用snort+acid架构网络IDS(全文)

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

08/10-14:47:16.468029 10.5.3.61 -> 192.27.108.0
ICMP TTL:255 TOS:0xC0 ID:33351 IpLen:20 DgmLen:68
Type:3  Code:10  DESTINATION UNREACHABLE: ADMINISTRATIVELY PROHIBITED HOST FILTERED
** ORIGINAL DATAGRAM DUMP:
192.27.108.0:14602 -> 10.5.3.61:34017
TCP TTL:231 TOS:0x0 ID:49300 IpLen:20 DgmLen:40
**U***S* Seq: 0xD0098C  Ack: 0xF0780000  Win: 0x9ED4  TcpLen: 0
** END OF DUMP
00 00 00 00 45 00 00 28 C0 94 00 00 E7 06 D9 DD  ....E..(........
C0 1B 6C 00 0A 05 03 3D 39 0A 84 E1 00 D0 09 8C  ..l....=9.......
F0 78 00 00 00 22 9E D4 BB 33 BF 1A              .x..."...3..

//很明显，是“笨蛋”服务器返回smurf攻击服务器的伪造ip段

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

IP Len field is 17 bytes smaller than captured length.
    (ip.len: 29, cap.len: 46)
08/10-14:47:16.468046 170.37.177.0:59132 -> 10.5.3.61:6404
UDP TTL:232 TOS:0x0 ID:42952 IpLen:20 DgmLen:29
Len: 1
00                                               .

//又一个UDP攻击包

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

08/10-14:47:16.468065 10.5.1.1 -> 10.5.3.61
ICMP TTL:63 TOS:0x0 ID:3040 IpLen:20 DgmLen:56
Type:3  Code:1  DESTINATION UNREACHABLE: HOST UNREACHABLE
** ORIGINAL DATAGRAM DUMP:
10.5.3.61 -> 144.148.52.0
ICMP TTL:63 TOS:0x0 ID:8935 IpLen:20 DgmLen:92
** END OF DUMP
00 00 00 00 45 00 00 5C 22 E7 00 00 3F 01 86 E4  ....E..\"...?...
0A 05 03 3D 90 94 34 00 00 00 FF FF 00 00 00 00  ...=..4.........
//这是一个正常的包，是网关10.5.1.1返回给被攻击服务器，说攻击你返回给网段144.148.52.0不可到达，当然
不可达到了，伪造的嘛，呵呵！！


=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

IP Len field is 6 bytes smaller than captured length.

论坛热门帖子:	[lch203] 写得蛮好的linux学习笔记(10-21) [黑马制造] 学习java的30个目标(10-19) [笑傲股林] 做测试半年了，有点迷茫，应该再学些什么提高自己的测试水平和测试能力呢？(10-19) [udp8589] 大家用google的来吱一声? 用百度的~~也来报道下?(10-18) [沂偌掳兆] 本人总结的一些认为C++比较经典的书籍，希望对大家有用(10-18)
TAG标签:	全文 网络 架构 攻击 安装 数据 服务器 echo 保存 include