用snort+acid架构网络IDS(全文)

CE 3C A2 34 00 7C E2 D0 D1 F3 00 00 00 22 C9 68  .<.4.|.......".h
C4 E9 DF D8 
                                     ....
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+


ICMP/smurf flood：
数据包特征：
1）很多不同的IP（伪造的）向同一台服务器发送数据包，不管是哪个国家的都有；
2）数据包长度很小；
3）类型：type:0x800
4）IpLen:20－－很整齐
5）DgmLen:40－－很整齐
7：TTL在不断变化，且大部分不是32、64、128等
8）没有ack信息，没有win信息，但是被攻击主机有返回信息给伪造的ip；
返回信息：中包含：
Type:3  Code:10  DESTINATION UNREACHABLE: ADMINISTRATIVELY PROHIBITED HOST FILTERED
ORIGINAL DATAGRAM DUMP

9）以下为包的样本：
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

08/10-14:30:59.386406 74.34.80.0:0 -> 10.5.3.61:0
TCP TTL:252 TOS:0x0 ID:28966 IpLen:20 DgmLen:40
F7 FF BF 1F 00 00 DF F9 57 C1 00 00 00 22 8A EF  ........W...."..
10 C5 13 BC                                      ....


=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

08/10-14:30:59.386425 10.5.3.61 -> 74.34.80.0
ICMP TTL:255 TOS:0xC0 ID:25670 IpLen:20 DgmLen:68
Type:3  Code:10  DESTINATION UNREACHABLE: ADMINISTRATIVELY PROHIBITED HOST FILTERED
** ORIGINAL DATAGRAM DUMP:
74.34.80.0:63487 -> 10.5.3.61:48927
TCP TTL:252 TOS:0x0 ID:28966 IpLen:20 DgmLen:40
**U***S* Seq: 0xDFF9  Ack: 0x57C10000  Win: 0x8AEF  TcpLen: 0
** END OF DUMP
00 00 00 00 45 00 00 28 71 26 00 00 FC 06 A6 45  ....E..(q&.....E
4A 22 50 00 0A 05 03 3D F7 FF BF 1F 00 00 DF F9  J"P....=........
57 C1 00 00 00 22 8A EF 10 C5 13 BC              W...."......

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

08/10-14:30:59.386431 79.18.229.0:0 -> 10.5.3.61:0
TCP TTL:212 TOS:0x0 ID:22910 IpLen:20 DgmLen:40

论坛热门帖子:	[lch203] 写得蛮好的linux学习笔记(10-21) [黑马制造] 学习java的30个目标(10-19) [笑傲股林] 做测试半年了，有点迷茫，应该再学些什么提高自己的测试水平和测试能力呢？(10-19) [udp8589] 大家用google的来吱一声? 用百度的~~也来报道下?(10-18) [沂偌掳兆] 本人总结的一些认为C++比较经典的书籍，希望对大家有用(10-18)
TAG标签:	全文 网络 架构 攻击 安装 数据 服务器 echo 保存 include