信息安全产品开发实践.pptxVIP

利用libnids构建入侵检测系统 ( 1 ) 四川大学 软件学院 2009－09 助教 姓名 QQ号 邮箱 罗云 814314989 cloudluo99@ 王亮 354185558 legend115599@ 王正霞 593910963 xiaxia_588@126.com 李雯 908441949 win_le 3 主要内容 讲解Libnids的数据结构函数，并给出一些具体的例子，同学们在此基础上实现一个简单的协议分析程序或是一个简单的入侵检测系统 4 什么是libnids Libnids 是一个基于网络入侵检测开发的专业编程接口。我们利用Libnids可以实现: 网络数据包的捕获; IP碎片重组、TCP流数据重组; 入侵检测。 5 Libnids的安装 安装Libnids必须要有Libpcap、Libnet库的支持，所以要想是试用Libnids必须按照Libpcap、Libnet与Libnids的顺序安装这三个软件包 安装方法： 1）下载源码包；2)释放归档文件； 3）./configure;make;make install 6 Libnids编程模型 #include “nids.h” main() { application private processing, not related to libnids optional modification of libnids parameters if (!nids_init() ) somethings wrong, terminate; registration of callback functions nids_run(); // not reached in normal situation } 7 Libnids基本数据结构（1） TCP 连接参数 struct tuple4 { /*源端口和目的端口*/ unsigned short source,dest; /*源地址与目的地址*/ unsigned long saddr,daddr; }; 8 Libnids基本数据结构（2） TCP连接单端信息 struct half_stream { 用23 个变量了描述TCP连接信息 ……………………. }; 9 Libnids基本数据结构（3） Char state;表示套接字的状态，如TCP_CLOSE、TCP_ESTABLISHED; char collect;用来指示本端是否接收数据，0,将数据存放在data指向的字符缓冲区，0,忽略进入本端的数据； char collect_urg;用于指示本端是否接受紧急数据； char *data;字符缓冲区，用于存放流向本端的数据 int count;用于指示连接建立后本端已经接受的字节数； 10 Libnids基本数据结构（4） int offset:表示 存储在data中数据的第一个字节的偏移量； int count_new; 用于指示是否有新数据到达本端，为0表示没有新数据 char count_new_urg;用于指示是否有新的紧急数据到达本端，为0表示没有新的数据 11 Libnids基本数据结构（5） TCP连接完整信息 struct tcp_stream { struct tuple4 addr; char nids_state; struct half_stream client,server; …… }; 12 Libnids基本数据结构（6） addr:用于表示一个TCP连接的四个重要信息； nids_state:表示连接的逻辑状态，共有六种状态： NIDS_JUST_EST NIDS_CLOSE NIDS_RESET NIDS_TIMED_OUT NIDS_EXITING NIDS_DATA 13 Libnids基本数据结构（6） 成员client表示客户端信息，成员server表示客户端信息。 14 Libnids 库中常用函数（1） int nids_init(void) 函数成功返回1，失败返回0 函数功能：对libnid