AIDE源代码解析：哈希算法实现与文件系统扫描核心模块

2026/8/14 20:26:59

AIDE源代码解析：哈希算法实现与文件系统扫描核心模块

【免费下载链接】aideaide source code项目地址: https://gitcode.com/gh_mirrors/ai/aide

AIDE（Advanced Intrusion Detection Environment）是一款强大的文件完整性检查工具，通过哈希算法实现与文件系统扫描核心模块的高效协作，帮助用户监控系统文件变化，及时发现潜在的安全威胁。本文将深入解析AIDE源代码中哈希算法的实现细节以及文件系统扫描的核心模块，为新手和普通用户提供专业易懂的技术解读。

哈希算法实现：保障文件完整性的核心

哈希算法是AIDE实现文件完整性检查的关键技术，它能够为每个文件生成唯一的数字指纹，通过比对指纹变化来判断文件是否被篡改。AIDE支持多种哈希算法，其实现主要集中在hashsum.c和md.c等文件中。

哈希算法的初始化与配置

在AIDE启动时，init_hashsum_lib()函数会对哈希算法库进行初始化，该函数定义在src/hashsum.c文件中。它会检查系统支持的哈希算法，并根据配置文件启用相应的算法。例如，代码中通过hashsums数组定义了支持的哈希算法类型及其属性：

hashsum_t hashsums[] = { { "md5", attr_md5, 16, 0, "MD5" }, { "sha1", attr_sha1, 20, 0, "SHA1" }, { "sha256", attr_sha256, 32, 0, "SHA256" }, // 更多哈希算法... };

这段代码定义了每种哈希算法的名称、属性、长度等信息，AIDE会根据这些配置来计算文件的哈希值。

哈希值的计算过程

文件哈希值的计算主要由calc_hashsums()函数完成，该函数位于src/do_md.c文件中。它的工作流程如下：

打开文件并准备读取数据，支持对压缩文件的处理。
初始化哈希算法上下文，如MD5、SHA256等。
分块读取文件内容，并更新哈希算法上下文。
计算最终的哈希值，并存储在md_hashsums结构体中。

关键代码片段如下：

md_hashsums calc_hashsums(disk_entry *entry, DB_ATTR_TYPE attr, ssize_t limit_size, bool uncompress, int worker_index, const char *whoami) { md_hashsums md_hash; // 初始化哈希上下文 if (init_md(&mdc, entry->filename, attr, whoami) != 0) { log_msg(LOG_LEVEL_WARNING, "hash calculation: init_md() failed for '%s' (hashsums could not be calculated)", entry->filename); hashsum_close(file); return md_hash; } // 读取文件内容并更新哈希 while ((size = hashsum_read(file, buf, READ_BLOCK_SIZE)) > 0) { if (update_md(&mdc, buf, size) != 0) { log_msg(LOG_LEVEL_WARNING, "hash calculation: update_md() failed for '%s' (hashsums could not be calculated)", entry->filename); hashsum_close(file); return md_hash; } } // 完成哈希计算 close_md(&mdc, &md_hash, entry->filename, whoami); hashsum_close(file); return md_hash; }

这个过程确保了AIDE能够高效、准确地计算文件的哈希值，为文件完整性检查提供可靠的数据支持。

哈希值的存储与比较

计算得到的哈希值会被存储在数据库中，以便后续比对。hashsums2line()函数（位于src/md.c）负责将哈希值转换为适合存储的格式，并写入数据库记录。在比较文件完整性时，get_changed_hashsums()函数（位于src/gen_list.c）会对比新旧哈希值，判断文件是否发生变化：

static DB_ATTR_TYPE get_changed_hashsums(byte** old_hashsums, byte** new_hashsums, db_line* old, db_line* new, const char* whoami) { DB_ATTR_TYPE changed_hashsums = 0; for (int i = 0; i < num_hashes; i++) { DB_ATTR_TYPE attr = ATTR(hashsums[i].attribute); if (old_hashsums[i] || new_hashsums[i]) { if (old_hashsums[i] && new_hashsums[i]) { bool hash_has_changed = (bytecmp(old_hashsums[i], new_hashsums[i], hashsums[i].length) != 0); if (hash_has_changed) { changed_hashsums |= attr; } } } } return changed_hashsums; }

这段代码遍历所有哈希算法，比较对应的哈希值是否发生变化，从而确定文件是否被修改。

文件系统扫描：高效遍历与规则匹配

文件系统扫描是AIDE的另一个核心功能，它负责遍历文件系统，收集文件信息，并根据配置的规则进行匹配。这一过程主要由seltree（选择树）和queue（队列）等模块协作完成。

选择树（seltree）：规则管理与路径匹配

选择树是AIDE用于管理文件匹配规则的数据结构，定义在include/seltree.h和src/seltree.c文件中。它通过树形结构组织规则，实现对文件路径的高效匹配。init_tree()函数用于初始化选择树，add_rx_to_tree()函数则将规则添加到树中：

seltree *init_tree(void) { seltree *node = create_seltree_node("/", NULL); return node; } rx_rule * add_rx_to_tree(char * rx, rx_restriction_t restriction, AIDE_RULE_TYPE rule_type, seltree *tree, int linenumber, char* filename, char* linebuf, char **node_path) { // 解析规则并添加到选择树中 seltree *curnode = get_or_create_seltree_node(tree, rxtok); // ... }

在扫描文件系统时，check_seltree()函数会使用选择树对文件路径进行匹配，判断文件是否需要被监控：

match_t check_seltree(seltree *tree, file_t file, bool check_parent_dirs, const char * whoami) { // 遍历选择树，匹配文件路径 // ... }

队列（queue）：多线程任务调度

为了提高文件系统扫描的效率，AIDE采用了多线程技术，使用队列来管理扫描任务。队列的实现位于src/queue.c文件中，queue_ts_init()函数初始化队列，queue_ts_enqueue()和queue_ts_dequeue_wait()函数用于入队和出队操作：

queue_ts_t *queue_ts_init(void) { queue_ts_t *queue = checked_malloc (sizeof(queue_ts_t)); // 初始化队列 mutex 和条件变量 // ... return queue; } bool queue_ts_enqueue(queue_ts_t * const queue, void * const data, const char *whoami) { pthread_mutex_lock(&queue->mutex); bool new_head_tail = queue_enqueue(queue, data); pthread_mutex_unlock(&queue->mutex); pthread_cond_broadcast(&queue->cond); return new_head_tail; }

在文件系统扫描过程中，主线程将目录路径加入队列，工作线程从队列中取出路径进行扫描，实现了任务的并行处理，提高了扫描效率。

磁盘条目（disk_entry）：文件信息收集

disk_entry结构体（定义在include/db_disk.h）用于存储文件的基本信息，如文件描述符、路径等。在扫描过程中，get_file_attrs()函数（位于src/gen_list.c）会收集文件的属性信息，并调用哈希计算函数生成哈希值：

db_line* get_file_attrs(disk_entry *file, DB_ATTR_TYPE attrs, DB_ATTR_TYPE extra_hashsums, int worker_index, const char *whoami) { // 收集文件属性 // 计算哈希值 if (line->attr & all_hashsums) { md_hashsums hs = calc_hashsums(file, line->attr | extra_hashsums, -1, false, worker_index, whoami); hashsums2line(&hs, line, whoami); } // ... }

这个函数是文件信息收集和哈希计算的关键纽带，将文件系统扫描与哈希算法紧密结合起来。

核心模块协作：实现完整的文件完整性检查

AIDE的哈希算法实现与文件系统扫描模块并非独立工作，它们通过一系列函数和数据结构紧密协作，共同完成文件完整性检查的任务。

初始化阶段：init_hashsum_lib()初始化哈希算法库，init_tree()初始化选择树，queue_ts_init()初始化任务队列。
扫描阶段：主线程遍历文件系统，将目录路径加入队列；工作线程从队列中取出路径，调用check_seltree()匹配规则，对需要监控的文件调用get_file_attrs()收集信息和计算哈希值。
存储阶段：计算得到的文件信息和哈希值通过hashsums2line()等函数写入数据库。
比对阶段：get_changed_hashsums()等函数对比新旧数据库中的哈希值，判断文件是否被修改，并生成报告。