snort 学习之一(for RedHatLinux9 acid，php安装)

duanjigang

要搞IDS，便先装了个snort玩玩，几遍下来觉得安装过程已经比较顺畅，所以今天又用半天时间在自己的虚拟机上重装了一遍。
现在把整个过程记录下来，在CU做个备份，也为大家提供可能的参考，因为我也是参考官方文档和CU的精华贴的，但在安装过程中也出现了一些问题，而且现在有些老的安装包也找不到了，所以，对原来的文档进行整理和适当的版本更新，出一个新的安装手册。
感觉好像不应该发在白金的这个板块，但是我希望后面能把自己整理的攻击消息模拟程序也能分享出来，所以觉得跟安全防护还是有关系的，勉强把帖子放在此处。

(1):环境以及安装包
    操作系统: RedHat Linux9.0 kernel-2.4.20
    软件包:
            1): acid-0.9.6b23.tar.gz
            2): adodb330.tar
            3): httpd-2.0.45.tar.gz
            4): snort-2.0.0.tar.gz
            5): zlib-1.1.4.tar.gz
            6): php-4.3.1.tar.gz
            7): jpgraph-1.21b.tar.gz
            8): libpcap-0.7.2.tar.gz
            9): mysql-4.0.27.tar.gz
   附注:有些软件包，比如 zlib,libpcap, httpd等，在安装系统的时候一般默认都要安装的，所以如果你要从装系统
        开始做的话，最好不要安装这些包，以免发生冲突。至于软件包的下载，谷歌基本都能帮你搞定
(2):软件安装(最好以root身份进行安装，如果有身份切换的话会特别说明的)
     首先将安装包拷贝至Linux系统下的一个目录中，你可以用ssh或者Ftp将这些安装包拷贝到linux系统，或者用U盘或者Wget直接下载
     (前提是你的Linux能直接连接到万维网上)。我在自己的机子上建了一个目录 mkdir /root/snortinstall
      1):安装 zlib-1.1.4.tar.gz

1.          
   
2.          # cd /root/snortinstall
   
3.          # tar -zxvf zlib-1.1.4.tar.gz
   
4.          # cd zlib-1.1.4
   
5.          # ./configure
   
6.          # make test
   
7.          # make install
   
8.          # cd ..
   
9.    

复制代码

2):安装libpcap-0.7.2.tar.gz

1.          # tar -zxvf libpcap-0.7.2.tar.gz
   
2.          # cd libpcap-0.7.2
   
3.          # ./configure
   
4.          # make
   
5.          # make install
   
6.          # cd ..
   
7.       

复制代码

3):安装  mysql-4.0.27.tar.gz
        首先添加mysql用户组
     

1. 
   
2.             #groupadd mysql
   
3.             #useradd -g mysql mysql

复制代码

         然后，需要添加mysql的bin目录到path环境变量中，这样在每次执行mysql命令时你就没有必要敲全部的路径了
      

1. # vi /home/mysql/.bash_profile

复制代码

          最后一行添加
      

1. export PATH=$PATH:/usr/local/mysql/bin

复制代码

        安装mysql
         

1. # tar -zxvf mysql-4.0.27.tar.gz

复制代码

       这里我们要指定mysql的安装目录
     

1. 
   
2.         #cd mysql-4.0.27
   
3.         #./configure  --prefix=/usr/local/mysql
   
4.         

复制代码

如果若干秒后你看到提示“Thank you for choosing MySQL!”的话，说明一切正常，如果有提示其它错误的话，去网上搜索
     错误信息，直到没有问题为止。

1.       
   
2.         #make
   
3.         #make install

复制代码

       然后我们需要lib库的路径加到配置文件中去
     在/etc/ld.so.conf中添加两行

1.       
   
2.           /usr/local/mysql/lib/mysql
   
3.           /usr/local/lib

复制代码

        保存，然后执行

1. 
   
2.       ldconfig -v

复制代码

      

1. 
   
2.          #./scripts/mysql_install_db
   
3.          #chown -R root /usr/local/mysql/
   
4.          #chown -R mysql /usr/local/mysql/var/
   
5.          #chgrp -R mysql /usr/local/mysql/
   
6.          # cp support-files/my-medium.cnf /etc/my.cnf

复制代码

          然后我们尝试启动 mysql

1. 
   
2.           #/usr/local/mysql/bin/mysqld_safe &
   
3.           # ps -ef | grep mysql

复制代码

         看到

1. 
   
2.          root     12815  1943  0 23:52 pts/0    00:00:00 /bin/sh /usr/local/mysql/bin/mysqld_safe
   
3.          mysql    12836 12815  0 23:52 pts/0    00:00:00 [mysqld]
   
4.          

复制代码

         说明一切正常。
      然后我们设置mysql的开机自启动

1. 
   
2.           # cp support-files/mysql.server /etc/init.d/mysql

复制代码

          为了方便系统以等级3或者5启动时mysql都能启动，我们添加如下文件

1. 
   
2.            # cd /etc/rc3.d
   
3.            # ln -s ../init.d/mysql S85mysql
   
4.            # ln -s ../init.d/mysql K85mysql
   
5.            # cd ../rc5.d/
   
6.            # ln -s ../init.d/mysql S85mysql
   
7.            # ln -s ../init.d/mysql K85mysql
   
8.            # cd ../init.d
   
9.            # chmod 755 mysql

复制代码

          然后你可以做个测试，reboot你的系统，再次启动后用ps 命令进行查看，检测mysql是否自动启动。
      4): 安装  httpd-2.0.45.tar.gz 和 php4.3.1

1. 
   
2.           # tar -zxvf httpd-2.0.45.tar.gz
   
3.           # cd httpd-2.0.45
   
4.           # ./configure --prefix=/www --enable-so
   
5.           # make
   
6.           # make install

复制代码

          添加中文支持

1. 
   
2.           #vi /www/conf/httpd.conf

复制代码

          将

1. 
   
2.           AddDefaultCharset ISO-8859-1

复制代码

           改为

1. 
   
2.           AddDefaultCharset gb2312

复制代码

          保存.

1. 
   
2.           # cd ..
   
3.           # tar -zxvf php-4.3.1.tar.gz
   
4.           # cd php-4.3.1
   
5.           #  ./configure --prefix=/www/php --with-apxs2=/www/bin/apxs --with-config-file-path=/www/php --enable-sockets --with-mysql=/usr/local/mysql --with-zlib-dir=/usr/local（一行，没有换行）

复制代码

          当你看到"Thank you for using PHP"时，表示一切正常

1. 
   
2.           #make
   
3.           #make install
   
4.           #cp php.ini-dist  /www/php/php.ini

复制代码

          然后需要编辑httpd.conf文件

1. 
   
2.           #vi /www/conf/httpd.conf

复制代码

          找到注释

1. 
   
2.            # AddType allows you to add to or override the MIME configuration
   
3.            # file mime.types for specific file types

复制代码

          在下面添加一行

1. 
   
2.           LoadModule php4_module modules/libphp4.so

复制代码

          然后在两个AddType后添加一行

1. 
   
2.           AddType application/x-httpd-php .php

复制代码

          最后的情形大概就是

1. 
   
2.           # AddType allows you to add to or override the MIME configuration
   
3.           # file mime.types for specific file types.
   
4.           #
   
5.           LoadModule php4_module modules/libphp4.so
   
6.           AddType application/x-tar .tgz
   
7.           AddType image/x-icon .ico
   
8.           AddType application/x-httpd-php .php

复制代码

         ( 一定要注意不要把空格写错,我当时在这个地方就疏忽了点，多亏ThatDay提示，所以再次特别提示一下大家。)
      现在apache已经安装成功了，我们然后去设置httpd服务的开机自启动.

1. 
   
2.          # cp /www/bin/apachectl  /etc/init.d/httpd

复制代码

          如果提示是否要覆盖原来的文件，确认覆盖
      如果原来的httpd被覆盖了，我们要进行删除工作

1. 
   
2.           #cd /etc/rc3.d
   
3.           #rm -fr K15httpd
   
4.           #cd /etc/rc5.d
   
5.           #rm -fr K15httpd

复制代码

          然后要设置新的httpd服务的链接，象mysql的自启动一样

1. 
   
2.           #cd /etc/rc3.d
   
3.           #ln -s ../init.d/httpd  K85httpd
   
4.           #ln -s ../init.d/httpd  S85httpd
   
5.           #cd /etc/rc5.d
   
6.           #ln -s ../init.d/httpd  K85httpd
   
7.           #ln -s ../init.d/httpd  S85httpd
   
8.           #chmod 755 /etc/init.d/httpd

复制代码

          我们这个时候可以象检测mysql的自启动一样重启机器检测看httpd服务是否会随着系统的启动而自启动

1. 
   
2.           #reboot

复制代码

          机器启动后

1. 
   
2.           #ps -ef | grep httpd

复制代码

          我们看到
        root      1788     1  0 11:12 ?        00:00:00 /www/bin/httpd -k start
            nobody    1814  1788  0 11:12 ?        00:00:00 [httpd]
            nobody    1815  1788  0 11:12 ?        00:00:00 [httpd]
            nobody    1816  1788  0 11:12 ?        00:00:00 [httpd]
            nobody    1817  1788  0 11:12 ?        00:00:00 [httpd]
            nobody    1818  1788  0 11:12 ?        00:00:00 [httpd]
            root      2033  1992  0 11:13 pts/0    00:00:00 grep httpd
           说明一切正常，如果有问题的话，你在仔细盘查，直到成功就可以继续往下走了。
        下来测试一下php是否已经安装成功

1. 
   
2.             #vi /www/htdocs/test.php

复制代码

            在文件中添加

1. 
   
2.             <?php phpinfo();?>

复制代码

           保存，然后地址栏键入

1. 
   
2.            http://192.168.0.199/test.php

复制代码

           如果一切正常的话，你将会看到关于php的信息的一个页面，如图
       (当然http://后面的地址应该是你的linux系统的IP地址或者127.0.0.1)
           如果有问题的话，请借助网络解决你的问题。

[ 本帖最后由 duanjigang 于 2007-4-27 10:21 编辑 ]

duanjigang

接着上面的
(5):安装snort和Snort规则

1. 
   
2.            # mkdir /etc/snort
   
3.            # mkdir /var/log/snort
   
4.            # cd /root/snortinstall/
   
5.            # tar -zxvf snort-2.0.0.tar.gz
   
6.            # cd snort-2.0.0
   
7.            # ./configure --with-mysql=/usr/local/mysql
   
8.            # make
   
9.            # make install

复制代码

           安装规则和配置文件

1. 
   
2.            # cd rules/
   
3.            # cp * /etc/snort/
   
4.            # cd ../etc/
   
5.            # cp snort.conf  /etc/snort/
   
6.            # cp *.config /etc/snort/

复制代码

           接下来需要修改snort的配置文件/etc/snort/snort.conf
           从snort.conf文件说明我们大致可以知道，需要做一下4件事情
           (1): 设置网络变量
           (2): 配置处理器
           (3): 配置输出插件
           (4): 定制规则集合
       在以上四个步骤中，需要我们参与的主要就是(1)，(3)和(4).
          首先修改你的网络变量

1. 
   
2.           var HOME_NET 192.168.0.1/24

复制代码

(这个是我的机器所在的局域网地址范围)
          然后需要修改规则的存储路径：

1. 
   
2.           var RULE_PATH  /etc/snort/

复制代码

          设置数据库的存储

1. 
   
2.           output database: log, mysql, user=root password=mysql dbname=snort host=localhost

复制代码

             注意，这个密码就是我们后面要设置的密码,在页面上看不到数据很大一部分原因是由于入库错误引起的，
       而且密码错误是最常见的错误。
       设置snort自启动

1. 
   
2.           # cp /root/snortinstall/snort-2.0.0/contrib/S99snort /etc/init.d/snort

复制代码

          然后编辑这个文件，修改如下内容：

1. 
   
2.           CONFIG=/usr/local/share/snort/snort.conf

复制代码

          为

1. 
   
2.           CONFIG=/etc/snort/snort.conf

复制代码

          注释掉

1. 
   
2.           SNORT_GID=nogroup

复制代码

           这一行为:

1. 
   
2.           #SNORT_GID=nogroup

复制代码

          ，最后将

1. 
   
2.            $SNORT_PATH/snort -c $CONFIG -i $IFACE -g $SNORT_GID $OPTIONS

复制代码

         这一行的"-g $SNORT_GID"删掉，修改为:

1. 
   
2.          $SNORT_PATH/snort -c $CONFIG -i $IFACE  $OPTIONS

复制代码

         保存退出.
      修改snort的属性

1. 
   
2.          # cd /etc/init.d
   
3.          # chmod 755 snort

复制代码

         添加符号链接

1. 
   
2.          # cd /etc/rc3.d/
   
3.          # ln -s ../init.d/snort S99snort
   
4.          # ln -s ../init.d/snort K99snort
   
5.          # cd /etc/rc5.d/
   
6.          # ln -s ../init.d/snort S99snort
   
7.          # ln -s ../init.d/snort K99snort

复制代码

         接下来，需要在mysql中建立起snort数据库
      设置数据库连接的密码

1. 
   
2.           # /usr/local/mysql/bin/mysql
   
3.           mysql> SET PASSWORD FOR root@localhost=PASSWORD('mysql');
   
4.            mysql> create database snort;
   
5.           mysql> grant INSERT, SELECT,DELETE on root.* to snort@localhost;
   
6.           mysql> exit;

复制代码

          下来导入数据库表

1. 
   
2.            #cd /root/snortinstall/snort-2.0.0/contrib/
   
3.            # /usr/local/mysql/bin/mysql -p < create_mysql snort

复制代码

           然后下来就可以看我们的数据库是否导入成功了

1. 
   
2.         [root@localhost contrib]# /usr/local/mysql/bin/mysql -p
   
3.             Enter password:
   
4.            Welcome to the MySQL monitor.  Commands end with ; or \g.
   
5.            Your MySQL connection id is 5 to server version: 4.0.27-log
   
6. 
   
7.            Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
   
8. 
   
9.             mysql> show databases;
   
10.            +----------+
    
11.            | Database |
    
12.            +----------+
    
13.            | mysql    |
    
14.            | snort    |
    
15.            | test     |
    
16.            +----------+
    
17.            3 rows in set (0.00 sec)
    
18. 
    
19.            mysql> use snort;
    
20.            Database changed
    
21.            mysql> show tables;
    
22.            +------------------+
    
23.           | Tables_in_snort  |
    
24.           +------------------+
    
25.          | data             |
    
26.          | detail           |
    
27.          | encoding         |
    
28.          | event            |
    
29.          | icmphdr          |
    
30.          | iphdr            |
    
31.          | opt              |
    
32.          | reference        |
    
33.          | reference_system |
    
34.          | schema           |
    
35.          | sensor           |
    
36.          | sig_class        |
    
37.          | sig_reference    |
    
38.          | signature        |
    
39.          | tcphdr           |
    
40.          | udphdr           |
    
41.          +------------------+
    
42.        16 rows in set (0.00 sec)
    
43. 
    
44.        mysql>exit;

复制代码

       一切正常。
(6): 安装JPGraph

1. 
   
2.      # cd /root/snortinstall
   
3.      # cp jpgraph-1.21b.tar.gz  /www/htdocs/
   
4.      # cd /www/htdocs/
   
5.      # tar -zxvf jpgraph-1.21b.tar.gz
   
6.      # rm -fr jpgraph-1.21b.tar.gz
   
7.      # cd jpgraph-1.21b/
   
8.      # rm -fr README
   
9.      # rm -fr QPL.txt

复制代码

(7): 安装ADODB

1. 
   
2.      # cd /root/snortinstall
   
3.      # cp adodb330.tar /www/htdocs/
   
4.      # cd /www/htdocs/
   
5.      # tar -zxvf adodb330.tar
   
6.      # rm fr adodb330.tar

复制代码

(8):安装并且配置ACID

1. 
   
2.     # cd /root/snortinstall
   
3.     # cp acid-0.9.6b23.tar.gz /www/htdocs/
   
4.     # cd /www/htdocs/
   
5.     # tar -zxvf acid-0.9.6b23.tar.gz
   
6.     # rm -fr acid-0.9.6b23.tar.gz

复制代码

      配置acid

1. 
   
2.      # cd /www/htdocs/acid/
   
3.      # vi acid_conf.php

复制代码

     修改

1. $DBlib_path = " ";

复制代码

     为

1. $DBlib_path = "/www/htdocs/adodb";

复制代码

     还有

1. 
   
2.           $alert_dbname   = "snort";
   
3.           $alert_host     = "localhost";
   
4.           $alert_port     = "";
   
5.           $alert_user     = "root";
   
6.           $alert_password = "mysql";
   
7. 
   
8.            /* Archive DB connection parameters */
   
9.           $archive_dbname   = "snort";
   
10.           $archive_host     = "localhost";
    
11.           $archive_port     = "";
    
12.           $archive_user     = "root";
    
13.           $archive_password = "mysql";

复制代码

        这几项进行修改。
  修改

1. $ChartLib_path = "";

复制代码

   
   为

1. $ChartLib_path = "/www/htdocs/jpgraph-1.21b/src";

复制代码

   保存退出。
  然后在地址栏键入：

1. http://192.168.0.199/acid/acid_main.php

复制代码

   如果一切正常的话，将能看到
“Analysis Console for Intrusion Databases”
  这个标题，下面有个
   “Use the Setup page to configure and optimize the DB”
   的链接，点击链接， 进入DB setup页面，然后点击
          “create acid ag”
会提示
       “Successfully created 'acid_ag'
            Successfully created 'acid_ag_alert'
            Successfully created 'acid_ip_cache'
            Successfully created 'acid_event'”
   这时再点击下面的
       “ Main page”
    链接，将会进入主页面
    如果这些当中有问题的话，请检查你的配置文件和数据库。
    然后就可以测试snort了
问题解答：
    (1):启动系统后或者

1. service snort start

复制代码

后 ps看不到snort进程，这个时候很可能是配置文件的问题
        因为snort启动的命令很简单

1. 
   
2.            snort -c /etc/snort/snort.conf -i eth0 -D

复制代码

     这个时候我们能够看到打印信息，一般情况下，很可能是mysql数据库连接用户名和密码的问题
     但是也要注意/etc/init.d/snort文件中的变量是否正确，比如

1. 
   
2.       CONFIG=/etc/snort/snort.conf

复制代码

     一定要将默认的修改过来。

[ 本帖最后由 duanjigang 于 2007-4-27 10:13 编辑 ]

platinum

感谢分享
不过看起来有些乱，若再排版好一些就更好了

duanjigang

好，我再调整一下。
顺便加上一个图
这是我根据ICMP的规则，用程序模拟的消息，发送出去被Snort检测到的报警。
页面被汉化了一下
后面有空会将规则的部分加上来

[ 本帖最后由 duanjigang 于 2007-4-27 10:07 编辑 ]

thatday

流水账记得不错，和我以前配置cacti一样，哈~

broceliu

这样的帖子  德顶    在顶 反复顶

zqli

最新版:http://bbs.chinaunix.net/viewthr ... &highlight=zqli

duanjigang

昨天开始在RH8上面安装，我特意参考官方的RH8手册进行安装（附件中已经上传），在这里只对软件包的变化和安装中的一小部分修改说明一下，另外希望有人能解决我遇到的问题
(1):软件包变化对比
1):snort-1.9.1.tar.gz 无变化
2):snortrules-stable.tar.gz这个包我没有找见，就下载了snortrules-pr-2.0.tar.gz，这个在snort.org上有的
3):apache_1.3.27.tar.gz 没有变化，可以找见的
4):php-4.3.1.tar.gz 无变化
5):adodb330.tar 无变化
6):acid-0.9.6b23.tar.gz 无变化
7):zlib-1.1.4.tar.gz 无变化
8):jpgraph-1.21b.tar.gz 替代无从找见的jpgraph-1.1.11tar.gz
9): libpcap-0.7.2.tar.gz无变化，可以找到
(2):测试
     一切安装好以后 service snort start启动snort，如果ps -A能看到snort说明一切正常
这个时候你可以下载一个端口扫描器(比如我用的http://www.xfocus.net/tools/200502/BluesPortScan.exe)去扫描snort主机
的端口，分别用udp和tcp协议进行扫描，端口范围从1到2000，然后刷新acid页面就能看到红色的报警了。
(3):数据库使用mysql-front连接问题,求助？
为了方便数据的查看，可以下载一个mysql-front（v3.2）进行远程连接
在linux后台，执行如下命令

1. 
   
2. [root@localhost Snort_RH8]# mysql -p
   
3. Enter password:
   
4. Welcome to the MySQL monitor.  Commands end with ; or \g.
   
5. Your MySQL connection id is 9 to server version: 3.23.58-log
   
6. 
   
7. Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
   
8. 
   
9. mysql> GRANT ALL PRIVILEGES ON snort.* TO duanjigang IDENTIFIED BY "123456";
   
10. Query OK, 0 rows affected (0.00 sec)
    
11. 
    
12. mysql> exit
    
13. Bye
    

复制代码

在RH9上用mysql5.1的时，在做完这个操作之后，就可以通过mysql-front从windows上连接到后台mysql数据库了
并能进行相应的操作，可是当换成RH8，数据库使用mysql-3.23.58 之后，进行相应的操作，却始终无法连接到数据库，具体现象是：
界面对话框提示"Lost connection to database server 192.168.0.168 during query"
数据库后台显示
“ /usr/local/mysql/bin/safe_mysqld: line 284:  3909 Segmentation fault      $NOHUP_NICENESS $ledir/$MYSQLD $defaults --basedir=$MY_BASEDIR_VERSION --datadir=$DATADIR $USER_OPTION --pid-file=$pid_file --skip-locking >>$err_log 2>&1

Number of processes running now: 1
mysqld process hanging, pid 3912 - killed
070510 16:59:56  mysqld restarted”
在my.cnf文件中也没有找到关于此项的说明，我不知道是不是数据库版本不支持远端连接还是需要在mysql数据库中进行功能的开启，在网上也没能找到说法，希望能解决次问题的朋友不吝赐教，谢谢！

[ 本帖最后由 duanjigang 于 2007-5-10 17:05 编辑 ]

nlsycb

这帖子必须要顶了!
正在折腾snort,真是好人啊楼主!

晓雨飘飘

必须要顶