论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2005-02-02 21:10 |只看该作者 |倒序浏览

美丽人生(F.S.T) www.wrsky.com

1                安装之前的准备
2.                   外界环境
3.                   安装mysql
4.                   安装apache+php4.0.3
5.                   安装 autoconf 2.53
6.                   安装 automake 1.7.9
7.                   安装snort2.3
8.                   安装ACDI
9.                   设置数据库
10.                   配置apache+php
11.                   配置snort
12.                   安装测试
13.                   参数介绍

1.安装之前的准备
在snort安装之前要准备要安装的软件，查看系统环境
安装snort需要以下软件：
Snort2.3 automake 1.79  autoconf 2.53 apache ACDI libcap  mysql
其中automake 1.79  autoconf 2.53 apache  libcap  mysql 在Linux ToolBox光盘上有
查看系统环境：
bash-2.05a# oslevel
5.2.0.0
bash-2.05a# uname -a
AIX p630 2 5 005C8ACA4C00
本说明是在AIX 5.2上安装snort系统，机器型号p630
2.外界环境
机器在1000M/100M自适应网络中，活动网卡en0/100M
3.安装mysql
1.安装mysql-client-3.23.47
为什么要先安装mysql-client呢?
如果你直接安装服务端,就会提示mysql-client是必须的一个错误.,所以要先安装它.
拿出AIX Linux ToolBox 光盘放入光区
bash-2.05a# smit install
出现如下提示:
                              软件安装与维护

移动光标至希望的项目并按 Enter 键。

  安装并更新软件
  列示软件和相关的信息
  软件维护和实用程序
  软件服务管理
  网络安装管理
  EZ NIM（简易 NIM 工具）
  系统备份管理器
F1= 帮助          F2= 刷新          F3= 取消          F8= 图像
F9= 外壳          F10= 退出          Enter 键 = 执行

选择安装并更新软件---安装软件
出现提示:
                                 安装软件

为输入字段输入或选择值。
当完成所有希望的更改之后，按 Enter 键。

                                                      [输入字段]
* 软件的输入设备／目录                            []                   +

在[]中输入:/dev/cd0
如果你在硬盘上安装mysql,就输入相应的目录,我也是在硬盘安装,把Linux ToolBox 光盘全部拷贝在硬盘上了.输入目录/home/ftp/linux,回车,看到界面:

* 软件的输入设备／目录                               /home/ftp/linux
* 要安装的软件                                     [all_latest]          +
  仅预览？（将不实际发生安装操作）                   否                   +
  提交软件更新？                                     是                   +
  保存被置换的文件？                               否                   +
  自动安装必要的软件？                               是                   +
  如果需要空间则扩展文件系统？                      是                   +
  覆盖相同的或较新的版本？                         否                   +
  验证安装并检查文件大小？                         否                   +
  包括相应的语言文件集？                            是                   +
  详尽输出吗？                                     否                   +
  处理多卷？                                        是                   +
  接受新的许可证协议吗？                            否                   +
  预览新的许可证协议吗？                            否                   +

光标移到要安装的软件这一项,按f4,出现/home/ftp/linux的软件目录,选择相应的软件mysql-.
在接受新的许可证协议吗选择是
回车就可以安装了.

同样的方法安装服务端和mysql-devel-3.23.47
mysql-devel-3.23.47必须安装,因为编译snort要用到他的头文件mysql.h

4.安装apache和php

这个没有什么注意的地方,照安装mysql的方法安装就可以了.

5.安装autoconf 2.53或者更高版本.
同样方法安装,如果你不知道你的系统有没有安装这个包,就如下命令查看:
bash-2.05a#autoconf -V
autoconf (GNU Autoconf) 2.53
Written by David J. MacKenzie and Akim Demaille.

Copyright 2002 Free Software Foundation, Inc.
This is free software; see the source for copying conditions.  There is NO
warranty; not even for MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.

如果屏幕打印出如上信息,就说明你的机器已经安装了autoconf,如果没有,就需要安装这个软件.
必须先安装autoconf 2.53,后安装auotomake 1.79,因为auotomake对有依赖关系.

安装好autoconf以后,查看你有无安装auotomake.
如下可以查看:
bash-2.05a# aclocal --version
aclocal (GNU automake) 1.7.9

Copyright (C) 2002 Free Software Foundation, Inc.
This is free software; see the source for copying conditions.  There is NO
warranty; not even for MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.

Written by Tom Tromey <tromey@redhat.com>;

或者
bash-2.05a# automake --version
都可以
如果没有就需要安装,如果你的版本提示
aclocal (GNU automake) 1.7.9
小于1.6就需要卸载这个软件,安装高版本.因为在编译snort的时候,小于1.6的版本会提示出错.AIX 5.2 Linux ToolBox光盘上是1.5的版本.
在http://www-1.ibm.com/servers/aix/products/aixos/linux/download.html 可以下载到automake 1.7.9
如果你的snort是2.2或者2.0版本的,安装automake 1.7.9以后仍然会提示需要automake 1.6的错误,如果是2.3的版本就没有这个提示了.
2.2版本直接安装不下去,2.0版本可能会在make的时候提示你找不到automake 1.6,但是还是可以编译过去的.

建议安装2.3版本的snort,免得这么麻烦.

如下方法卸载软件版本不合适的automake.
bash-2.05a#smit install
移动光标至希望的项目并按 Enter 键。

  安装并更新软件
  列示软件和相关的信息
  软件维护和实用程序
  软件服务管理
  网络安装管理
  EZ NIM（简易 NIM 工具）
  系统备份管理器

选择软件维护和实用程序--除去安装的软件
出现界面:

                                                      [输入字段]
* 软件名称                                        []                   +
  仅预览？（将不实际发生卸装操作）                   是                   +
  删除从属软件？                                     否                   +
  如果需要空间则扩展文件系统？                      否                   +
  详尽输出吗？                                     否                   +

在软件名称里面填入要卸载的automake 1.5,如果你不确定你要卸载的软件具体名称,可以把光标移到软件名称项以后按 F4,在列出的系统已经安装的所有软件中选择要卸载的automake软件.
在仅预览？（将不实际发生卸装操作）要选择"否",不然卸载不掉软件.

卸载以后安装下载好的软件automake 1.7.9就可以了.

6.安装snort2.3

在安装之前检查libpcap有没有安装:
bash-2.05a# whereis libpcap
libpcap: /usr/lib/libpcap.a /usr/lib/libpcap.exp
如果有,就继续安装snort,如果没有,就需要在AIX Linux ToolBox光盘里面安装这个lib了,或者在 http://www.packetfactory.net/libnet/
可以找到,安装方法和前面安装mysql的一样.
# gunzip −c snort−2.3.0.tar.gz | tar xvf −
bash−2.05# cd snort−2.3.0
bash−2.05#  ./configure −−with−mysql=/usr/lib/mysql
还可以加载apache等一些东西
bash−2.05# make

在这里,如果你的snort版本是2.0.1的会提示找不到acloacl 1.6,但是会编译成功,如果是2.3的版本,就没有这个问题了.
bash−2.05# make install

这样就安装成功了.

实际的安装过程不会这样顺利的.可能遇到的问题有:找不到mysql.h头文件,找不到mysqlclient,找不到acloacl 1.6,找不到"mysql_com.h" "mysql_version.h"这两个文件,找不到Libpcre.我遇到了这几个问题,也许别人会遇到其他更多的问题.所以正确的找到问题所在很重要.
首先测试下
bash−2.05#  ./configure
出现找不到Libpcre,这个最好解决,在ibm Linux ToolBox光盘里面就有rpm包,直接安装就可以了.或者把pcre.h拷贝到目录
/usr/lib/gcc-lib/powerpc-ibm-aix5.1.0.0/2.9-aix51-020209/include/ 下也可以解决这个问题
bash−2.05#  ./configure
通过
bash−2.05# make
显示找不到acloacl 1.6,但是automake已经安装了,但是还是提示,我们可以先执行
bash−2.05# aclocal
然后编译,这下通过了.

测试完成以后就开始正式编译系统了
bash-2.05a# whereis mysql
mysql: /usr/bin/mysql /usr/lib/mysql /usr/include/mysql
bash−2.05#./configure --with-mysql=/usr/bin/mysql
如果全部通过,那就完成90%了.不过一般是不会那样顺利的.
通常是输出一个错误,提示没有找到mysql.h 继续:
bash−2.05#./configure --with-mysql=/usr/lib/mysql
又得到一个错误,提示/usr/lib/mysql/lib/mysql 和/usr/lib/mysql/include/mysql 找不到头文件mysql.h
可以判断出.configure的时候搜索mysql.h的主目录是/usr,所以运行以下语句:
bash−2.05#./configure --with-mysql=/usr
这个时候,他搜索的目录应该是=/usr/lib/mysql  /usr/include/mysql 这个了.
没有提示错误,找到了mysql.h了.
还有一个方法是修改Makefile文件, 效果是一样的,方法如下:

CPPFLAGS = -I/usr/include/mysql -I/usr/include/mysql -DENABLE_MYSQL
LDFLAGS = -L/usr/lib/mysql
顺便也把mysqlclient的数学库加栽上去
LIBS = -lpcap -lnsl -lmysqlclient -lm

这样就通过configure了,然后可以开始编译了
bash−2.05#make
出现错误提示,说是aclocal 1.6找不到,先前我们已经安装了automake 1.7.9了,这个aclocal是automake里面带的.
运行
bash−2.05#aclocal
然后
bash−2.05#make
开始编译了,在编译过程中,提示说找不到"mysql_com.h"和"mysql_version.h"
bash−2.05#vi /usr/include/mysql/mysql.h
找到
#include "mysql_com.h"
#include "mysql_version.h"
改为
#include "/usr/include/mysql/mysql_com.h"
#include "/usr/include/mysql/mysql_version.h"
然后重新编译,编译通过.
bash−2.05#make install
bash−2.05#mkdir /etc/snort
bash−2.05#cp -R rules /etc/snort
bash−2.05#cp etc /etc/snort

7.安装ACDI
这个只是一个php的web页面,下载解压到web目录就可以了.
在其中还要安装生成图片的jpgraph.
bash−2.05# gunzip −c jpgraph−1.12.1.tar.gz | tar xvf −
bash−2.05# gunzip −c adodb340.tgz | tar xvf −
bash−2.05# gunzip −c acid−0.9.6b23.tar.gz | tar xvf −
bash−2.05# cp −R jpgraph−1.12.1 /web/jpgraph
bash−2.05# cp −R adodb /web/ bash−2.05# cp −R acid /web/
bash−2.05# vi /web/acid/acid_conf.php
设置acdi-conf.php文件
$DBlib_path = "/www/htdocs/adodb";
$DBtype = "mysql";
$alert_dbname = "snort";
$alert_host = "localhost";
$alert_port = "";
$alert_user = "snort";
$alert_password = "password";
$archive_dbname = "snort";
$archive_host = "localhost";
$archive_port = "";
$archive_user = "snort";
$archive_password = "password ";
$ChartLib_path = "/www/htdocs/jpgraph-1.13/src";
/* File format of charts ('png', 'jpeg', 'gif') */
$chart_file_format = "png";

8.配置mysql数据库
bash−2.05# mysql −u root −p
mysql>; create database snort;
mysql>; use snort;
mysql>; source /download/snort−2.3.0/contrib/create_mysql
给数据库设置相关权限,这里的权限有 CREATE,INSERT,SELECT,DELETE,UPDATE
mysql>; connect snort
mysql>; grant CREATE,INSERT,SELECT,DELETE,UPDATE on snort.* to snort;
mysql>; grant CREATE,INSERT,SELECT,DELETE,UPDATE on snort.* to snort@localhost;
在mysql数据库中增加snort用户:
mysql>; connect mysql
mysql>; set password for 'snort'@'localhost' = password('your_snort_password');
mysql>; set password for 'snort'@'%' = password('your_snort_password');
mysql>; flush privileges;

添加表  "contrib/snortdb−extra.gz"  :

mysql>; connect snort
mysql>; source snort−db
mysql>; exit
这样snort数据库就设置好了,可是查看一下:
bash−2.05# mysql −u root −p
mysql>; connect snort
mysql>; show tables;

+−−−−−−−−−−−−−−−−−−+
| Tables_in_snort |
+−−−−−−−−−−−−−−−−−−+
| acid_ag |
| acid_ag_alert |
| acid_event |
| acid_ip_cache |
| data |
| detail |
| encoding |
| event |
| icmphdr |
| iphdr |
| opt |
| reference |
| reference_system |
| schema |
| sensor |
| sig_class |
| sig_reference |
| signature |
| tcphdr |
| udphdr |
+−−−−−−−−−−−−−−−−−−+
20 rows in set (0.00 sec)

mysql>; exit

9.安装apache+php

和安装mysql的方法一样,注意要先安装apache,后安装php

在"httpd.conf" in "/usr/local/apache/conf" : 中添加如下项目,使apache支持php:
LoadModule php4_module libexec/libphp4.so
AddModule mod_php4.c
AddType application/x−httpd−php .php
在the DirectoryIndex 中添加index.php
设置好apache的web目录
重新启动apache
bash−2.05# apache reatart

测试安装成功与否:
写一个test.php的文件,放在web目录下,内容为
<?
$date = date("d−m−Y"

;
$heure = date("H:i"

;
Print("Nous sommes le $date et il est $heure"

;
phpinfo();
?>;
通过浏览器查看是不是执行正常,如果正常就看下一步.

10.配置snort
修改/etc/snort/snort.conf，检查有无这一行:
#var HOME_NET any
将它反注释掉,確定只有一行 var HOME_NET … 敘述,其它的var HOME_NET 都把他注释掉
找到 var RULE_PATH ，将它改成如下字串
var RULE_PATH  /etc/snort
找到output database 这个项目，把前面的注释去掉,然后在连接数据库的用户,密码等处添加刚才设置的mysql的数据库名和用户,密码
output database:log,mysql,user=snort password=password dbname=snort host=localhost

启动snort
bash−2.05# snort -T -c /etc/snort/snort.conf

这样,一个aix下的snort就安装完成了

11.参数介绍：

命令行是snort -[options] <filters>;

选项：
-A <alert>; 设置<alert>;的模式是full,fast,还是none;full模式是记录
标准的alert模式到alert文件中；Fast模式只写入时间戳，messages,
IPs,ports到文件中，None模式关闭报警。

-a 是显示ARP包；
-b 是把LOG的信息包记录为TCPDUMP格式，所有信息包都被记录为
      两进制形式，名字如snort-0612@1385.log，这个选项对于FAST
      记录模式比较好，因为它不需要花费包的信息转化为文本的时间。
      Snort在100Mbps网络中使用"-b"比较好。
-c <cf>; 使用配置文件<cf>;,这个规则文件是告诉系统什么样的信息要LOG，
      或者要报警，或者通过。
-C 在信息包信息使用ASCII码来显示，而不是hexdump，
-d 解码应用层。
-D 把snort以守护进程的方法来运行，默认情况下ALERT记录发送
      到/var/log/snort.alert文件中去。
-e    显示并记录2个信息包头的数据。
-F <bpf>;从<bpf>;文件中读BPF过滤器（filters），这里的filters是标准
      的BPF格式过滤器，你可以在TCPDump里看到，你可以查看TCPDump
      的man页怎样使用这个过滤器。
-h <hn>;设置网络地址，如一个C类IP地址192.168.0.1或者其他的，使用这个
      选项，会使用箭头的方式数据进出的方向。
-I <if>; 使用网络接口参数<if>;
-l <ld>; LOG信息包记录到<ld>;目录中去。
-M <wkstn>; 发送WinPopup信息到包含<wkstn>;文件中存在的工作站列表中去，
         这选项需要Samba的支持，wkstn文件很简单，每一行只要添加包含
         在SMB中的主机名即可。（注意不需要\\两个斜杠）。
-n <num>; 是指定在处理<num>;个数据包后退出。
-N 关闭LOG记录，但ALERT功能仍旧正常。
-o 改变所采用的记录文件，如正常情况下采用Alert->

ass->;Log order，
      而采用此选项是这样的顺序：Pass->;Alert->;Log order，其中Pass
      是那些允许通过的规则而不记录和报警，ALERT是不允许通过的规则，
      LOG指LOG记录，因为有些人就喜欢奇奇怪怪，象CASPER，QUACK就喜欢
      反过来操作。
-p 关闭杂乱模式嗅探方式，一般用来更安全的调试网络。
-r <tf>; 读取tcpdump方式产生的文件<tf>;,这个方法用来处理如
      得到一个Shadow(Shadow IDS产生)文件，因为这些文件不能
      用一般的EDIT来编辑查看。
-s LOG 报警的记录到syslog中去，在LINUX机器上，这些警告信息
      会出现在/var/log/secure,在其他平台上将出现在/var/log/message中去。
-S <n=v>;这个是设置变量值，这可以用来在命令行定义Snort rules文件
      中的变量，如你要在Snort rules文件中定义变量HOME_NET,你
      可以在命令行中给它预定义值。
-v 使用为verbose模式，把信息包打印在console中，这个选项使用后
      会使速度很慢，这样结果在记录多的是时候会出现丢包现象。
-V    显示SNORT版本并退出；
-？显示使用列表并退出；

----------------------------------------------------------------------

下面是一些命令的组合介绍，当然更多的组合你可以自己去测试：

Snort存在比较多的命令选项和参数，先来介绍一些基本的一些命令，如果你
想要把信息包的头显示在屏幕上，你可以使用：

./snort -v

这个命令会运行Snort和显示IP和TCP/UDP/ICMP头信息。
我使用了ping 192.168.0.1就显示了如下信息：
06/10-10:21:13.884925 192.168.0.2 ->; 192.168.0.1
ICMP TTL:64 TOS:0x0 ID:4068
ID:20507 Seq:0  ECHO

06/10-10:21:13.885081 192.168.0.1 ->; 192.168.0.2
ICMP TTL:128 TOS:0x0 ID:15941
ID:20507 Seq:0  ECHO REPLY

06/10-10:21:14.884874 192.168.0.2 ->; 192.168.0.1
ICMP TTL:64 TOS:0x0 ID:4069
ID:20507 Seq:256  ECHO

06/10-10:21:14.885027 192.168.0.1 ->; 192.168.0.2
ICMP TTL:128 TOS:0x0 ID:15942
ID:20507 Seq:256  ECHO REPLY

如果你想要解码应用层，就使用:

snort -vd
再次使用ping 192.168.0.1就显示了如下信息：

06/10-10:26:39.894493 192.168.0.2 ->; 192.168.0.1
ICMP TTL:64 TOS:0x0 ID:4076
ID:20763 Seq:0  ECHO
58 13 42 39 E0 BB 05 00 08 09 0A 0B 0C 0D 0E 0F  X.B9............
10 11 12 13 14 15 16 17 18 19 1A 1B 1C 1D 1E 1F  ................
20 21 22 23 24 25 26 27 28 29 2A 2B 2C 2D 2E 2F !"#$%&'()*+,-./
30 31 32 33 34 35 36 37                         01234567

06/10-10:26:39.894637 192.168.0.1 ->; 192.168.0.2
ICMP TTL:128 TOS:0x0 ID:15966
ID:20763 Seq:0  ECHO REPLY
58 13 42 39 E0 BB 05 00 08 09 0A 0B 0C 0D 0E 0F  X.B9............
10 11 12 13 14 15 16 17 18 19 1A 1B 1C 1D 1E 1F  ................
20 21 22 23 24 25 26 27 28 29 2A 2B 2C 2D 2E 2F !"#$%&'()*+,-./
30 31 32 33 34 35 36 37                         01234567

如果要看到更详细的关于有关ethernet头的信息，就要使用：

snort -vde

使用ping 192.168.0.1就显示了如下信息：
-*>; Snort! <*-
Version 1.6-WIN32
By Martin Roesch (roesch@clark.net, www.clark.net/~roesch)
WIN32 Port By Michael Davis (Mike@eEye.com, www.datasurge.net/~mike)
06/10-10:32:01.345962 0:60:94:F9:5E:17 ->; 0:50:BA:BB:4A:54 type:0x800 len:0x62
192.168.0.2 ->; 192.168.0.1 ICMP TTL:64 TOS:0x0 ID:4079
ID:21787 Seq:0  ECHO
99 14 42 39 47 4C 0C 00 08 09 0A 0B 0C 0D 0E 0F  ..B9GL..........
10 11 12 13 14 15 16 17 18 19 1A 1B 1C 1D 1E 1F  ................
20 21 22 23 24 25 26 27 28 29 2A 2B 2C 2D 2E 2F !"#$%&'()*+,-./
30 31 32 33 34 35 36 37                         01234567

06/10-10:32:01.346164 0:50:BA:BB:4A:54 ->; 0:60:94:F9:5E:17 type:0x800 len:0x62
192.168.0.1 ->; 192.168.0.2 ICMP TTL:128 TOS:0x0 ID:16090
ID:21787 Seq:0  ECHO REPLY
99 14 42 39 47 4C 0C 00 08 09 0A 0B 0C 0D 0E 0F  ..B9GL..........
10 11 12 13 14 15 16 17 18 19 1A 1B 1C 1D 1E 1F  ................
20 21 22 23 24 25 26 27 28 29 2A 2B 2C 2D 2E 2F !"#$%&'()*+,-./
30 31 32 33 34 35 36 37                         01234567

当然上面的一些命令你只是在屏幕上看到，如果要记录在LOG文件上，你可以
先建立一个log目录，在使用下面的命令：

./snort -dev -l ./log -h 192.168.0.1/24

这个命令就使Snort把ethernet头信息和应用层数据记录到./log目录总去了，并
记录的是关于192.168.0.1 CLASS C的信息，

如果你想利用一些规则文件（一些记录特定数据的规则文件，如SYN ATTACK等记录）
就使用：

./snort -dev -l ./log -h 192.168.1.0/24 -c snort-lib

这里的Snort-lib是你的规则文件的文件名，这将采用snort-lib文件中设置的
规则来决定是否记录某个信息包。而

./snort -d -h 192.168.1.0/24 -l ./log -c snort-lib 可以不记录一些ethernet头信息
如，我用./nmap -sS 192.168.0.1 -p 21就在/log/alert.ids中记录如下信息：

[**] IDS246 - MISC - Large ICMP Packet [**]
06/12-13:48:31.992395 192.168.0.1 ->; 192.168.0.2
ICMP TTL:128 TOS:0x0 ID:36579
ID:46802 Seq:0  ECHO REPLY

我故意使用了rules出现的规则php.cgi/?，如192.168.0.1/cgi-bin/php.cgi/?，就显示：

[**] IDS232 - WEB-CGI-PHP CGI access attempt [**]
06/12-13:53:35.106323 192.168.0.2:1789 ->; 192.168.0.1:80
TCP TTL:64 TOS:0x0 ID:8945  DF
*****PA* Seq: 0xA070C880 Ack: 0xF113872 Win: 0x7D78

./snort -d -h 192.168.1.0/24 -l ./log -c snort-lib -s就会把日志记录在你
规则文件中所定义的LOG文件中，而不是默认的alert.ids中。

./snort -d -h 192.168.1.0/24 -l ./log -c snort-lib -o此命令是读规则文件的顺序，
有些人很奇怪，需要先读允许的规则文件，再读alert规则文件，然后来LOG记录，那就
按照上面的命令来操作。

如果你的网络请求相当多，你可以使用：

./snort -b -A fast -c snort-lib
这样，每一条规则内的警告消息就分开记录，对于多点同步探测和攻击的记录可以不容易丢包。
当然这样记录的LOG文件是两进制的，类似与tcpdump的格式，你可以使用这样的方法来查看
这些LOG：

./snort -d -c snort-lib -l ./log -h 192.168.1.0/24 -r snort.log
最后这段参数介绍是从网上抄来的,活活...
在linux和bsd等平台安装比较常见,但在aix下就不是很常见了
实验室正好需要一套这个,所以就试了一把,感觉还可以.