@distributopia.com>
   4  *
   5  * $Id: packet-ajp13.c,v 1.10 2003/03/26 21:47:34 guy Exp $
   6  *
   7  * Ethereal - Network traffic analyzer
   8  * By Gerald Combs <gerald@ethereal.com>
   9  * Copyright 1998 Gerald Combs
  10  *
  11  * This program is free software; you can redistribute it and/or
  12  * modify it under the terms of the GNU General Public License
  13  * as published by the Free Software Foundation; either version 2
  14  * of the License, or (at your option) any later version.
  15  *
  16  * This program is distributed in the hope that it will be useful,
  17  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  18  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  19  * GNU General Public License for more details.
  20  *
  21  * You should have received a copy of the GNU General Public License
  22  * along with this program; if not, write to the Free Software
  23  * Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
  24  */
  25
  26 #ifdef HAVE_CONFIG_H
  27 # include "config.h"
  28 #endif
  29
  30 #include <stdio.h>
  31 #include <stdlib.h>
  32 #include <string.h>
  33
  34 #include <glib.h>
  35
  36 #include <epan/packet.h>
  37 #include <epan/conversation.h>
  38 #include "packet-tcp.h"
  39
  40
  41
  42 /* IMPORTANT IMPLEMENTATION NOTES
  43  *
  44  * You need to be looking at: jk/doc/AJP13.html in the
  45  * jakarta-tomcat-connectors repository.
  46  *
  47  * If you're an ethereal dissector guru, then you can skip the rest of
  48  * this. I'm writing it all down because I've written 3 dissectors so
  49  * far and every time I've forgotten it all and had to re-learn it
  50  * from scratch. Not this time, damnit.
  51  *
  52  * Dissector routines get called in two phases:
  53  *
  54  * The first phase is an in-order traversal of every incoming
  55  * frame. Since we know it's in-order, we can set up a "conversational
  56  * state" that records context-sensitive stuff like "was there a
  57  * content-length in the previous request". During this first pass
  58  * through the data, the "tree" parameter might be null, or not. For
  59  * the regular gui-based ethereal, it's null, which means we don't
  60  * actually display the dissected data in the gui quite yet. For the
  61  * text based interface, we might do the parsing and display both in
  62  * this first pass.
  63  *
  64  * The second phase happens when the data is actually displayed. In
  65  * this pase the "tree" param is non-null, so you've got a hook to
  66  * hang the parsed-out display data on. Since there might be gigabytes
  67  * worth of capture data, the display code only calls the dissector
  68  * for the stuff the user actually clicks on. So you have to assume
  69  * the dissector is getting called on random frames, you can't depend
  70  * on ordering anymore.
  71  *
  72  * But some parts of the AJP13 capture stream are context sensitive.
  73  * That's no big deal during the first in-order pass, but the second
  74  * phase requires us to display any random frame correctly. So during
  75  * the first in-order phase we create a per-frame user data structure
  76  * and attach it to the frame using p_add_proto_data.
  77  *
  78  * Since AJP13 is a TCP/IP based protocol, writing a dissector for it
  79  * requires addressing several other issues:
  80  *
  81  * 1) TCP/IP segments can get retransmitted or be sent out of
  82  * order. Users don't normally care, because the low-level kernel
  83  * networking code takes care of reassembling them properly. But we're
  84  * looking at raw network packets, aren't we? The stuff on the
  85  * wire. Ethereal has been getting better and better at helping
  86  * dissectors with this. I'm a little fuzzy on the details, but my
  87  * uderstanding is that ethereal now contains a fairly substantial
  88  * user-space TCP/IP stack so it can re-assemble the data. But I might
  89  * be wrong. Since AJP13 is going to be used either on the loopback
  90  * interface or on a LAN, it isn't likely to be a big issues anyway.
  91  *
  92  * 2) AJP13 packets (PDU's or protocol data unit's in
  93  * networking-speak) don't necessarily line up with TCP segments. That
  94  * is, one TCP segment can have more than one AJP13 PDU, or one AJP13
  95  * PDU can stretch across multiple TCP segments. Assembling them is
  96  * obviously possible, but a royal pain. During the "phase one"
  97  * in-order pass you have to keep track of a bunch of offsets and
  98  * store which PDU goes with which TCP segment. Luckly, recent
  99  * (0.9.4+) versions of ethereal provide the "tcp_dissect_pdus()"
 100  * function that takes care of much of the work. See the comments in
 101  * packet-tcp.c, the example code in packet-dns.c, or check the
 102  * ethereal-dev archives for details.
 103  *
 104  * 3) Ethereal isn't guaranteed to see all the data. I'm a little
 105  * unclear on all the possible failure modes, but it comes down to: a)
 106  * Not your fault: it's an imperfect world, we're eavesdroppers, and
 107  * stuff happens. We might totally miss packets or get garbled
 108  * data. Or b) Totally your fault: you turn on the capture during the
 109  * middle of an AJP13 conversation and the capture starts out with
 110  * half an AJP13 PDU. This code doesn't currently handle either case
 111  * very well, but you can get arbitrarily clever. Like: put in tests
 112  * to see if this packet has reasonable field values, and if it
 113  * doesn't, walk the offset ahead until we see a matching magic number
 114  * field, then re-test. But we don't do that now, and since we're
 115  * using tcp_dissect_pdu's, I'm not sure how to do it.
 116  *
 117  */
 118
 119
 120 /*
 121  * Request/response header codes. Common headers are stored as ints in
 122  * an effort to improve performance. Why can't we just have one big
 123  * list?
 124  */
 125
 126 static const value_string req_header_codes[] = {
 127   { 0x01, "accept" },
 128   { 0x02, "accept-charset" },
 129   { 0x03, "accept-encoding" },
 130   { 0x04, "accept-language" },
 131   { 0x05, "authorization" },
 132   { 0x06, "connection" },
 133   { 0x07, "content-type" },
 134   { 0x08, "content-length" },
 135   { 0x09, "cookie" },
 136   { 0x0A, "cookie2" },
 137   { 0x0B, "host" },
 138   { 0x0C, "pragma" },
 139   { 0x0D, "referer" },
 140   { 0x0E, "user-agent" },
 141 };
 142
 143
 144 static const value_string rsp_header_codes[] = {
 145   { 0x01, "Content-Type" },
 146   { 0x02, "Content-Language" },
 147   { 0x03, "Content-Length" },
 148   { 0x04, "Date" },
 149   { 0x05, "Last-Modified" },
 150   { 0x06, "Location" },
 151   { 0x07, "Set-Cookie" },
 152   { 0x08, "Set-Cookie2" },
 153   { 0x09, "Servlet-Engine" },
 154   { 0x0A, "Status" },
 155   { 0x0B, "WWW-Authenticate" },
 156 };
 157
 158
 159 static const value_string mtype_codes[] = {
 160   { 0, "BAD" },
 161   { 1, "BAD" },
 162   { 2, "FORWARD REQUEST" },
 163   { 3, "SEND BODY CHUNK" },
 164   { 4, "SEND HEADERS" },
 165   { 5, "END RESPONSE" },
 166   { 6, "GET BODY CHUNK" },
 167   { 7, "SHUTDOWN" },
 168 };
 169
 170
 171 static const value_string http_method_codes[] = {
 172   { 1, "OPTIONS" },
 173   { 2, "GET" },
 174   { 3, "HEAD" },
 175   { 4, "POST" },
 176   { 5, "PUT" },
 177   { 6, "DELETE" },
 178   { 7, "TRACE" },
 179   { 8, "PROPFIND" },
 180   { 9, "PROPPATCH" },
 181   { 10, "MKCOL" },
 182   { 11, "COPY" },
 183   { 12, "MOVE" },
 184   { 13, "LOCK" },
 185   { 14, "UNLOCK" },
 186   { 15, "ACL" },
 187   { 16, "REPORT" },
 188   { 17, "VERSION-CONTROL" },
 189   { 18, "CHECKIN" },
 190   { 19, "CHECKOUT" },
 191   { 20, "UNCHECKOUT" },
 192   { 21, "SEARCH" },
 193 };
 194
 195
 196
 197 static int proto_ajp13     = -1;
 198 static int hf_ajp13_magic  = -1;
 199 static int hf_ajp13_len    = -1;
 200 static int hf_ajp13_code   = -1;
 201 static int hf_ajp13_method = -1;
 202 static int hf_ajp13_ver    = -1;
 203 static int hf_ajp13_uri    = -1;
 204 static int hf_ajp13_raddr  = -1;
 205 static int hf_ajp13_rhost  = -1;
 206 static int hf_ajp13_srv    = -1;
 207 static int hf_ajp13_port   = -1;
 208 static int hf_ajp13_sslp   = -1;
 209 static int hf_ajp13_nhdr   = -1;
 210 static int hf_ajp13_hname  = -1;
 211 static int hf_ajp13_hval   = -1;
 212 static int hf_ajp13_rlen   = -1;
 213 static int hf_ajp13_reusep = -1;
 214 static int hf_ajp13_rstatus= -1;
 215 static int hf_ajp13_rsmsg  = -1;
 216 static int hf_ajp13_data   = -1;
 217 static gint ett_ajp13 = -1;
 218
 219
 220 typedef struct ajp13_conv_data {
 221   int content_length;
 222   gboolean was_get_body_chunk;  /* XXX - not used */
 223 } ajp13_conv_data;
 224
 225 static GMemChunk *ajp13_conv_data_chunk = NULL;
 226
 227 typedef struct ajp13_frame_data {
 228   gboolean is_request_body;
 229 } ajp13_frame_data;
 230
 231 static GMemChunk  *ajp13_frame_data_chunk = NULL;
 232
 233 static int ajp13_packet_init_count = 100;
 234
 235 /* ajp13, in sort of a belt-and-suspenders move, encodes strings with
 236  * both a leading length field, and a trailing null. Mostly, see
 237  * AJPv13.html. The returned length _includes_ the trailing null, if
 238  * there is one.
 239  *
 240  * XXX - is there a tvbuff routine to handle this?
 241  */
 242 static guint16
 243 get_nstring(tvbuff_t *tvb, gint offset, guint8* cbuf, size_t cbuflen)
 244 {
 245   guint16 len;
 246   guint16 copylen;
 247
 248   len = tvb_get_ntohs(tvb, offset);
 249
 250   if (len == 0xffff) {
 251     cbuf[0] = '\0';
 252     len = 0;
 253   } else {
 254     copylen = len;
 255     if (copylen > cbuflen - 1)
 256       copylen = cbuflen - 1;
 257     tvb_memcpy(tvb, cbuf, offset+2, copylen);
 258     cbuf[copylen] = '\0';
 259     len++;
 260   }
 261   return len;
 262 }
 263
 264
 265
 266 /* dissect a response. more work to do here.
 267  */
 268 static void
 269 display_rsp(tvbuff_t *tvb, packet_info *pinfo, proto_tree *ajp13_tree)
 270 {
 271   gchar* msg_code = NULL;
 272   int pos = 0;
 273   guint8 mcode = 0;
 274   char mcode_buf[1024];
 275   int i;
 276
 277   /* MAGIC
 278    */
 279   if (ajp13_tree)
 280     proto_tree_add_item(ajp13_tree, hf_ajp13_magic, tvb, pos, 2, 0);
 281   pos+=2;
 282
 283   /* PDU LENGTH
 284    */
 285   if (ajp13_tree)
 286     proto_tree_add_item(ajp13_tree, hf_ajp13_len,   tvb, pos, 2, 0);
 287   pos+=2;
 288
 289   /* MESSAGE TYPE CODE
 290    */
 291   mcode = tvb_get_guint8(tvb, pos);
 292   msg_code = val_to_str(mcode, mtype_codes, "UNKNOWN");
 293   sprintf(mcode_buf, "(%d) %s", mcode, msg_code);
 294   if (ajp13_tree)
 295     proto_tree_add_string(ajp13_tree, hf_ajp13_code, tvb, pos, 1, mcode_buf);
 296   pos+=1;
 297
 298   if(check_col(pinfo->cinfo, COL_INFO))
 299     col_append_str(pinfo->cinfo, COL_INFO, msg_code);
 300
 301   if (mcode == 5) {
 302     if (ajp13_tree)
 303       proto_tree_add_item(ajp13_tree, hf_ajp13_reusep, tvb, pos, 1, 0);
 304     pos+=1;
 305
 306   } else if (mcode == 4) {
 307
 308     guint8 rsmsg_bytes[8*1024]; /* DANGER WILL ROBINSON */
 309     guint16 rsmsg_len;
 310     guint16 nhdr;
 311     guint16 rcode_num;
 312
 313     /* HTTP RESPONSE STATUS CODE
 314      */
 315     rcode_num = tvb_get_ntohs(tvb, pos);
 316     if (ajp13_tree)
 317       proto_tree_add_item(ajp13_tree, hf_ajp13_rstatus, tvb, pos, 2, 0);
 318     pos+=2;
 319     if(check_col(pinfo->cinfo, COL_INFO))
 320       col_append_fstr(pinfo->cinfo, COL_INFO, ":%d", rcode_num);
 321
 322     /* HTTP RESPONSE STATUS MESSAGE
 323      */
 324     rsmsg_len = get_nstring(tvb, pos, rsmsg_bytes, sizeof rsmsg_bytes);
 325     pos+=2;
 326     if (ajp13_tree)
 327       proto_tree_add_item(ajp13_tree, hf_ajp13_rsmsg, tvb, pos, rsmsg_len, 0);
 328     pos+=rsmsg_len;
 329     /* dangerous assumption that we can just %s out raw bytes */
 330     if(check_col(pinfo->cinfo, COL_INFO))
 331       col_append_fstr(pinfo->cinfo, COL_INFO, " %s", rsmsg_bytes);
 332
 333     /* NUMBER OF HEADERS
 334      */
 335     nhdr = tvb_get_ntohs(tvb, pos);
 336     if (ajp13_tree)
 337       proto_tree_add_item(ajp13_tree, hf_ajp13_nhdr, tvb, pos, 2, 0);
 338     pos+=2;
 339
 340     /* HEADERS
 341      */
 342     for(i=0; i<nhdr; i++) {
 343
 344       guint8 hcd;
 345       guint8 hid;
 346       char hval[8192];
 347       guint16 hval_len;
 348       int orig_pos = pos;
 349       gchar* hname = NULL;
 350       int dp = 0;
 351       int cl = 0;
 352       guint8 hname_bytes[1024];
 353       gchar hname_value[8*1024];
 354
 355       /* HEADER CODE/NAME
 356        */
 357       hcd = tvb_get_guint8(tvb, pos);
 358
 359       if (hcd == 0xA0) {
 360         pos+=1;
 361         hid = tvb_get_guint8(tvb, pos);
 362         pos+=1;
 363
 364         hname = val_to_str(hid, rsp_header_codes, "UNKNOWN");
 365         /* Content-Length header (encoded by 0x08) is special */
 366         if (hid == 0x08)
 367           cl = 1;
 368       } else {
 369         int hname_len = get_nstring(tvb, pos, hname_bytes, sizeof hname_bytes);
 370
 371         pos+=hname_len+2;
 372         hname = (gchar*)hname_bytes; /* VERY EVIL */
 373       }
 374
 375       dp = pos-orig_pos;
 376
 377       /* HEADER VALUE
 378        */
 379       orig_pos = pos;
 380       hval_len = get_nstring(tvb, pos, hval, sizeof hval);
 381
 382       pos+=hval_len+2;
 383       dp = pos - orig_pos;
 384       if (ajp13_tree) {
 385         sprintf(hname_value, "%s : %s", hname, hval);
 386         proto_tree_add_string(ajp13_tree, hf_ajp13_hval, tvb, orig_pos, dp, hname_value);
 387       }
 388     }
 389
 390   } else if (mcode == 6) {
 391     if (ajp13_tree)
 392       proto_tree_add_item(ajp13_tree, hf_ajp13_rlen, tvb, pos, 2, 0);
 393     pos+=2;
 394
 395   } else {
 396     /* MESSAGE DATA (COPOUT)
 397      */
 398     if (ajp13_tree)
 399       proto_tree_add_item(ajp13_tree, hf_ajp13_data,  tvb, pos+2, -1, 0);
 400   }
 401 }
 402
 403
 404
 405 /* dissect a request body. see AJPv13.html, but the idea is that these
 406  * packets, unlike all other packets, have no type field. you just
 407  * sort of have to know that they're coming based on the previous
 408  * packets.
 409  */
 410 static void
 411 display_req_body(tvbuff_t *tvb, proto_tree *ajp13_tree)
 412 {
 413   /*printf("ajp13:display_req_body()\n");*/
 414
 415   if (ajp13_tree) {
 416
 417     guint8 body_bytes[128*1024]; /* DANGER WILL ROBINSON */
 418     int pos = 0;
 419     guint16 body_len;
 420
 421     /* MAGIC
 422      */
 423     proto_tree_add_item(ajp13_tree, hf_ajp13_magic, tvb, pos, 2, 0);
 424     pos+=2;
 425
 426     /* PACKET LENGTH
 427      */
 428     proto_tree_add_item(ajp13_tree, hf_ajp13_len, tvb, pos, 2, 0);
 429     pos+=2;
 430
 431     /* BODY (AS STRING)
 432      */
 433     body_len = get_nstring(tvb, pos, body_bytes, sizeof body_bytes);
 434     proto_tree_add_item(ajp13_tree, hf_ajp13_data, tvb, pos+2, body_len-1, 0);
 435   }
 436 }
 437
 438
 439
 440 /* note that even if ajp13_tree is null on the first pass, we still
 441  * need to dissect the packet in order to determine if there is a
 442  * content-length, and thus if there is a subsequent automatic
 443  * request-body transmitted in the next request packet. if there is a
 444  * content-length, we record the fact in the conversation context.
 445  * ref the top of this file for comments explaining the multi-pass
 446  * thing.
 447 */
 448 static void
 449 display_req_forward(tvbuff_t *tvb, packet_info *pinfo,
 450                     proto_tree *ajp13_tree,
 451                     ajp13_conv_data* cd)
 452 {
 453   int pos = 0;
 454   guint8 meth;
 455   guint8 cod;
 456   guint8 ver[1024];
 457   guint16 ver_len;
 458   guint8 uri[4096];
 459   guint16 uri_len;
 460   guint8 raddr[4096];
 461   guint16 raddr_len;
 462   guint8 rhost[4096];
 463   guint16 rhost_len;
 464   guint8 srv[4096];
 465   guint16 srv_len;
 466   guint nhdr;
 467   guint i;
 468
 469   if (ajp13_tree)
 470     proto_tree_add_item(ajp13_tree, hf_ajp13_magic, tvb, pos, 2, 0);
 471   pos+=2;
 472
 473   if (ajp13_tree)
 474     proto_tree_add_item(ajp13_tree, hf_ajp13_len, tvb, pos, 2, 0);
 475   pos+=2;
 476
 477   /* PACKET CODE
 478    */
 479   cod = tvb_get_guint8(tvb, 4);
 480   if (ajp13_tree) {
 481     gchar* msg_code = NULL;
 482     char mcode_buf[1024];
 483     msg_code = val_to_str(cod, mtype_codes, "UNKNOWN");
 484     sprintf(mcode_buf, "(%d) %s", cod, msg_code);
 485     proto_tree_add_string(ajp13_tree, hf_ajp13_code, tvb, pos, 1, mcode_buf);
 486   }
 487   pos+=1;
 488
 489   /* HTTP METHOD (ENCODED AS INTEGER)
 490    */
 491   {
 492     gchar* meth_code = NULL;
 493     meth = tvb_get_guint8(tvb, pos);
 494     meth_code = val_to_str(meth, http_method_codes, "UNKNOWN");
 495     if (ajp13_tree) {
 496       char mcode_buf[1024];
 497       sprintf(mcode_buf, "(%d) %s", meth, meth_code);
 498       proto_tree_add_string(ajp13_tree, hf_ajp13_method, tvb, pos, 1, mcode_buf);
 499     }
 500     if(check_col(pinfo->cinfo, COL_INFO))
 501       col_append_str(pinfo->cinfo, COL_INFO, meth_code);
 502     pos+=1;
 503   }
 504
 505   /* HTTP VERSION STRING
 506    */
 507   ver_len = get_nstring(tvb, pos, ver, sizeof ver);
 508   pos+=2; /* skip over size */
 509   if (ajp13_tree)
 510     proto_tree_add_item(ajp13_tree, hf_ajp13_ver, tvb, pos, ver_len, 0);
 511   pos=pos+ver_len;  /* skip over chars + trailing null */
 512
 513   /* URI
 514    */
 515   uri_len = get_nstring(tvb, pos, uri, sizeof uri);
 516   pos+=2; /* skip over size */
 517   if (ajp13_tree)
 518     proto_tree_add_item(ajp13_tree, hf_ajp13_uri, tvb, pos, uri_len, 0);
 519   pos=pos+uri_len;  /* skip over chars + trailing null */
 520
 521
 522   if(check_col(pinfo->cinfo, COL_INFO))
 523     col_append_fstr(pinfo->cinfo, COL_INFO, " %s %s", uri, ver);
 524
 525
 526   /* REMOTE ADDRESS
 527    */
 528   raddr_len = get_nstring(tvb, pos, raddr, sizeof raddr);
 529   pos+=2; /* skip over size */
 530   if (ajp13_tree)
 531     proto_tree_add_item(ajp13_tree, hf_ajp13_raddr, tvb, pos, raddr_len, 0);
 532   pos=pos+raddr_len;  /* skip over chars + trailing null */
 533
 534   /* REMOTE HOST
 535    */
 536   rhost_len = get_nstring(tvb, pos, rhost, sizeof rhost);
 537   pos+=2; /* skip over size */
 538   if (ajp13_tree)
 539     proto_tree_add_item(ajp13_tree, hf_ajp13_rhost, tvb, pos, rhost_len, 0);
 540   pos=pos+rhost_len;  /* skip over chars + trailing null */
 541
 542   /* SERVER NAME
 543    */
 544   srv_len = get_nstring(tvb, pos, srv, sizeof srv);
 545   pos+=2; /* skip over size */
 546   if (ajp13_tree)
 547     proto_tree_add_item(ajp13_tree, hf_ajp13_srv, tvb, pos, srv_len, 0);
 548   pos=pos+srv_len;  /* skip over chars + trailing null */
 549
 550   /* SERVER PORT
 551    */
 552   if (ajp13_tree)
 553     proto_tree_add_item(ajp13_tree, hf_ajp13_port, tvb, pos, 2, 0);
 554   pos+=2;
 555
 556   /* IS SSL?
 557    */
 558   if (ajp13_tree)
 559     proto_tree_add_item(ajp13_tree, hf_ajp13_sslp, tvb, pos, 1, 0);
 560   pos+=1;
 561
 562   /* NUM HEADERS
 563    */
 564   nhdr = tvb_get_ntohs(tvb, pos);
 565
 566   if (ajp13_tree)
 567     proto_tree_add_item(ajp13_tree, hf_ajp13_nhdr, tvb, pos, 2, 0);
 568   pos+=2;
 569   cd->content_length = 0;
 570
 571   /* HEADERS
 572    */
 573   for(i=0; i<nhdr; i++) {
 574
 575     guint8 hcd;
 576     guint8 hid;
 577     char hval[8192];
 578     guint16 hval_len;
 579     int orig_pos = pos;
 580     gchar* hname = NULL;
 581     int dp = 0;
 582     int cl = 0;
 583     guint8 hname_bytes[1024];
 584
 585     /* HEADER CODE/NAME
 586      */
 587     hcd = tvb_get_guint8(tvb, pos);
 588
 589     if (hcd == 0xA0) {
 590       pos+=1;
 591       hid = tvb_get_guint8(tvb, pos);
 592       pos+=1;
 593
 594       hname = val_to_str(hid, req_header_codes, "UNKNOWN");
 595       if (hid == 0x08)
 596         cl = 1;
 597     } else {
 598       int hname_len = get_nstring(tvb, pos, hname_bytes, sizeof hname_bytes);
 599
 600       pos+=hname_len+2;
 601       hname = (gchar*)hname_bytes; /* VERY EVIL */
 602     }
 603
 604     dp = pos-orig_pos;
 605
 606     /* HEADER VALUE
 607      */
 608     orig_pos = pos;
 609     hval_len = get_nstring(tvb, pos, hval, sizeof hval);
 610
 611     pos+=hval_len+2;
 612     dp = pos - orig_pos;
 613     if (ajp13_tree) {
 614       proto_tree_add_string_format(ajp13_tree, hf_ajp13_hval,
 615                                    tvb, orig_pos, dp, hname,
 616                                    "%s: %s", hname, hval);
 617     }
 618     if (cl) {
 619       cl = atoi(hval);
 620       cd->content_length = cl;
 621     }
 622   }
 623 }
 624
 625
 626
 627 /* main dissector function. ethereal calls it for segments in both
 628  * directions.
 629  */
 630 static void
 631 dissect_ajp13_tcp_pdu(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree)
 632 {
 633   guint16 mag;
 634   guint16 len;
 635   conversation_t *conv = NULL;
 636   ajp13_conv_data *cd = NULL;
 637   proto_tree *ajp13_tree = NULL;
 638   ajp13_frame_data* fd = NULL;
 639
 640   /* conversational state really only does us good during the first
 641    * in-order traversal
 642    */
 643   conv = find_conversation(&pinfo->src, &pinfo->dst, pinfo->ptype,
 644                            pinfo->srcport, pinfo->destport, 0);
 645   if (!conv) {
 646     conv = conversation_new(&pinfo->src, &pinfo->dst, pinfo->ptype,
 647                             pinfo->srcport, pinfo->destport, 0);
 648   }
 649   cd = (ajp13_conv_data*)conversation_get_proto_data(conv, proto_ajp13);
 650   if (!cd) {
 651     cd = (ajp13_conv_data*)g_mem_chunk_alloc(ajp13_conv_data_chunk);
 652     cd->content_length = 0;
 653     cd->was_get_body_chunk = FALSE;
 654     conversation_add_proto_data(conv, proto_ajp13, cd);
 655   }
 656
 657   /* we use the per segment user data to record the conversational
 658    * state for use later on when we're called out of order (see
 659    * comments at top of this file)
 660    */
 661   fd = (ajp13_frame_data*)p_get_proto_data(pinfo->fd, proto_ajp13);
 662   if (!fd) {
 663     /*printf("ajp13:dissect_ajp13_common():no frame data, adding");*/
 664     /* since there's no per-packet user data, this must be the first
 665      * time we've see the packet, and it must be the first "in order"
 666      * pass through the data.
 667      */
 668     fd = (ajp13_frame_data*)g_mem_chunk_alloc(ajp13_frame_data_chunk);
 669     p_add_proto_data(pinfo->fd, proto_ajp13, fd);
 670     fd->is_request_body = FALSE;
 671     if (cd->content_length) {
 672       /* this is screwy, see AJPv13.html. the idea is that if the
 673        * request has a body (as determined by the content-length
 674        * header), then there's always an immediate follow-up PDU with
 675        * no GET_BODY_CHUNK from the container.
 676        */
 677       fd->is_request_body = TRUE;
 678     }
 679   }
 680
 681   if (check_col(pinfo->cinfo, COL_INFO))
 682     col_clear(pinfo->cinfo, COL_INFO);
 683
 684   mag = tvb_get_ntohs(tvb, 0);
 685   len = tvb_get_ntohs(tvb, 2);
 686
 687   if (check_col(pinfo->cinfo, COL_PROTOCOL))
 688     col_set_str(pinfo->cinfo, COL_PROTOCOL, "AJP13");
 689   if (check_col(pinfo->cinfo, COL_INFO)) {
 690     if (mag == 0x1234 && !fd->is_request_body)
 691       col_append_fstr(pinfo->cinfo, COL_INFO, "%d:REQ:", conv->index);
 692     else if (mag == 0x1234 && fd->is_request_body)
 693       col_append_fstr(pinfo->cinfo, COL_INFO, "%d:REQ:Body", conv->index);
 694     else if (mag == 0x4142)
 695       col_append_fstr(pinfo->cinfo, COL_INFO, "%d:RSP:", conv->index);
 696     else
 697       col_set_str(pinfo->cinfo, COL_INFO, "AJP13 Error?");
 698   }
 699
 700   if (tree) {
 701     proto_item *ti;
 702     ti = proto_tree_add_item(tree, proto_ajp13, tvb, 0, tvb_length(tvb), FALSE);
 703     ajp13_tree = proto_item_add_subtree(ti, ett_ajp13);
 704   }
 705
 706   if (mag == 0x1234) {
 707
 708     if (fd->is_request_body)
 709       display_req_body(tvb, ajp13_tree);
 710     else
 711       display_req_forward(tvb, pinfo, ajp13_tree, cd);
 712
 713   } else if (mag == 0x4142) {
 714
 715     display_rsp(tvb, pinfo, ajp13_tree);
 716
 717   }
 718 }
 719
 720
 721
 722 /* given the first chunk of the AJP13 pdu, extract out and return the
 723  * packet length. see comments in packet-tcp.c:tcp_dissect_pdus().
 724  */
 725 static guint
 726 get_ajp13_pdu_len(tvbuff_t *tvb, int offset)
 727 {
 728   guint16 magic;
 729   guint16 plen;
 730   magic = tvb_get_ntohs(tvb, offset);
 731   plen = tvb_get_ntohs(tvb, offset+2);
 732   plen += 4;
 733   return plen;
 734 }
 735
 736
 737
 738 /* Code to actually dissect the packets.
 739  */
 740 static void
 741 dissect_ajp13(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree)
 742 {
 743   /* Set up structures needed to add the protocol subtree and manage it
 744    */
 745   tcp_dissect_pdus(tvb, pinfo, tree,
 746                    TRUE,                   /* desegment or not   */
 747                    4,                      /* magic + length */
 748                    get_ajp13_pdu_len,      /* use first 4, calc data len */
 749                    dissect_ajp13_tcp_pdu); /* the naive dissector */
 750 }
 751
 752
 753
 754 static void
 755 ajp13_init_protocol(void)
 756 {
 757   if (ajp13_conv_data_chunk)
 758     g_mem_chunk_destroy(ajp13_conv_data_chunk);
 759   if (ajp13_frame_data_chunk)
 760     g_mem_chunk_destroy(ajp13_frame_data_chunk);
 761
 762   ajp13_conv_data_chunk = g_mem_chunk_new("ajp13_conv_data_chunk",
 763                                           sizeof(ajp13_conv_data),
 764                                           ajp13_packet_init_count * sizeof(ajp13_conv_data),
 765                                           G_ALLOC_ONLY);
 766
 767   ajp13_frame_data_chunk = g_mem_chunk_new("ajp13_frame_data_chunk",
 768                                            sizeof(ajp13_frame_data),
 769                                            ajp13_packet_init_count * sizeof(ajp13_frame_data),
 770                                            G_ALLOC_ONLY);
 771 }
 772
 773 void
 774 proto_register_ajp13(void)
 775 {
 776   static hf_register_info hf[] = {
 777     { &hf_ajp13_magic,
 778       { "Magic",  "ajp13.magic", FT_BYTES, BASE_HEX, NULL, 0x0, "Magic Number",
 779         HFILL }
 780     },
 781     { &hf_ajp13_len,
 782       { "Length",  "ajp13.len", FT_UINT16, BASE_DEC, NULL, 0x0, "Data Length",
 783         HFILL }
 784     },
 785     { &hf_ajp13_code,
 786       { "Code",  "ajp13.code", FT_STRING, BASE_DEC, NULL, 0x0, "Type Code",
 787          HFILL }
 788     },
 789     { &hf_ajp13_method,
 790       { "Method",  "ajp13.method", FT_STRING, BASE_DEC, NULL, 0x0, "HTTP Method",
 791         HFILL }
 792     },
 793     { &hf_ajp13_ver,
 794       { "Version",  "ajp13.ver", FT_STRING, BASE_DEC, NULL, 0x0, "HTTP Version",
 795         HFILL }
 796     },
 797     { &hf_ajp13_uri,
 798       { "URI",  "ajp13.uri", FT_STRING, BASE_DEC, NULL, 0x0, "HTTP URI",
 799         HFILL }
 800     },
 801     { &hf_ajp13_raddr,
 802       { "RADDR",  "ajp13.raddr", FT_STRING, BASE_DEC, NULL, 0x0, "Remote Address",
 803         HFILL }
 804     },
 805     { &hf_ajp13_rhost,
 806       { "RHOST",  "ajp13.rhost", FT_STRING, BASE_DEC, NULL, 0x0, "Remote Host",
 807         HFILL }
 808     },
 809     { &hf_ajp13_srv,
 810       { "SRV",  "ajp13.srv", FT_STRING, BASE_DEC, NULL, 0x0, "Server",
 811         HFILL }
 812     },
 813     { &hf_ajp13_port,
 814       { "PORT",  "ajp13.port", FT_UINT16, BASE_DEC, NULL, 0x0, "Port",
 815         HFILL }
 816     },
 817     { &hf_ajp13_sslp,
 818       { "SSLP",  "ajp13.sslp", FT_UINT8, BASE_DEC, NULL, 0x0, "Is SSL?",
 819         HFILL }
 820     },
 821     { &hf_ajp13_nhdr,
 822       { "NHDR",  "ajp13.nhdr", FT_UINT16, BASE_DEC, NULL, 0x0, "Num Headers",
 823         HFILL }
 824     },
 825     { &hf_ajp13_hname,
 826       { "HNAME",  "ajp13.hname", FT_STRING, BASE_DEC, NULL, 0x0, "Header Name",
 827         HFILL }
 828     },
 829     { &hf_ajp13_hval,
 830       { "HVAL",  "ajp13.hval", FT_STRING, BASE_DEC, NULL, 0x0, "Header Value",
 831         HFILL }
 832     },
 833     { &hf_ajp13_rlen,
 834       { "RLEN",  "ajp13.rlen", FT_UINT16, BASE_DEC, NULL, 0x0, "Requested Length",
 835         HFILL }
 836     },
 837     { &hf_ajp13_reusep,
 838       { "REUSEP",  "ajp13.reusep", FT_UINT8, BASE_DEC, NULL, 0x0, "Reuse Connection?",
 839         HFILL }
 840     },
 841     { &hf_ajp13_rstatus,
 842       { "RSTATUS",  "ajp13.rstatus", FT_UINT16, BASE_DEC, NULL, 0x0, "HTTP Status Code",
 843         HFILL }
 844     },
 845     { &hf_ajp13_rsmsg,
 846       { "RSMSG",  "ajp13.rmsg", FT_STRING, BASE_DEC, NULL, 0x0, "HTTP Status Message",
 847         HFILL }
 848     },
 849     { &hf_ajp13_data,
 850       { "Data",  "ajp13.data", FT_STRING, BASE_DEC, NULL, 0x0, "Data",
 851         HFILL }
 852     },
 853   };
 854
 855   static gint *ett[] = {
 856     &ett_ajp13,
 857   };
 858
 859   /* Register the protocol name and description
 860    */
 861   proto_ajp13 = proto_register_protocol("Apache JServ Protocol v1.3", "AJP13", "ajp13");
 862
 863   proto_register_field_array(proto_ajp13, hf, array_length(hf));
 864   proto_register_subtree_array(ett, array_length(ett));
 865
 866   register_init_routine(&ajp13_init_protocol);
 867 }
 868
 869
 870
 871 void
 872 proto_reg_handoff_ajp13(void)
 873 {
 874   dissector_handle_t ajp13_handle;
 875   ajp13_handle = create_dissector_handle(dissect_ajp13, proto_ajp13);
 876   dissector_add("tcp.port", 8009, ajp13_handle);
 877 }