用snort+acid架构网络IDS(全文)

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

---

 liu1084 回复于：2006-08-11 10:24:50

构建入侵检测系统（IDS）（四）
攻击和防御过程：

通过tcpdump获取攻击时候的数据包：
tcpdump -w /tmp/tcpdump.log
通过tcpdump读取攻击时记录的数据包：
tcpdump -r /tmp/tcpdump.log
通过snort分析数据包：
sort -r /tmp/tcpdump.log
对比试验得出的数据包特征得出攻击类型
上面的mix混和攻击分析
根据攻击防范措施抵制攻击以保护服务器
进行中....

图片：
第一    第二

--------------------------------------------------------------------------
上面说了那么多攻击，UDP flood/ICMP/ping flood/ICMP SMURF flood/MIX (UDP/ICMP/SMURF flood),
幕后元凶是谁？现在我来说一下鼎鼎大名的tfn2k。


简介： 
　　TFN2k被认为是当今功能最强性能最好的DoS攻击工具，几乎不可能被察觉。作者发布这个工具的出发点
是什么呢？作者向你保证它不会伤害公司或个人。但是它会吓一吓那些不关心系统安全的人，因为现在精
密的工具被不断改善，并且被私人持有，他们许多都是不可预测的。现在是每一个人都清醒的时候了，每
一个人都应该意识到假如他不足够关心他的安全问题，最坏的情形就会发生。 
　　因此这个程序被设计成大多数的操作系统可以编译，以表明现在的操作系统没有特别安全的，包括
Windows,Solaris,Linux及其他各种unix. 

特点描述： 
　　TFN使用了分布式客户服务器功能，加密技术及其它类的功能，它能被用于控制任意数量的远程机器，
以产生随机匿名的拒绝服务攻击和远程访问。 

此版本的新特点包括： 
1。功能性增加: 
　　　为分布式执行控制的远程单路命令执行 
　　　对软弱路由器的混合攻击 
　　　对有IP栈弱点的系统发动Targa3攻击 
　　　对许多unix系统和WinNT的兼容性。 
2。匿名秘密的客户服务器通讯使用： 
　　　假的源地址 
　　　高级加密 
　　　单路通讯协议 
　　　通过随机IP协议发送消息 
　　　诱骗包 

编译和安装：
下载tfn2k的软件包：fetch http://www.xfocus.net/tools/200405/tfn2k.tgz
解压缩：
tar zxvf tfn2k.tgz
我使用的linux AS4，修改一下ip.h文件：
vi /usr/local/src/tfn2k/src/ip.h

1  cd /usr/local/src/
2  ls
3  wget http://www.xfocus.net/tools/200405/tfn2k.tgz
4  ls
5  tar zxvf tfn2k.tgz 
6  cd tfn2k/src/
7  make
8  vi ip.h
注释一下这个函数：
/*
struct in_addr
  {
    unsigned long int s_addr;
  };*/
9  make clean 
10  make 
11  ls
12  chmod 755 ./td
13  chmod 755 ./tfn

好了，编译成功会生成2个以上的文件，我们只用tfn和td这2个：
把td上传到“肉鸡”上，
./td
运行成功，那么肉鸡就听你的指挥了，呵呵。
我的环境是：
4台redhat as4 服务器
1台freebsd 6.1服务器

其中：
2台模拟肉鸡、一台指挥机（也就是攻击者的控制端）、一台目标机都是as4的和一台IDS服务器是freebsd

论坛热门帖子:	[lch203] 写得蛮好的linux学习笔记(10-21) [黑马制造] 学习java的30个目标(10-19) [笑傲股林] 做测试半年了，有点迷茫，应该再学些什么提高自己的测试水平和测试能力呢？(10-19) [udp8589] 大家用google的来吱一声? 用百度的~~也来报道下?(10-18) [沂偌掳兆] 本人总结的一些认为C++比较经典的书籍，希望对大家有用(10-18)
TAG标签:	全文 网络 架构 攻击 安装 数据 服务器 echo 保存 include