obrisane nepotrebne datoteke od zadnjeg builda
[ossec-hids.git] / alerts / exec.c
1 /* @(#) $Id: ./src/analysisd/alerts/exec.c, 2011/09/08 dcid Exp $
2  */
3
4 /* Copyright (C) 2009 Trend Micro Inc.
5  * All right reserved.
6  *
7  * This program is a free software; you can redistribute it
8  * and/or modify it under the terms of the GNU General Public
9  * License (version 2) as published by the FSF - Free Software
10  * Foundation
11  */
12
13 /* Basic e-mailing operations */
14
15
16 #include "shared.h"
17 #include "rules.h"
18 #include "alerts.h"
19 #include "config.h"
20 #include "active-response.h"
21
22 #include "os_net/os_net.h"
23 #include "os_regex/os_regex.h"
24 #include "os_execd/execd.h"
25
26 #include "eventinfo.h"
27
28
29 /* OS_Exec v0.1
30  */
31 void OS_Exec(int *execq, int *arq, Eventinfo *lf, active_response *ar)
32 {
33     char exec_msg[OS_SIZE_1024 +1];
34     char *ip;
35     char *user;
36
37
38     /* Cleaning the IP */
39     if(lf->srcip && (ar->ar_cmd->expect & SRCIP))
40     {
41         if(strncmp(lf->srcip, "::ffff:", 7) == 0)
42         {
43             ip = lf->srcip + 7;
44         }
45         else
46         {
47             ip = lf->srcip;
48         }
49
50         /* Checking if IP is to ignored */
51         if(Config.white_list)
52         {
53             if(OS_IPFoundList(ip, Config.white_list))
54             {
55                 return;
56             }
57         }
58
59         /* Checking if it is a hostname */
60         if(Config.hostname_white_list)
61         {
62             int srcip_size;
63             OSMatch **wl;
64
65             srcip_size = strlen(ip);
66
67             wl = Config.hostname_white_list;
68             while(*wl)
69             {
70                 if(OSMatch_Execute(ip, srcip_size, *wl))
71                     return;
72                 wl++;
73             }
74         }
75     }
76     else
77     {
78         ip = "-";
79     }
80
81
82     /* Getting username */
83     if(lf->dstuser && (ar->ar_cmd->expect & USERNAME))
84     {
85         user = lf->dstuser;
86     }
87     else
88     {
89         user = "-";
90     }
91
92
93     /* active response on the server.
94      * The response must be here if the ar->location is set to AS
95      * or the ar->location is set to local (REMOTE_AGENT) and the
96      * event location is from here.
97      */
98     if((ar->location & AS_ONLY) ||
99       ((ar->location & REMOTE_AGENT) && (lf->location[0] != '(')) )
100     {
101         if(!(Config.ar & LOCAL_AR))
102             return;
103
104         snprintf(exec_msg, OS_SIZE_1024,
105                 "%s %s %s %d.%ld %d %s",
106                 ar->name,
107                 user,
108                 ip,
109                 lf->time,
110                 __crt_ftell,
111                 lf->generated_rule->sigid,
112                 lf->location);
113
114         if(OS_SendUnix(*execq, exec_msg, 0) < 0)
115         {
116             merror("%s: Error communicating with execd.", ARGV0);
117         }
118     }
119
120
121     /* Active response to the forwarder */
122     else if((Config.ar & REMOTE_AR))
123     {
124         int rc;
125         /*If lf->location start with a (  was generated by remote agent and its ID is included in lf->location
126                 if missing then it must of been generated by the local analysisd so prepend a false id tag */
127         if(lf->location[0] == '(') {
128                 snprintf(exec_msg, OS_SIZE_1024,
129                         "%s %c%c%c %s %s %s %s %d.%ld %d",
130                         lf->location,
131                         (ar->location & ALL_AGENTS)?ALL_AGENTS_C:NONE_C,
132                         (ar->location & REMOTE_AGENT)?REMOTE_AGENT_C:NONE_C,
133                         (ar->location & SPECIFIC_AGENT)?SPECIFIC_AGENT_C:NONE_C,
134                         ar->agent_id != NULL? ar->agent_id: "(null)",
135                         ar->name,
136                         user,
137                         ip,
138                         lf->time,
139                         __crt_ftell,
140                         lf->generated_rule->sigid);
141         } else {
142                 snprintf(exec_msg, OS_SIZE_1024,
143                         "(local_source) %s %c%c%c %s %s %s %s %d.%ld %d",
144                         lf->location,
145                         (ar->location & ALL_AGENTS)?ALL_AGENTS_C:NONE_C,
146                         (ar->location & REMOTE_AGENT)?REMOTE_AGENT_C:NONE_C,
147                         (ar->location & SPECIFIC_AGENT)?SPECIFIC_AGENT_C:NONE_C,
148                         ar->agent_id != NULL? ar->agent_id: "(null)",
149                         ar->name,
150                         user,
151                         ip,
152                         lf->time,
153                         __crt_ftell,
154                         lf->generated_rule->sigid);
155         }
156
157         if((rc = OS_SendUnix(*arq, exec_msg, 0)) < 0)
158         {
159             if(rc == OS_SOCKBUSY)
160             {
161                 merror("%s: AR socket busy.", ARGV0);
162             }
163             else
164             {
165                 merror("%s: AR socket error (shutdown?).", ARGV0);
166             }
167             merror("%s: Error communicating with ar queue (%d).", ARGV0, rc);
168         }
169     }
170
171     return;
172 }
173
174 /* EOF */