snort代码分析

『壹』 如何编写snort的检测规则

snort是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志IP网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。此外，snort具有很好的扩展性和可移植性。本文将讲述如何开发snort规则。
1.基础
snort使用一种简单的规则描述语言,这种描述语言易于扩展，功能也比较强大。下面是一些最基本的东西：
snort的每条规则必须在一行中，它的规则解释器无法对跨行的规则进行解析。注意：由于排版的原因本文的例子有的分为两行。
snort的每条规则都可以分成逻辑上的两个部分：规则头和规则选项。规则头包括：规则行为(rule's action)、协议(protocol)、源/目的IP地址、子网掩码以及源/目的端口。规则选项包含报警信息和异常包的信息(特征码,signature)，使用这些特征码来决定是否采取规则规定的行动。
这是一个例子：
alert tcp any any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";)
表1.一条简单的snort规则
从开头到最左边的括号属于规则头部分，括号内的部分属于规则选项。规则选项中冒号前面的词叫做选项关键词(option keywords)。注意对于每条规则来说规则选项不是必需的，它们是为了更加详细地定义应该收集或者报警的数据包。只有匹配所有选项的数据包，snort才会执行其规则行为。如果许多选项组合在一起，它们之间是逻辑与的关系。让我们从规则头开始。
1.1 include
snort使用的规则文件在命令行中指定，include关键词使这个规则文件可以包含其它规则文件中的规则，非常类似与C语言中的#include。snort会从被包含的文件读出其内容，取代include关键词。
格式：
include <文件路径/文件名>
注意：行尾没有分号。
1.2 varriables
在snort规则文件中可以定义变量。
格式：
var
例子：
var MY_NET 192.168.1.0/24,10.1.1.0/24] $MY_NET any (flags:S;msg:'SYNMETA packet";)
表2.变量的定义和使用
规则变量名可以使用多种方式来修改，你可以使用$操作符来定义元变量(meta-variables)。这些修改方式可以结合变量修改操作符：?和-来使用。
$var：定义元变量
$(var)：以变量var的内容作为变量名
$(var:-default)：以变量var的内容作为变量名，如果var没有定义就使用default作为变量名
$(var:?message)：使用变量var的内容作为变量名，如果不成功就打印错误信息message并退出。
例如：
var MY_NET $(MYU_NET:-192.168.1.0/24) tcp any any -> $(MY_NET:?MY_NET is undefined!) 23
表3.高级变量应用
2.规则头(Rule Headers)
2.1 Rule Action
规则头包含一些信息，这些信息包括：哪些数据包、数据包的来源、什么类型的数据包，以及对匹配的数据包如何处理。每条规则的第一项就是规则行为(rule action)。规则行为告诉snort当发现匹配的数据包时，应该如何处理。在snort中，有五种默认的处理方式：alert、log、pass、activate和dynamic。
alert：使用选定的报警方法产生报警信息，并且记录数据包
log：记录数据包
pass：忽略数据包
activate：报警，接着打开其它的dynamic规则
dynamic：保持空闲状态，直到被activete规则激活，作为一条log规则
你也可以定义自己的规则类型，把它们和一个或者几个输出插件联系在一起。然后你就可以在snort规则中使用这些规则类型了。
这个例子将建立一个类型，它将只以tcpmp格式输出日志：
ruletype suspicious
{
type log
output log_tcpmp: suspocious.log
}
下面这个例子将建立一个类型，把日志发送到syslog和MySql数据库：
ruletype redalert
{
type alert
output alert_syslog:LOG_AUTH LOG_ALERT
output database:log,user=snort dbname=snort host=localhost
}
2.2 协议
每条规则的第二项就是协议项。当前，snort能够分析的协议是：TCP、UDP和ICMP。将来，可能提供对ARP、ICRP、GRE、OSPF、RIP、IPX等协议的支持。
2.3 IP地址
规则头下面的部分就是IP地址和端口信息。关键词any可以用来定义任意的IP地址。snort不支持对主机名的解析。所以地址只能使用数字/CIDR的形式。/24表示一个C类网络；/16表示一个B类网络；而/32表示一台特定的主机地址。例如：192.168.1.0/24表示从192.168.1.1到192.168.1.255的地址。
在规则中，可以使用使用否定操作符(negation operator)对IP地址进行操作。它告诉snort除了列出的IP地址外，匹配所有的IP地址。否定操作符使用!表示。例如，使用否定操作符可以很轻松地对表1的规则进行改写，使其对从外部网络向内的数据报警。
alert tcp !192.168.1.0/24 any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"external mountd access";)
表4.使用IP地址否定操作符的规则
上面这条规则中的IP地址表示：所有IP源地址不是内部网络的地址，而目的地址是内部网络地址。
你也可以定义一个IP地址列表(IP list)。IP地址列表的格式如下：
[IP地址1/CIDR,IP地址/CIDR,....]
注意每个IP地址之间不能有空格。例如：
alert tcp ![192.168.1.0/24,10.1.1.1.0/24] any ->[192.168.1.0/24,10.1.1.0/24] 111 (content:"|00 01 86 a5|";msg:"external mountd access";)
2.4 端口号
在规则中，可以有几种方式来指定端口号，包括：any、静态端口号(static port)定义、端口范围，以及使用非操作定义。any表示任意合法的端口号；静态端口号表示单个的端口号，例如：111(portmapper)、23(telnet)、80(http)等。使用范围操作符:可以指定端口号范围。有几种方式来使用范围操作符:达到不同的目的，例如：
log udp any any -> 192.168.1.0/24 1:1024
记录来自任何端口，其目的端口号在1到1024之间的UDP数据包
log tcp any any -> 192.168.1.0/24 :600
记录来自任何端口，其目的端口号小于或者等于6000的TCP数据包
log tcp any :1024 -> 192.168.1.0/24 500:
记录源端口号小于等于1024，目的端口号大于等于500的TCP数据包
表5.端口范围示例
你还可以使用逻辑非操作符!对端口进行非逻辑操作(port negation)。逻辑非操作符可以用于其它的规则类型(除了any类型,道理很简单)。例如，你如果要日志除了X-window系统端口之外的所有端口，可以使用下面的规则：
log tcp any any -> 192.168.1.0/24 !6000:60 10
表6.对端口进行逻辑非操作
2.5 方向操作符(direction operator)
方向操作符->表示数据包的流向。它左边是数据包的源地址和源端口，右边是目的地址和端口。此外，还有一个双向操作符<>,它使snort对这条规则中，两个IP地址/端口之间双向的数据传输进行记录/分析，例如telnet或者POP3对话。下面的规则表示对一个telnet对话的双向数据传输进行记录：
log !192.168.1.0/24 any <> 192.168.1.0/24 23
表7.使用双向操作符的snort规则
activate/dynamic规则
activate/dynamic规则对扩展了snort功能。使用activate/dynamic规则对，你能够使用一条规则激活另一条规则。当一条特定的规则启动，如果你想要snort接着对符合条件的数据包进行记录时，使用activate/dynamic规则对非常方便。除了一个必需的选项activates外，激活规则(activate rule)非常类似于报警规则(alert rule)。动态规则(dynamic rule)和日志规则(log rule)也很相似，不过它需要一个选项：activated_by。动态规则还需要另一个选项：count。当一个激活规则启动，它就打开由activate/activated_by选项之后的数字指示的动态规则，记录count个数据包。
下面是一条activate/dynamic规则对的规则：
activate tcp !$HOME_NET any -> $HOME_NET 143 (flags:PA;content:"|E8C0FFFFFF|in|;activates:1;
表8.activate/dynamic规则对
这个规则使snort在检测到IMAP缓冲区溢出时发出报警，并且记录后续的50个从$HOME_NET之外，发往$HOME_NET的143号端口的数据包。如果缓冲区溢出成功，那么接下来50个发送到这个网络同一个服务端口(这个例子中是143号端口)的数据包中，会有很重要的数据，这些数据对以后的分析很有用处。
3.规则选项
规则选项构成了snort入侵检测引擎的核心，它们非常容易使用，同时又很强大和容易扩展。在每条snort规则中，选项之间使用分号进行分割。规则选项关键词和其参数之间使用冒号分割。截止到写本文为止(snort 1.7版)，snort有23个规则选项关键词：
msg：在报警和日志中打印的消息
logto：把日志记录到一个用户指定的文件，而不是输出到标准的输出文件
ttl：测试IP包头的TTL域的值
tos：测试IP包头的TOS域的值
id：测试IP分组标志符(fragment ID)域是否是一个特定的值
ipoption：查看IP选项（IP option)域
fragbits：测试IP包头的分片位(fragmentation bit)
dsize：测试数据包包数据段的大小
flags：测试TCP标志(flag)是否是某个值
seq：测试TCP包的序列号是否是某个值
ack：测试TCP包的确认(acknowledgement)域是否为某个值
itype：测试ICMP数据包的类型(type)域
icode：测试ICMP数据包的编码(code)域
icmp_id：测试ICMP回送包的标志符(ICMP ECHO ID)是否为某个值
content：在数据包的数据段中搜索模式(pattern)
content-list：在数据包的数据段中搜索模式清单
offset：设置开始搜索的偏移量
depth：设置搜索最大深度
nocase：大小写不敏感匹配内容字符串
session：剥离一个对话的应用层信息
rpc：观察RPC服务对特定应用程序的调用
resp：激活反应措施(断开连接等)
react：激活反应措施(阻塞WEB站点)
3.1 msg
msg规则选项告诉日志引擎在复制包时同时打印的信息，以及让报警引擎输出的警告消息。它只是一个简单的文本字符串，使用作为转义符。
格式：
msg:"";
3.2 logto
logto选项告诉snort把触发某条规则所有的数据包都记录到指定的文件。使用这个选项，对处理来自nmap扫描、HTTP CGI扫描的数据非常方便。注意如果使用二进制日志模式，这个选项会失效。
格式：
logto:"<文件名>";
3.3 ttl
这个选项设置要测试的生命周期(time-to-live)值。只有数据包的TTL和这个选项设置的值精确匹配，测试才会成功。这个选项主要用来检测路由企图。
格式：
ttl:"";
3.4 tos
你可以使用tos关键词检查IP包头的TOS(type of service)域是否是一个特定的值。也是只有在被检测包TOS域的值和给定的值精确匹配时，这个测试才会成功。
格式：
tos:"";
3.5 ID
这个选项关键词用来测试IP分片包头的ID域。一些黑客工具为了不同的目的把这个域设置为特殊的值，例如：31337是在一些黑客中比较流行的值。使用这个选项就可以阻止这种攻击。
格式：
id: "";
3.6 lpoption
如果IP包中有选项域，可以使用这个规则选项搜索IP包头的特定选项，例如源路由。这个规则选项可以使用的参数如下：
rr:路由记录
eof:End of list
nop:无操作
ts:时间戳
sec:IP安全选项
lsrr:宽松源路由(loose source routing)
ssrr:严格源路由(strict source roution)
satid:流标识符
最常被注意的IP选项是loose&strict source routing，不过在Internet上广泛使用的任何应用程序中都没使用这两个选项。每条规则中只能设定一个IP规则。
格式：
ipopts: ;
3.7 fragbits

『贰』 用VC6.0想实现向指定窗口截获抓取数据包如何实现，请提供源代码

络数据截获方法
网络数据包截获机制是网络入侵检测系统的基础组件。一般指通过截获整个网络的所有信息流量，根据信息源主机，目标主机，服务协议端口等信息简单过滤掉不关心的数据，再将用户感兴趣的数据发送给更高层的应用程序进行分析。流程图如下：
图5.1 网络数据截获流程
一方面要，网络截取模块要能保证截取到所有网络上的数据包，尤其是检测到被分片的数据包(这可能蕴涵着攻击)。
另方面，数据截取模块截取数据包的效率也是很重要的。
它直接影响整个入侵检测系统的运行速度。
5.2各种数据流截获方法
5.2.1 利用广播截取网络数据流
数据包的截取技术是依赖网卡的。而网卡可以通过广播监听到以太网络上的数据包，这就是数据包截取技术的基础。
要想截获不是给自己数据流，就必须绕开系统正常工作的机制，直接通过网卡的混杂模式，使之可以接受目标地址不是自己的MAC地址的数据包，直接访问数据链路层，取数据。
5.2.2各系统截取数据包机制
linux系统为用户提供一种在理论上是数据链路层的，基于网卡驱动程序的，可以不用操作系统自身协议栈的接口（也称套接字）-SockPacket. 这种套接字可以从数据链路层（就是网线）上直接截取所有链路层数据包。而Unix则是通过Libpcap库直接与内核交互，实现网络截取。如：Libpcap，Tcpmp等。如图：

Unix系统监听机制

BSD Packet Filter(BPF)机制来截取数据包。BPF可以说是各系统中最棒的截获方式。很多开源嗅探工具就是基于它而开发的。Windows系统也有类似情况，如：win系列上有*.vxd (VxD,VirtualDeviceDrive)（packet*.vxd） 和 网卡.sys（为网卡芯片所开发）来驱动网卡截取数据包。

图5.3 Windows系统监听机制
5.2.3 BPF过滤
Unix&Linux系统有两种数据链路层截取机制，分别是BSD系列系统(NetBSD,OpenBSD,FreeBSD等)的BPF和Linux的SOCKET_PACKET。
BPF过滤
BPF主要由两大部分组成：
网络头接口
数据包过滤器。
网络头接口从网络设备驱动程序处收集数据包复制(在提交给系统协议栈之前)，并传递给正在截获数据包的应用程序。而过滤器决定某一数据包是被接受或者拒绝以及如果被接受，数据包的那些部分会被复制给应用程序。BPF结构图如下：

图5.4 BPF结构示意图
如：TCPDump注：（1）, Libpcap, Sniffer, eeye,等。一般情况，网卡驱动通过网卡把网络上的电平信号转化成数据包，再把截取到的数据传给系统自带的协议栈，然后在交由系统处理。这种方式与Unix下的BPF不同，它使得网卡驱动在把从网络截取的数据提交给系统之前，先拷贝一份给BPF，再由BPF 决定是否符合规则，不符合则丢弃，符合则存放到内存指定区，等待处理。
当然，BPF对网卡驱动交给系统协议栈的数据包不做任何干涉。
注1：TCPDump是伯克利实验室的Van Jacobson,Craig Leres和Stenven McCanne为分析TCP性能问题而写的跨平台的监听程序。
5.3基于Libpcap库的通用数据截获技术
Libpcap是用户态的数据包截获API函数接口，有独立和可移植行。最初，Libpcap是为了强大的，健壮TCPDump而编写的。它支持BPF过滤机制。Snort就是依赖于libpcap库进行数据包截取的程序之一(还有Ethereal,eeye等)。 它的优点是可以从任何Unix内核平台上截取数据包，而不考虑什么芯片类型的网卡和驱动程序。更重要的是，它可以使开发人员编写自己的解码，显示，记录等程序。
5.2.2.1 Libpcap库主要函数

『叁』 Snort入侵检测实用解决方案的内容简介

《网站入侵与脚本攻防修炼》从“攻”、“防”两个角度，通过现实中的入侵实例，并结合原理性的分析，图文并茂地展现网站入侵与防御的全过程。全书共分8章，系统地介绍网站入侵的全部过程，以及相应的防御措施和方法。其中包括网站入侵的常见手法、流行网站脚本入侵手法揭密与防范、远程攻击入侵网站与防范、网站源代码安全分析与测试等。《网站入侵与脚本攻防修炼》尤其对网站脚本漏洞原理进行细致的分析，帮助网站管理员、安全人员、程序编写者分析、了解和测试网站程序的安全性漏洞。《网站入侵与脚本攻防修炼》用图解的方式对网站入侵步骤及安全防范设置都进行详细的分析，并且对一些需要特别注意的安全事项进行重点提示，过程中还加入一些安全技巧。
随书所配光盘内容包括书中涉及的源代码、视频教程和演示动画，方便读者学习和参考。
《网站入侵与脚本攻防修炼》适合于网络安全技术爱好者、网络管理员、网站程序编写人员阅读，也可作为相关专业学生的学习及参考资料。

『肆』 snort 的具体使用

Snort不是很难使用，但是也存在着很多的命令行选项需要掌握，并且它们中许多很多时候并不能一起使用。这个文件的目的就是使新人能够更简单的使用snort。

在我们进行下一步之前，有一些关于snort的基本概念需要了解。snort能够配置成三种模式运行:嗅探器(sniffer)，包记录器(packet logger)和网络入侵检测系统(NIDS)。嗅探模式（sniffer mode）简单的读取网络中的数据包，并以连续的数据流显示在控制台上。包记录模式（packet logger mode）把捕获的数据包记录在磁盘上。网络入侵检测模式(NIDS mode)是最复杂的、有机的配置，在这个模式下，snort分析网络中的数据，并通过使用用户自定义的规则集进行模式匹配，并根据匹配的结果执行多种操作。

2.0 嗅探模式（sniffer mode）

首先，让我们从基础开始。如果你只是想要在屏幕上打印出TCP/IP的包头信息（嗅探模式），使用下面的命令：
./snort –v
使用这个命令运行snort，将只显示IP和TCP/UDP/ICMP头信息，而不显示任何其它信息。如果你想要查看传输的有效负载信息，可以使用如下命令：
./snort –vd
这条命令在打印协议头信息的同时也打印相应的包数据。如果你想要一个更详细的现实，可以使用下面的命令来打印出数据链路层头信息：
./snort –vde

（注：这些选项参数能够分开或者拆散成任和结合的方式。比如上一个命令也可以写做这种方式：
./snort -d -v –e
来达到同样的效果）

3.0 包记录模式（PACKET LOGGER MODE）

好的，上面的命令运行的都相当的好。但是如果你想要记录包到磁盘上，你需要指定一个记录目录，然后snort将自动的进入包记录模式：
./snort -dev -l ./log
当然，这里假设你在当前目录下有一个叫做“log”的目录。如果没有这个目录，snort将退出并返回错误信息。当snort以这种模式运行，它收集所有捕获的数据包，并根据数据包中一个主机的IP地址放入对应的目录中。

如果你只是简单的指定“-l”选项，你可能会发现snort有时使用远程计算机的地址作为存放数据包的目录，有时使用本地主机的地址。为了比较本地的网络，你需要告诉snort本地网络的信息：
./snort -dev -l ./log -h 192.168.1.0/24
这条指令让snort能够记录数据链路信息和TCP/IP头和应用数据到目录./log，并且记录和192.168.1.0段C类网络相关的包信息。所有进来的包将记录到记录文件夹中对应的子文件夹中，子文件夹以远程主机（非192.168.1主机）的地址命名。注意，如果两个主机都是在本地网络内，然后他们将根据两个中高的端口号来记录，在端口号相等的情况下，将使用源地址来记录。

如果你在一个高速网络中，又或你想要使用一个更紧凑的格式来记录数据包为以后的分析所用，你可以考虑使用“二进制模式”来记录。二进制模式采用“tcpmp 格式”来记录数据包到指定目录下的单一二进制文件中。
./snort -l ./log –b
注意这里命令行的改变。我们不再需要指定一个本地网络，因为二进制模式记录所有的数据到一个单一的文件中，而不再需要定义输出的目录结构。另外，你不再需要使用详细（verbose）模式和指定-d/-e开关参数，因为在二进制模式下所有的包都会被记录而不是其中的某些部分。进入二进制包记录模式只需要做两点，一是在命令行中使用-l开关来指定一个日志目录，二是使用-b开关选择二进制模式代替ASCII文档模式记录包数据。

如果数据包以二进制文件的形式记录，你可以使用任何支持tcpmp二进制格式的嗅探器从文件中读取数据包信息，比如使用tcpmp或ethereal。snort也可以通过使用-r开关进入回放模式来读取记录的数据包信息。snort在任何运行模式下都能够接受tcpmp格式的文件并进行处理。比如，如果你想要以嗅探器模式来分析处理一个二进制文件并把数据包信息打印在屏幕，你可以使用类似下面的命令：
./snort -dv -r packet.log
你还可以以多种方式操作二进制文件中的数据，比如包记录模式和入侵检测模式，你也同样可以在命令行中使用BPF接口。比如，如果你只是想查看记录文件中的ICMP数据包信息，可以在命令行中简单的指定一个BPF过滤器：
./snort -dvr packet.log icmp
更多的BPF使用信息请参阅相应的man信息。

4.0 网络入侵检测模式（NETWORK INTRUSION DETECTION MODE）

可以使用如下命令来启用snort的网络入侵检测模式（这个模式下，你不用记录所有的数据包）：
./snort -dev -l ./log -h 192.168.1.0/24 -c snort.conf
在这里snort.conf是你的规则文件名。这将对每一个数据包使用snort.conf文件中定义的规则集进行检测，并根据文件中定义的行为进行处理。如果你没有为程序指定输出目录，将使用默认的目录“/var/log/snort”。

有一点需要注意的是，使用上一命令行形式进入NIDS模式运行速度稍慢，可以去掉“-v”开关来提高效率。往屏幕输出数据速度很慢，在数据显示的过程中可能会造成数据包的丢失。

同样，对于大多数的应用而言，都不比要记录数据链路层包头信息，因此“-e”开关也是可以去掉的。最后命令如下：
./snort -d -h 192.168.1.0/24 -l ./log -c snort.conf
这个命令能够配置snort以最基础的NIDS模式运行。它将以ASCII格式记录规则指定的包信息到对应的目录结构中（和包记录模式中目录结构一致）。

4.1 NIDS MODE输出选项

在snort的NIDS模式中有几种输出方式可以配置。默认的记录和报警以ASCII形式记录，并使用“完全”报警。完全报警方式（full alert mechanism）输出所有的包头信息并在其后附上对应的报警信息。当然，在命令行中可以设置多种报警输出模式和两种日志记录格式。包信息可以以默认的ASCII格式记录，也可以通过使用命令行开关“-b”来用二进制文件记录。如果你想要完全禁用包记录信息，可以使用命令行开关“-N”。

报警模式相对要复杂一些。在命令行中可以设置多种报警模式：full、fast、socket、syslog、console、cmg、和none模式。这六种模式可以使用命令行开关“-A”来设置。详细如下：

u -A fast 快速报警模式，以一种简单的格式记录报警信息（时间、报警信息、源和目的主机的IP和端口）

u -A full 这是默认的报警模式，如果没有指定报警模式，将自动使用这种报警模式

u -A unsock 发送报警信息到一个其它程序监听UNIX套接口

u -A none 关闭报警

u -A console 打印快速报警信息到控制台（屏幕）

u -A cmg 触发“cmg样式”报警

还可以使用“-s”开关来设置syslog报警。默认的两种syslog报警级别是LOG_AUTHPRIV和LOG_ALERT。如果你想要配置其它syslog日志级别的话，可以在规则文件中使用输出插件来设置（详细信息参见snort.conf文件）。

下面是几个输出配置实例：

1、使用默认格式（ASCII）向syslog发送报警信息：
snort -c snort.conf -l ./log -s -h 192.168.1.0/24

2、使用默认格式和默认目录（/var/log/snort）来向syslog发送报警信息：
snort -c snort.conf -s -h 192.168.1.0/24

3、使用二进制文件格式、快速报警模式、目录/var/snort来记录信息：
snort -c snort.conf -b -A fast -l /var/snort

4.2 性能配置

如果你想要提高snort运行效率（比如保持100Mbps网络环境下快速运行），可以使用“-b”和“-A fast”或者“-s”（syslog）选项。它将以tcpmp格式来记录包，并产生较少的报警信息。比如：
./snort -b -A fast -c snort-lib
在这个配置下，snort能够在100Mbps局域网内在80Mbps正常流量下检测同时进行的多重扫描和工具在这个配置下，记录将以二进制格式写入tcpmp格式文件snort.log中。然后可以重新使用“-r”选项和其它常用的选项运行snort，来从数据文件中解析为正常的snort格式的数据信息。比如：
./snort -d -c snort-lib -l ./log -h 192.168.1.0/24 -r snort.log
一旦这条指令执行，所有的数据将以正常的格式记录在日志文件夹中。很酷，不是吗？

4.3 其它信息

有很多人不喜欢snort默认的对包应用规则方式。在snort默认应用方式中，先使用报警（alert）规则，然后使用通过（pass）规则，最后使用记录（log）规则。这个顺序是违反直觉的，但是相对于允许用户定义了很多报警规则却因为使用了一条错误的通过规则而全部被禁止要简单有效。对于一些用户的需要，这里提供了“-o”开关来改变默认的规则应用顺序为：先使用pass规则，然后是alert规则，最后是log规则。命令如下：
./snort -d -h 192.168.1.0/24 -l ./log -c snort.conf -o

5.0 杂项信息

如果你想要以守护进程（daemon）模式运行snort，可以和其它选项一起加上“-D”开关设置。请注意，如果你想要向守护进程发送信号SIGHUP来重启snort的话，你需要在命令行中使用snort二进制文件的完全路径，比如你可以使用如下命令：
/usr/local/bin/snort -d -h 192.168.1.0/24 -l /var/log/snortlogs -c /usr/local/etc/snort-lib -s –D
由于安全关系，这里不提供对相对路径的支持。

如果你想要发送包记录信息到公共邮件列表，需要使用“-O”开关。这个开关将对包中输出的IP信息进行混淆处理。这使得你能够很容易的避免邮件列表中的用户获知相关的IP信息。你也可以把“-O”开关和“-h”开关联合使用，这样将只混淆本地网络中的主机地址。如果你不在意让人看见攻击主机的IP地址，这样设置是很有效的。命令如下：
./snort -d -v -r snort.log -O -h 192.168.1.0/24
这将从记录文件中读取数据包信息，并在屏幕上显示出来，在显示的过程中仅仅混淆了C类网络192.168.1.0/24中的地址信息。

如果你想要在不停止进程去查看snort包统计信息，可以向snort进程ID发送SIGUSR1信号，然后snort将在屏幕上显示统计信息，如果snort以守护进程模式运行，统计信息将发送到syslog中。你可以查看到snort检测的协议信息、报警数目、记录的包数、接收和丢弃的包数。这使得你能够很方便的提高snort的性能。

『伍』 利用SNORT这个软件怎么获取和分析数据包

你先把snort装起来吧，安装的过程可能会有点麻烦，但是也不至于像网上说的那样完全无法解决。
所以虽然网上的资料比较杂乱，自己也是沉下心来好好装装看吧，出现了什么错误再google一下吧，一定要用google啊。

如果实在不行的话，你在windows下先装一个snort，大概知道他是怎么用的也可以的。windows和linux工作起来差不多的。

装好了之后，再把snort各个模式都试试看。然后根据你的需要再慢慢研究吧。

『陆』 网络入侵的名词解释

1, 入侵检测技术（IDS）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。包括系统外部的入侵和内部用户的非授权行为,是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。
入侵检测方法很多，如基于专家系统入侵检测方法、基于神经网络的入侵检测方法等。目前一些入侵检测系统在应用层入侵检测中已有实现。
入侵检测通过执行以下任务来实现：
1.监视、分析用户及系统活动；
2.系统构造和弱点的审计；
3.识别反映已知进攻的活动模式并向相关人士报警；
4.异常行为模式的统计分析；
5.评估重要系统和数据文件的完整性；
6.操作系统的审计跟踪管理，并识别用户违反安全策略的行为。
入侵检测系统典型代表
入侵检测系统的典型代表是ISS公司（国际互联网安全系统公司）的RealSecure。它是计算机网络上自动实时的入侵检测和响应系统。它无妨碍地监控网络传输并自动检测和响应可疑的行为，在系统受到危害之前截取和响应安全漏洞和内部误用，从而最大程度地为企业网络提供安全。
入侵检测系统目前存在的问题:
1. 现有的入侵检测系统检测速度远小于网络传输速度, 导致误报率和漏报率
2. 入侵检测产品和其它网络安全产品结合问题, 即期间的信息交换,共同协作发现攻击并阻击攻击
3. 基于网络的入侵检测系统对加密的数据流及交换网络下的数据流不能进行检测, 并且其本身构建易受攻击
4. 入侵检测系统体系结构问题
发展趋势:
1. 基于agent(注:代理服务)的分布协作式入侵检测与通用入侵检测结合
2. 入侵检测标准的研究, 目前缺乏统一标准
3. 宽带高速网络实时入侵检测技术
4. 智能入侵检测
5. 入侵检测的测度

2,在1998年,Martin Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天,Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析,网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它.snort基于libpcap。
snort系统组成：snort由三个重要的子系统构成：数据包解码器，检测引擎，日志与报警系统。
Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。

3,SPAN技术主要是用来监控交换机上的数据流，大体分为两种类型，本地SPAN和远程SPAN.
----Local Switched Port Analyzer (SPAN) and Remote SPAN (RSPAN)，实现方法上稍有不同。
利用SPAN技术我们可以把交换机上某些想要被监控端口（以下简称受控端口）的数据流COPY或MIRROR一
份，发送给连接在监控端口上的流量分析仪，比如CISCO的IDS或是装了SNIFFER工具的PC. 受控端口和
监控端口可以在同一台交换机上（本地SPAN），也可以在不同的交换机上（远程SPAN）。
二、名词解释
SPAN Session--SPAN会话
SPAN会话是指一组受控端口与一个监控端口之间的数据流。可以同时对多个端口的进入流量或是一个端
口的外出流量进行监控，也可以对VLAN内所有端口的进入流量进行监控，但不能同时对多个端口的外出
流量及VLAN的外出流量进行监控，可以对处于关闭状态的端口设置SPAN，但此时的SPAN会话是非活动，
但只要相关的接口被打开，SPAN就会变为活动的。
监控端口最好是>=受控端口的带宽，否则可能会出现丢包的情况。
SPAN Traffic--SPAN的流量
使用本地SPAN可以监控所有的网络流量，包括multicast、bridge protocol data unit (BPDU)，和CDP、
VTP、DTP、STP、PagP、LACP packets. RSPAN不能监控二层协议。
Traffic Types--流量类型
被监控的流量类型分为三种，Receive (Rx) SPAN 受控端口的接收流量，Transmit (Tx) SPAN 受控端口
的发送流量，Both 一个受控端口的接收和发送流量。
Source Port--SPAN会话的源端口（也就是monitored port-即受控端口）
受控端口可以是实际的物理端口、VLAN、以太通道端口组EtherChannel，物理端口可以在不同的VLAN中，
受控端口如果是VLAN则包括此VLAN中的所以物理端口，受控端口如果是以太通道则包括组成此以太通道组
的所有物理端口，如果受控端口是一个TRUNK干道端口，则此TRUNK端口上承载的所有VLAN流量都会受到监
控，也可以使用filter vlan 参数进行调整，只对filter vlan 中指定的VLAN数据流量做监控。
Destination Port--SPAN会话的目的端口（也就是monitoring port-即监控端口）
监控端口只能是单独的一个实际物理端口，一个监控端口同时只能在一个SPAN会话中使用，监控
端口不参与其它的二层协议如：Layer 2 protocols
Cisco Discovery Protocol (CDP),
VLAN Trunk Protocol (VTP),
Dynamic Trunking Protocol (DTP),
Spanning Tree Protocol (STP),
Port Aggregation Protocol (PagP),
Link Aggregation Control Protocol (LACP).
缺省情况下监控端口不会转发除SPAN Session以外的任何其它的数据流，也可以通过设置ingress
参数，打开监控端口的二层转发功能，比如当连接CISCO IDS的时会有这种需求，此时IDS不仅要接
收SPAN Session的数据流，IDS本身在网络中还会与其它设备有通讯流量，所以要打开监控端口的
二层转发功能。
Reflector Port--反射端口
反射端口只在RSPAN中使用，与RSPAN中的受控端口在同一台交换机上，是用来将本地的受控端口流量
转发到RSPAN中在另一台交换机上的远程监控端口的方法，反射端口也只能是一个实际的物理端口，
它不属于任何VLAN(It is invisible to all VLANs.)。
RSPAN中还要使用一个专用的VLAN来转发流量，反射端口会使用这个专用VLAN将数据流通过TRUNK端口
发送给其它的交换机，远程交换机再通过此专用VLAN将数据流发送到监控端口上的分析仪。
关于RSPAN VLAN的创建，所有参与RSPAN的交换机应在同一个VTP域中，不能用VLAN 1，也不能用
1002-1005，这是保留的(reserved for Token Ring and FDDI VLANs)，如果是2-1001的标准VLAN，
则只要在VTP Server上创建即可，其它的交换机会自动学到，如果是1006-4094的扩展VLAN，则需要
在所有交换机上创建此专用VLAN.
反射端口最好是>=受控端口的带宽，否则可能会出现丢包的情况。
VLAN-Based SPAN--基于VLAN的SPAN
基于VLAN的SPAN只能监控VLAN中所有活动端口接收的流量(only received (Rx) traffic)，如果
监控端口属于此VLAN，则此端口不在监控范围内，VSPAN只监控进入交换机的流量，不对VLAN接口上
的路由数据做监控。
(VSPAN only monitors traffic that enters the switch, not traffic that is routed between VLANs.
For example, if a VLAN is being Rx-monitored and the multilayer switch routes traffic
from another VLAN to the monitored VLAN, that traffic is not monitored and is not received
on the SPAN destination port. )
三、SPAN和RSPAN与其它特性的互操作性
Routing--SPAN不监控VLAN间的路由数据；(不好理解)
Routing—Ingress SPAN does not monitor routed traffic. VSPAN only monitors traffic that
enters the switch, not traffic that is routed between VLANs. For example, if a VLAN is
being Rx-monitored and the multilayer switch routes traffic from another VLAN to the
monitored VLAN, that traffic is not monitored and not received on the SPAN destination port.
STP--监控端口和反射端口不会参与STP，但SPAN对受控端口的STP没有影响；
CDP--监控端口不参与CDP；
VTP--RSPAN VLAN可以被修剪pruning；
VLAN and trunking--可以修改受控端口、监控端口和反射端口的VLAN和TRUNK设置，受控端口的改变
会立即生效，而监控端口和反射端口则要在从SPAN中去除后才会生效；
EtherChannel--整个以太通道组可以做为受控端口使用，如果一个属于某个以太通道组的物理端口被
配成了受控端口、监控端口或反射端口，则此端口会自动从以太通道组去除，当SPAN
删除后，它又会自动加入原以太通道组；
QoS--由于受QoS的策略影响，监控端口上收到的数据流会与受控端口实际的数据流不同，比如DSCP值
被修改等；
Multicast--SPAN可以监控组播的数据流；
Port security--安全端口不能做为监控端口使用；
802.1x--受控端口、监控端口和反射端口上可以设置802.1x，但有些限制。
四、SPAN和RSPAN的配置举例
SPAN的限制和缺省设置
Catalyst 3550交换机上最多只能设置两个SPAN Session，缺省SPAN没有使用，如果做了设置，缺省
情况下，第一个被设为受控端口的接口进出流量都会受到监控，以后再追加的受控端口只会对接收的
流量进行监控，监控端口的默认封装类型为Native，也就是没有打VLAN的标记。

『柒』 入侵检测软件snort有哪些功能

Snort最重要的用途还是作为网络入侵检测系统(NIDS)。
使用简介
Snort并非复杂难以操作的软体。 Snort可以三个模式进行运作：
侦测模式（Sniffer Mode）：此模式下，Snort将在现有的网域内撷取封包，并显示在荧幕上。
封包纪录模式（packet logger mode）：此模式下，Snort将已撷取的封包存入储存媒体中（如硬碟）。
上线模式（inline mode）：此模式下，Snort可对撷取到的封包做分析的动作，并根据一定的规则来判断是否有网路攻击行为的出现。
基本指令：侦测模式
若你想要在萤幕上显示网路封包的标头档（header）内容，请使用
./snort -v
如果想要在萤幕上显示正在传输的封包标头档内容，请使用
./snort -vd
如果除了以上显示的内容之外，欲另外显示数据链路层（Data link layer）的资料的话，请使用
./snort -vde

『捌』 我的电脑不能用microsoft word 打开.doc文件怎么办

如果你工作需要急于打开文件，可以尝试用WINDOWS自带的写字板打开，或者安装WPS2003以上的版本可以打开WORD文件，实在不行就复制文件到软盘、U盘，或刻录到光盘，或通过网络传送等方式转移到其它电脑上打开，先完成工作再说。

然后就是把重要的文件备份到C盘以外，重新安装WINDOWS，WINDOWS已经败坏了，重新安装这是迟早的事。

提醒，如果你有系统一键恢复或镜像就可以几分钟恢复正常，如果没有，重新安装WINDOWS后记得做一个一键恢复或镜像，具体操作问你当地的技术人员。

『玖』 一个较新的snort规则，讲明其对抗何种黑客攻击这种黑客攻击的特征是什么并说明snort规则对抗

怎么不用sinnfer，这个比较简单！比较好用，图形化的界面。功能也比较强大！

Snort是一个网络入侵检测系统，它可以分析网络上的数据包，用以决定一个系统是否被远程攻击了。多数Linux发行版本都有Snort程序，因此通过urpmi、apt-get、yum等安装Snort是一件很轻松的事情。Snort可以将其收集的信息写到多种不同的存储位置以便于日后的分析。此外，Snort可被用作一个简单的数据包记录器、嗅探器，当然它主要是一个成熟的IDIS(网络入侵检测系统)。

在Snort安装之后，就可以立即使用了。我们只需执行：

#snort –v

这就将Snort设置也了嗅探模式，数据通信会在屏幕上滚动，显示Snort所看到的数据。要退出此程序，按下ctrl-c键就可以了，然后我们就会看到它所检测到的内容的一个简短分析。要看到如tcpmp那样更为详细的信息，就需要使用-vd选项。

要使用Snort记录数据，可以告诉此程序将信息记录到什么地方。在下面的例子中，Snort会将信息记录到/usr/local/log/snort目录中，因此就确保此目录真的存在：

# snort -l /usr/local/log/snort -d

Snort将以二进制方式记录数据包，如:/usr/local/log/snort/snort.log.1199665001,要查看此记录，可以使用-r选项来重新显示所捕获的数据。

# snort -r /usr/local/log/snort/snort.log.1199665001

要将Snort用作一个网络入侵检测系统还需要花点儿工夫。我们必须正确配置Snort，并要使用配置文件/etc/snort/snort.conf。注意，这个配置文件非同一般。Snort网站上的一些规则可能与Snort一起打包了，这依赖于你所使用的Linux版本。

开源社团的Snort的规则对任何人都是可用的，并极有可能与供应商所提供的Snort的版本捆绑发布。你还可以从Sourcefire预订、接收其更新，这样就可以使规则保持不断更新。

一旦下载了一个规则包，如Community-Rules-CURRENT.tar.gz，就要在系统中解开它，将其解到Snort配置所在的目录中：

# cd /etc/snort

# tar xvzf Community-Rules-CURRENT.tar.gz

新的规则将出现在rules/ directory中。

要启用之，需要编辑snort.conf文件并添加以下内容：

var RULE_PATH rules

include $RULE_PATH/sql.rules

include $RULE_PATH/icmp.rules

...

不管你喜欢哪些规则，现在就可以启动Snort并装载配置文件/etc/snort/snort.conf，这会依次装载下载的规则：

# snort -c /etc/snort/snort.conf

此时，Snort将会打印其初始化的信息，将其显示在屏幕上，然后开始记录与规则匹配的数据包。这些规则将决定Snort可以记录什么,它将忽略哪些内容，因此这里不像将Snort作为一个嗅探器来运行那样，它所生成的记录要小得多，因为它只记录所谓的“重要的”数据包。默认情况下，这些记录将会被存储到/var/log/snort/中，Snort将会用我们前面所说-r选项来分析之。

『拾』 type 8E是什么文件系统

Snort分析报告
1.--snort的简介
snort 是一个基于libpcap的数据包嗅探器并可以作为一个轻量级的网络入侵检测系统（
NIDS）。所谓的轻量级是指在检测时尽可能低地影响网络的正常操作，一个优秀的轻量
级的NIDS应该具备跨系统平台操作，对系统影响最小等特征并且管理员能够在短时间内
通过修改配置进行实时的安全响应，更为重要的是能够成为整体安全结构的重要成员。
Snort作为其典型范例，首先可以运行在多种操作系统平台，例如UNIX系列和Windows 9
X.（需要libpcap for Win32的支持），与很多商业产品相比，它对操作系统的依赖性比
较低。其次用户可以根据自己的需要及时在短时间内调整检测策略。就检测攻击的种类
来说，据最新数据表明（2000/12/4）snort共有21类（???）1271条检测规则，其中包括
对缓冲区溢出，端口扫描和CGI攻击等等。SNORT集成了多种告警机制来提供实时告警功
能，包括：syslog、用户指定文件、UNIXSocket、通过SMBClient使用WinPopup对Windo
ws客户端告警。 Snort的现实意义维作为开源软件填补了只有商业入侵检测系统的空白
，可以帮助中小网络的系统管理员有效地监视网络流量和检测入侵行为。

2.snort与其他工具的比较。
Snort的主要用途就是网络监视、数据包的记录和检测入侵行为，下面是与分别具有上述
两种功能的典型工具的比较。

1)--snort与tcpmp的比较
Tcpmp是最为经典的嗅探工具，主要是用于记录网络数据，网络故障的探测诊断工具。
Snort与它的最大的共同之处在于都是基于libpcap的并且支持BPF过滤机制，所以本质上
都是调用的捕获数据包的库函数，但是snort的目的不仅仅是在于记录这个数据包而是从
安全的角度考虑出发区解析它，并且tcpmp主要是分析第二层或者第三层的报文来进行
网络故障诊断，而snort则主要针对于应用层的数据进行分析从而实现检测入侵行为。除
此之外，由于tcpmp旨在快速完整地记录流量，所以它制定了特殊的输出格式，速度快
但是不易看懂，而snort就提供了更为友好的输出格式，有利于系统管理员的直接分析。

--Figure 1 - Typical Snort telnet packet display:
--------------------------------------------------------------------------
20:59:49.153313 0:10:4B:A9:66 -> 0:60:97:7:C2:8E type:0x800 len:0x7D
192.168.1.3:23 -> 192.168.1.4:1031 TCP TTL:64 TOS:0x10 DF
***PA* Seq: 0xDF4A6536 Ack: 0xB3A6FD01 Win: 0x446A
FF FA 22 03 03 E2 03 04 82 0F 07 E2 1C 08 82 04 ..".............
09 C2 1A 0A 82 7F 0B 82 15 0F 82 11 10 82 13 FF ................
F0 0D 0A 46 72 65 65 42 53 44 20 28 65 6C 72 69 ...FreeBSD (elri
63 2E 68 6F 6D 65 2E 6E 65 74 29 20 28 74 74 79 c.home.net) (tty
70 30 29 0D 0A 0D 0A p0)....
---------------------------------------------------------------------------
--Figure 2 - The same telnet packet as displayed by tcpmp:
---------------------------------------------------------------------------
20:59:49.153313 0:10:4b:d:a9:66 0:60:97:7:c2:8e 0800 125: 192.168.1.3.23 >
192.168.1.4.1031: P 76:147(71) ack 194 win 17514 (DF) [tos 0x10] (ttl 64,
id 660)
4510 006f 0294 4000 4006 b48d c0a8 0103
c0a8 0104 0017 0407 df4a 6536 b3a6 fd01
5018 446a d2ad 0000 fffa 2203 03e2 0304
820f 07e2 1c08 8204 09c2 1a0a 827f 0b82
150f 8211 1082 13ff f00d 0a46 7265 6542
5344 2028 656c 7269 632e 686f 6d65 2e6e
6574 2920 2874 7479 7030 290d 0a0d 0a
---------------------------------------------------------------------------

2)--snort与NFR的比较
根据Denmac System公司1999年11月的现有商用网络入侵检测工具的调查结果表明，NFR
的综合性能指数高于ISS公司的RealSecure和CA公司的SessionWall，所以其代表了目前
国际上的IDS的最高水准，是一个比较成熟的商业产品。Snort的许多设计思想类似于NF
R，但是在很多方面都显出不足之处，例如无法实现IP Defragmentation等功能，在探测
规则语言的格式上来说，NFR采用的是一种深层次的脚本语言，SNORT与其相比就略显单
薄。但是snort的优势就在于它是开源软件，全世界的爱好者都可以加入它的开发升级工
作中来，其前景是无法限量的。

2.--原理
snort作为一个NIDS[注：基于网络的入侵检测系统（NIDS），其工作原理为在基于共享
网络上检测原始的网络传输数据，通过分析捕获的数据包，主要工作为匹配入侵行为的
特征或者从网络活动的角度检测异常行为，进而采取入侵的预警或记录。从检测模式而
言，snort属于是误用检测（misuse detection）。[注：该方法对已知攻击的特征模式
进行匹配，包括利用工作在网卡混杂模式下的嗅探器被动地进行协议分析，以及对一系
列数据包解释分析特征。]从本质上上来说，snort是基于规则检测的入侵检测工具，即
针对每一种入侵行为，都提炼出它的特征值并按照规范写成检验规则，从而形成一个规
则数据库。其次将捕获得数据包按照规则库逐一匹配，若匹配成功，则认为该入侵行为
成立。目前，snort的检测规则库主要包括了以下几类的入侵行为：
snort的结构主要分为三个部分如图n-1：

l--数据包捕获和解析子系统（Capture Packet Mechanism from link layer and the
packet decoder ）：
该子系统的功能为捕获网络得传输数据并按照TCP/IP协议的不同层次将数据包进行解析
。Snort利用libpcap库函数进行采集数据， 该库函数可以为应用程序提供直接从链路层
捕获数据包的接口函数并可以设置数据包的过滤器以来捕获指定的数据。（的详细介绍
请参阅附录N）。网络数据采集和解析机制是整个NIDS实现的基础，其中最关键的是要保
证高速和低的丢包率，这不仅仅取决于软件的效率还同硬件的处理能力相关。对于解析
机制来说，能够处理数据包的类型的多样性也同样非常重要，目前，snort可以处理以太
网，令牌环以及SLIP等多种链路类型的包。

l--检测引擎（the detect engine）
检测引擎是一个NIDS实现的核心，准确性和快速性是衡量其性能的重要指标，前者主要
取决于对入侵行为特征码的提炼的精确性和规则撰写的简洁实用性，由于网络入侵检测
系统自身角色的被动性——只能被动的检测流经本网络的数据，而不能主动发送数据包
去探测，所以只有将入侵行为的特征码归结为协议的不同字段的特征值，通过检测该特
征值来决定入侵行为是否发生。后者主要取决于引擎的组织结构，是否能够快速地进行
规则匹配。

Snort采用了灵活的插件形式来组织规则库，即按照入侵行为的种类划分为相应的插件，
用户可以根据需要选取对应的插件进行检测。目前包括的插件分别如下：
每一类插件中包括了数十条的检测规则，分别代表同一类型的不同入侵行为。对于规则
的定义，snort使用了一种简单的，轻量级的规则描述语言，上述已经提及到检测的最终
行为就是检测数据包中协议的不同字段，例如端口号就是重要的入侵线索。为了更为清
楚地阐述这个问题，我们举一例说明：

攻击名称--NT IIS Showcode ASP
攻击种类--获取非法访问权限。
攻击描述--通过构造特定的URL请求可以非法阅读服务器上的其他文件http://attack
host/msadc/Samples/SELECTOR/showcode.asp?source=/msadc/Samples/../../../../.
./boot.ini
入侵特征码 --IP地址：保护网段以外的IP地址。
--协议类型：TCP
--端口：80
--TCP标志位：PUS, ACK
--数据段内容：/selector/showcode.asp
CVE ID--CAN-1999-0736
Bugtraq ID --167

分析以上的这个入侵实例，我们可以看出其实检测该入侵行为的关键是判断端口号和数
据段内容，IP地址、协议类型和TCP标志位只是辅助的特征码。但是当开始分析原始数据
包时，是否应该就直接匹配端口和数据段的内容？无疑针对该入侵行为上述做法的匹配
效率是最高的。但是实际上这样做会降低整体检测的效率，因为入侵系统要对庞大的网
络数据逐一进行检测，应该遵循先检测所有入侵行为的共同特征其次才是个体特征的原
则，例如如果首先检测IP地址，一旦发现并不属于检测范围之内，就立即检测下一个数
据包而并非继续检测该包的其他字段。这样既保证了检测的快速性，又提高了报警的实
时性。

Snort正是按照上述原则定义规则的，将检测规则划分成两个部分：规则头和规则选项。
前者是所有规则共有的包括IP地址、协议类型、端口号，后者根据不同规则包括相应的
字段关键字，例如TCP的标志位或者窗口大小等。检测规则除了包括上述的关于“要检测
什么”还应该定义“检测到了该做什么”，snort定义了三种处理方式——alert(发送报
警信息),log（记录该数据包）和pass（忽略该数据包）并定义为规则的第一个匹配关键
字，这样设计的目的非常简单，旨在在程序中组织整个的规则库，即将所有的规则按照
处理方式组织成三个链表以用于更快速准确地进行匹配，体现了设计者的巧妙之处。
下面我们来举一实例来具体说明规则的定义：
alert tcp !$HOME_NET any -> $HOME_NET 80 (msg:"CAN-1999-0736 - IIS-showcode"
;flagsA; content:"/selector/showcode.asp"; nocase

该实例正式针对表（N）中所示的入侵行为所定义的检测规则，通过该例可以看出snort
的规则语言简明实用，基本格式为：
规则动作 协议类型 IP地址 端口号 -> 协议类型 IP地址 端口号 （规则选项）
源发送方 目的接受方

关于规则的具体书写规范不再赘述，下面就其关键和特别之处加以说明：

1.-- 变量和操作符
snort作为一个NIDS，主要的目的就是能够保护本网段即及时发现外部网对内部网的攻击
，所以规则中的IP地址的定义主要是针对外部网和内部网地址两种。由此snort引入了变
量的机制，即可以在规则中用变量表示IP地址字段，用户在运行前可根据实际的子网地
址来定义该变量，这样在解析检测规则时snort会自动替换变量值，增加了规则的灵活性
，不过只适应于像IP地址这种基本所有规则都具有同一值。
为了更为准确地表达规则和精确地表示检测范围，snort还定义了三类操作符：
l--否定操作符——“ ! ”
用于表示snort还增加了否定符“！”来区分内部网和外部网。例如例n的!$HOME_NET。

l--方向操作符——“->”和”<>”
用于表示传输的方向，分别表示单向和双向传输。
l--端口描述符——“ : ”
用于表示端口的范围。例如： “600:“表示大于600的端口号。

2. 规则选项
规则选项作为检测时的重要标准组成了snort入侵检测引擎的核心，既易用又非常灵活强
大。首先其灵活性是指可以根据不同的不同行为制定相应的检测选项内容，其次其强大
性是指不仅检测具有一定的广度和深度并且定义了检测到时该做什么 。snort中有15个
规则选项关键字，其中有三个关键字是做为检测到后的回应：
msg - 在报警和包日志中打印一个消息
logto - 把包记录到用户指定的文件中而不是记录到标准输出
resp - 主动反应（切断连接等）
Resp关键字可以对匹配一条Snort规则的流量进行灵活的反应（flexible reponse
-FlexResp）。FlexResp代码允许Snort主动地关闭恶意的连接。该模块合法的参数如下
：
rst_snd - 向发送方发送TCP-RST数据包
rst_rcv - 向接受方发送TCP-RST数据包
rst_all - 向收发双方发送TCP_RST数据包
icmp_net - 向发送方发送ICMP_NET_UNREACH
icmp_host - 向发送方发送ICMP_HOST_UNREACH
icmp_port - 向发送方发送ICMP_PORT_UNREACH
icmp_all - 向发送方发送上述所有的ICMP数据包。

作为入侵检测系统，理论上只需要检测入侵，并不需要去回应入侵行为的。所以该功能
应该是作为SNORT的附加功能，但是值得一提的是，发送RST和ICMP UNREACH数据包向攻
击方可以暂缓其对目标主机的攻击，我们所研究的一个工具叫做dsniff中的tcpkill就是
利用这个原理进行切断非法连接，但是对于一般的拒绝服务攻击，该方法的作用就不甚
明显了。对于SNORT来说，实现该功能必然会降低检测的的效率尤其是在网络流量特别大
的时候。

另外12中关键字都是针对协议中的不同字段设置的：
关键字--检测内容--主要针对的攻击行为
ttl--检测ip头的ttl的值 --用于对traceroute探测的检测
id--检测ip头的分片id值--黑客的固定攻击，例如设置为31337
dsize--检测包的净荷尺寸的值--缓冲区溢出攻击。
content--在包的净荷中搜索指定的样式--最为重要的一个选项，用于在数据包的数据段
中搜索指定的内容并根据数据触发响应，可以搜索包含混合的文本和二进制数据。并设
置了三个辅助关键字：offset,dsize,nocase
Flags--检测tcp flags的值--非法端口扫描或者其他非法探测主机操作系统类型等。
Seq--检测tcp顺序号的值--检测主机发送的序列号集是否是固定的集合。入侵者可以利
用该值冒充合法用户向被入侵者发送数据，伪装正常的通信以窃取信息或者其他非法活
动。
Ack--检测tcp应答（acknowledgement）的值--Nmap的TCP PING会设置该项的值为0,从而
判断可能正在用Nmap进行非法扫描。
Itype--检测icmp type的值--拒绝服务攻击。注：只作为其中的一种特征。
Icode--检测icmp code的值--可疑的流量。
Session--记录指定会话的应用层信息的内容--记录在TCP会话中的会话数据。
Icmp_id--检测ICMP ECHO ID的值--
Icmp_seq--检测ICMP ECHO 顺序号的值--
Ipoption--监视IP option的特定代码--
Rpc--监视特定应用/进程调用的RPC服务--检测非法的RPC请求，查看RPC请求，并自动将
应用（Application），过程（procere）和程序版本（program version）译码，如果
所有三个值都匹配的话，该规则就显示成功。

3.预处理程序
预处理程序从Snort版本1.5开始引入，其代码在检测引擎被调用之前先被运行，为检测
做铺垫，从而提高检测的准确性和速度。而且预处理机制采用插件形式，用户和程序员
能够将模块化的插件方便地融入Snort之中。目前snort现有的预处理程序模块有以下三
种：
l--Minfrag
Minfrag预处理程序检查给定尺寸限制的分片数据包。数据包被分片通常是由源和目的主
机之间的路由器引起的。一般说来，商业网络设备不会产生小于512字节的分片包。可以
利用这个事实，来监控含有小分片的流量。
l--HTTP Decode
HTTP Decode用于处理HTTP URI字符串，将串中的数据转化为可读的ASCII字串，用于检
测HTTP的数据信息对付隐蔽的WebURL扫描器和恶意的入侵者。
l--Portscan Detector
Snort Portscan预处理程序的用处：
向标准记录设备中记录从一个源IP地址来的端口扫描的开始和结束。
如果指定了一个记录文件，在记录扫描类型的同时也记录目的IP地址和端口。端口扫描
定义为在时间T（秒）之内向超过P个端口进行TCP连接尝试，或者在时间T（秒）之内向
超过P个端口发送UDP数据包。端口扫描可以是对任一IP地址的多个端口，也可以是对多
个IP地址的同一端口进行。现在这个版本可以处理一对一和一对多方式的端口扫描，下
一个完全版本将可以处理分布式的端口扫描（多对一或多对多）。端口扫描也包括单一
的秘密扫描（stealthscan）数据包，比如NULL，FIN，SYNFIN，XMAS等。如果包括秘密
扫描的话，端口扫描模块会对每一个扫描数据包告警。
network to monitor - 监视端口扫描的目标网络以network/CIDR表示
number of ports - 在探测期间访问的端口数目
detection period - 以秒计数的端口访问时间限制
logdir/filename - 告警信息存放的目录/文件名，告警也可以写入标准的告警文件中。

l--日志及报警子系统（logging/alerting subsystem）
入侵检测系统的输出结果系统的必要特征是实时性和多样性，前者指能够在检测到入侵
行为的同时及时记录和报警，后者是指能够根据需求选择多种方式进行记录和报警。一
个好的NIDS，更应该提供友好的输出界面或发声报警等等。
Snort是一个轻量级的NIDS，它的另外一个重要功能就是数据包记录器，所以该子系统主
要提供了方式：
1.--fast model :采取TCPDUMP的格式记录信息
2. readable model :按照协议格式记录，易于用户查看。
3.alert to syslog: 向syslog发送报警信息。
4.alert to text file :以明文形式记录报警信息。
值得提出的是，snort考虑到用户需要高性能的时候，即网络数据流量非常大，可以将数
据包信息进行压缩从而实习快速的报警。

3.-- 程序结构
1)--snort的整体结构
snort作为优秀的公开源代码的入侵检测系统范例，其整个程序结构清晰，构思巧妙，我
们对于其版本1.6.3的源码进行了深入的分析。Snort共有64个c文件和h文件，首先介绍
程序的整体结构，其流程图如下：
其中最为关键的函数就是ProcessPacket(),--其流程图如下：
2)--数据结构--
snort的主要数据结构就是几个链表，上述已经提及，snort组织规则库的巧妙之处就是
按照规则的处理动作来划分成三个链表，其中每个链表又按照协议类型：TCP,IP和ICMP
分成三个链表，所以所有的规则都会被分配到这个三个链表中。链表中的成员就是描述
每条规则的结构——RuleTreeNode，该结构中的一个重要成员就是记录该规则的处理函
数链表——RuleFpList，一条规则有时候需要调用多个处理函数来进行分析。该结构中
的另外一个重要成员就是规则选项的结构，该结构同样包括该规则的选项信息以及其处
理函数链表。
值得提出的是，并不是每一条规则都分配一个RuleTreeNode结构，因为很多规则的选项
前的头部分是相同的，只需要根据不同的规则选项链取不同的选项函数处理链表。基本
整体的结构如图n所示，所有链表的初始化都是在捕获数据包前进行的。
除以上链表外，snort还定义了预处理、输出的关键字和处理函数链表，设计链表的主要
意图是为了实现插件的思想，即用户何以根据需求添加删除预处理的功能模块。其只要
的数据结构如下：
typedef struct _PreprocessKeywordNode
{
char *keyword;
void (*func)(char *);
} PreprocessKeywordNode;
// 预处理关键字信息结构。
typedef struct _PreprocessKeywordList
{
PreprocessKeywordNode entry;
struct _PreprocessKeywordList *next;
} PreprocessKeywordList;
//预处理关键字链表。
typedef struct _PreprocessFuncNode
{
void (*func)(Packet *);
struct _PreprocessFuncNode *next;
} PreprocessFuncNode;
//预处理函数链表。
所有链表的初始化都是在捕获数据包前进行初始化的，一旦链表都已建立完毕，开始捕
获数据包，每收到一个数据包都会现首先调用预处理程序链表中的函数进行处理后，其
次按照默认地顺序遍历AlertList,PassList和LogList三个链表。遍历时首先根据数据包
的协议类型定位规则链表，其次调用递归函数进行规则的逐一匹配，即首先匹配规则头
，若匹配则继续递归匹配规则选项，若不匹配，直接匹配下一条规则。为了加快遍历的
速度，snort在规则选项中的”content”内容匹配时调用了Boyer-Moore算法。

4.--改进
1.--背景
我们认为snort已经具备了NIDS的基本功能，由于它本身定位在一个轻量级的入侵检测工
具，尽管与商业的入侵检测工具比起来，它的规则语言略显简陋，在报警方式和图形化
使用界面上也显露出不足之处，但是程序的整体结构清晰，规则语言简单实用并提供插
件的功能支持，用户可以添加自己的检测规则和处理函数，这对于规则库的及时更新有
着极为现实的意义。
通过分析，与商业的NIDS相比，SNORT 1.6.3没有设置对IP 分片包的处理功能，即对于
例如“Teardrop”和“Ping of Death”两类利用非法IP分片包进行的攻击无法检测：
?--teadrop——该攻击是针对很多操作系统的TCP/IP协议栈没有正确处理已分段的IP包
的重组。其特征是发送2个或更多特别的分段IP数据报。第一个包是偏移量为0的段，数
据段(分段长度)字节是N,并设置了MF位，第二个包是最后一个分段(MF==0)，但它的偏移
量小于N，所有造成两个分段重叠了。为了重组这些包，有弱点的系统就会在TCP/IP栈中
分配非常大的空间，因此导致目标系统因为内存耗尽而停止响应或者重启。
?--Ping of Death——该攻击的特正是向攻击目标发送大量的ICMP分片数据包，当这些
数据包重组时其数据段已经大于65535个字节，系统会因为无法处理这种数据包而造成拒
绝服务或者重启。
?--
2.--方案
3.--实现