18. Lua support

• 18.1. Lua usage in Suricata
  • 18.1.1. Lua output
  • 18.1.2. Lua detection
• 18.2. Lua functions
  • 18.2.1. Differences between output and detect:
  • 18.2.2. packet
  • 18.2.3. flow
  • 18.2.4. http
    • 18.2.4.1. HttpGetRequestBody and HttpGetResponseBody.
    • 18.2.4.2. HttpGetRequestHost
    • 18.2.4.3. HttpGetRequestHeader
    • 18.2.4.4. HttpGetResponseHeader
    • 18.2.4.5. HttpGetRequestLine
    • 18.2.4.6. HttpGetResponseLine
    • 18.2.4.7. HttpGetRawRequestHeaders
    • 18.2.4.8. HttpGetRawResponseHeaders
    • 18.2.4.9. HttpGetRequestUriRaw
    • 18.2.4.10. HttpGetRequestUriNormalized
    • 18.2.4.11. HttpGetRequestHeaders
    • 18.2.4.12. HttpGetResponseHeaders
  • 18.2.5. TLS
    • 18.2.5.1. TlsGetVersion
    • 18.2.5.2. TlsGetCertInfo
    • 18.2.5.3. TlsGetCertChain
    • 18.2.5.4. TlsGetCertNotAfter
    • 18.2.5.5. TlsGetCertNotBefore
    • 18.2.5.6. TlsGetCertSerial
    • 18.2.5.7. TlsGetSNI
  • 18.2.6. Streaming Data
    • 18.2.6.1. SCStreamingBuffer
  • 18.2.7. Flow variables
    • 18.2.7.1. SCFlowintGet
    • 18.2.7.2. SCFlowintSet
    • 18.2.7.3. SCFlowintIncr
    • 18.2.7.4. SCFlowintDecr
  • 18.2.8. Misc
    • 18.2.8.1. SCThreadInfo
    • 18.2.8.2. SCLogError, SCLogWarning, SCLogNotice, SCLogInfo, SCLogDebug
    • 18.2.8.3. SCLogPath
    • 18.2.8.4. SCByteVarGet
• 18.3. Lua Libraries
  • 18.3.1. Base64
    • 18.3.1.1. Functions
      • 18.3.1.1.1. encode(string)
      • 18.3.1.1.2. decode(string)
      • 18.3.1.1.3. encode_nopad(string)
      • 18.3.1.1.4. decode_nopad(string)
      • 18.3.1.1.5. decode_padopt(string)
      • 18.3.1.1.6. decode_rfc2045(string)
      • 18.3.1.1.7. decode_rfc4648(string)
    • 18.3.1.2. Implementation Details
  • 18.3.2. DNS
    • 18.3.2.1. Setup
      • 18.3.2.1.1. Transaction
      • 18.3.2.1.2. Transaction Methods
    • 18.3.2.2. answers()
    • 18.3.2.3. authorities()
    • 18.3.2.4. queries()
    • 18.3.2.5. rcode()
    • 18.3.2.6. rcode_string()
    • 18.3.2.7. recursion_desired()
    • 18.3.2.8. rrname()
    • 18.3.2.9. txid()
  • 18.3.3. File
    • 18.3.3.1. Setup
    • 18.3.3.2. API
      • 18.3.3.2.1. File Object
      • 18.3.3.2.2. File Methods
        • 18.3.3.2.2.1. file_id()
        • 18.3.3.2.2.2. tx_id()
        • 18.3.3.2.2.3. name()
        • 18.3.3.2.2.4. size()
        • 18.3.3.2.2.5. magic()
        • 18.3.3.2.2.6. md5()
        • 18.3.3.2.2.7. sha1()
        • 18.3.3.2.2.8. sha256()
        • 18.3.3.2.2.9. get_state()
        • 18.3.3.2.2.10. is_stored()
  • 18.3.4. Flow
    • 18.3.4.1. Initialization
      • 18.3.4.1.1. get
    • 18.3.4.2. Time
      • 18.3.4.2.1. timestamps
      • 18.3.4.2.2. timestring_legacy
      • 18.3.4.2.3. timestring_iso8601
    • 18.3.4.3. Ports and Addresses
    • 18.3.4.4. tuple
    • 18.3.4.5. App Layer Protocols
      • 18.3.4.5.1. app_layer_proto
    • 18.3.4.6. Misc
      • 18.3.4.6.1. has_alerts
      • 18.3.4.6.2. id
      • 18.3.4.6.3. stats
    • 18.3.4.7. Example
  • 18.3.5. Flowint Library
    • 18.3.5.1. Initialization
    • 18.3.5.2. Flow Integer Methods
      • 18.3.5.2.1. decr()
      • 18.3.5.2.2. incr()
      • 18.3.5.2.3. value()
      • 18.3.5.2.4. set(value)
  • 18.3.6. Flowvar
    • 18.3.6.1. Initialization
    • 18.3.6.2. Flow Variable Methods
      • 18.3.6.2.1. value()
      • 18.3.6.2.2. set(value, len)
    • 18.3.6.3. Example
  • 18.3.7. Hashing
    • 18.3.7.1. SHA-256
      • 18.3.7.1.1. sha256_digest(string)
      • 18.3.7.1.2. sha256_hex_digest(string)
      • 18.3.7.1.3. sha256()
    • 18.3.7.2. SHA-1
      • 18.3.7.2.1. sha1_digest(string)
      • 18.3.7.2.2. sha1_hex_digest(string)
      • 18.3.7.2.3. sha1()
    • 18.3.7.3. MD5
      • 18.3.7.3.1. md5_digest(string)
      • 18.3.7.3.2. md5_hex_digest(string)
      • 18.3.7.3.3. md5()
  • 18.3.8. HTTP
    • 18.3.8.1. Setup
      • 18.3.8.1.1. Transaction
      • 18.3.8.1.2. Transaction Methods
    • 18.3.8.2. request_header()
    • 18.3.8.3. response_header()
    • 18.3.8.4. request_line
    • 18.3.8.5. response_line
    • 18.3.8.6. request_headers_raw()
    • 18.3.8.7. response_headers_raw()
    • 18.3.8.8. request_uri_raw()
    • 18.3.8.9. request_uri_normalized()
    • 18.3.8.10. request_headers()
    • 18.3.8.11. response_headers()
    • 18.3.8.12. request_body()
    • 18.3.8.13. response_body()
  • 18.3.9. Packet
    • 18.3.9.1. Initialization
      • 18.3.9.1.1. get
    • 18.3.9.2. Time
      • 18.3.9.2.1. timestamp
      • 18.3.9.2.2. timestring_legacy
      • 18.3.9.2.3. timestring_iso8601
    • 18.3.9.3. Ports and Addresses
      • 18.3.9.3.1. tuple
      • 18.3.9.3.2. sp
      • 18.3.9.3.3. dp
    • 18.3.9.4. Data
      • 18.3.9.4.1. payload
      • 18.3.9.4.2. packet
    • 18.3.9.5. Misc
      • 18.3.9.5.1. pcap_cnt
    • 18.3.9.6. Example
  • 18.3.10. Rule
    • 18.3.10.1. Rule Setup
    • 18.3.10.2. Output Setup
    • 18.3.10.3. Getting a Rule Instance
    • 18.3.10.4. Rule Methods
      • 18.3.10.4.1. action()
      • 18.3.10.4.2. class_description()
      • 18.3.10.4.3. gid()
      • 18.3.10.4.4. rev()
      • 18.3.10.4.5. msg()
      • 18.3.10.4.6. priority
      • 18.3.10.4.7. sid()
  • 18.3.11. SMTP
    • 18.3.11.1. Setup
    • 18.3.11.2. API
      • 18.3.11.2.1. Transaction
      • 18.3.11.2.2. Transaction Methods
        • 18.3.11.2.2.1. get_mime_field(name)
        • 18.3.11.2.2.2. get_mime_list()
        • 18.3.11.2.2.3. get_mail_from()
        • 18.3.11.2.2.4. get_rcpt_list()
  • 18.3.12. SSH
    • 18.3.12.1. Setup
      • 18.3.12.1.1. Transaction
      • 18.3.12.1.2. Transaction Methods
    • 18.3.12.2. server_proto()
    • 18.3.12.3. client_proto()
    • 18.3.12.4. server_software()
    • 18.3.12.5. client_software()
    • 18.3.12.6. client_hassh()
    • 18.3.12.7. client_hassh_string()
    • 18.3.12.8. server_hassh()
    • 18.3.12.9. server_hassh_string()
  • 18.3.13. JA3
    • 18.3.13.1. Transaction
    • 18.3.13.2. Transaction Methods
      • 18.3.13.2.1. ja3_get_hash()
      • 18.3.13.2.2. ja3_get_string()
      • 18.3.13.2.3. ja3s_get_hash()
      • 18.3.13.2.4. ja3s_get_string()