libnids详解最新分析和总结.pdfVIP

libnids 详解 libnids 详解 Libnids 是一个用于网络入侵检测开发的专业编程接口 ,它使 用了 Libpcap 所以它具有捕获数据包的功能。同时， Libnids 提供了 TCP 数据流重组功能，所以 对于分析基于 TCP 协 议的各种协议 Libnids 都能胜任 .Libnids 还提供了对 IP 分片 进行重组的功能，以及端口扫描检测和异常数据包检测功能。 Libnids 数据结构一 .基本常量 1.报警类型 enum{NIDS_WARN_IP =1, //IP 数据包异常 NIDS_WARN_TCP,//TCP 数据包异常 NIDS_WARN_UDP,//UDP 数据包异常 NIDS_WARN_SCAN// 表示有扫描攻击发 生}enum{NIDS_WARN_UNDEFINED=0, // 表示未定义 NIDS_WARN_IP_OVERSIZED.// 表示 IP 数据包超长 NIDS_WARN_IP_INVLIST,// 表示无效的碎片队列 NIDS_WARN_IP_OVERLAP,// 表示发生重叠 NIDS_WARN_IP_HDR,// 表示无效 IP 首部， IP 数据包发生 异常 NIDS_WARN_IP_SRR,// 表示源路由 IP 数据包 NIDS_WARN_TCP_TOOMUCH,// 表示 tcp 数据个数太多， 因为在 libnids 中在同一时刻捕获的 tcp 个数最大值为 tcp 连 接参数的哈希表长度 3/4 NIDS_WARN_TCP_HDR,// 表示 无效 TCP 首部， TCP 数据包发生异常 NIDS_WARN_TCP_BIGAQUEUE,// 表示 TCP 接收的队列 数据过多 NIDS_WARN_TCP_BADFLAGS// 表示错误标 记}2.Libnids 状态在对 TCP 数据流进行重组时， 必须考虑到 TCP 的连接状态，在 Libnids 中为了方便开发而定义了 6 种 Libnids 状态 (描述的是连接的逻辑状态 )#define NIDS_JUST_EST 1// 表示 tcp 连接建立 #define NIDS_DATA 2 // 表示接受数据的状态 #define NIDS_CLOSE 3 // 表示 tcp 连接正常关闭 #define NIDS_RESET 4 // 表示 tcp 连接被重置 关闭 #define NIDS_TIMED_OUT 5 // 表示由于超时 tcp 连接 被关闭 #define NIDS_EXITING 6 // 表示 libnids 正在退出真 正的 TCP 连接状态有 11 种 enum{TCP_ESTABLISHED=1, //表示 ESTABLISH 状态， TCP 连接建立，开始传输数据 TCP_SY