次实验课实验报告1316.pdfVIP

第5次实验课实验报告

班级：2009211316姓名：义学号

【实验时间】

2011年12月2日

【实验内容】

1.在Windows平台建立基于Snort的IDS。

2.在本地计算机中添加UDP检测规则，Alertudpanyany$HOME_NETany

(msg:”udpids/dns-version-query”;content:”version”;)

在另外一台计算机启动和本地计算机的UDP连接请求，查看UDP协议流量的日志记

录，分析变化结果，提交实验报告。

3.自己编写检测规则文件mytelnet.rules，用于记录外网对内网的Telnet连接企图，

并发出下面的警告：Externalnetattempttoaccessinternaltelnetsever，将此规则文

件添加到设置文件中，并通过实验观察规则是否生效，整理步骤和实验结果提交报告。

4.对安装Snort的机器进行网络扫描攻击，运行Snort，加载适当的规则进行检测，

将检测结果提交报告。

【实验报告要求】

1.明确提出自己的方案设计；

2.实验结果需要截图证明；

3.列出核心代码，并给出注释。

【实验过程】

1.本次实验是在WindowsXP和Windows2000虚拟机中完成的。

2.在Windows平台建立基于Snort的IDS。傻瓜式的安装，在某些主机上，还需要

安装Winpcap4.1.2以上的版本。本次实验将Snort安装在XP的虚拟机上。

安装好了之后，按照实验指导手册修改snort.conf文件。其中需要注意的有以下三点，

因为在手册中并没有提及：

（1）要将整个文件中的ipvar替换为var，否则会报错；

（2）需要手动在Snort\bin\下新建文件夹snort_dynamicrules，然后才能将

Snort\so_rules\precompiled\FC-9\i386\2.9.0.1里的所有文件拷贝到这个文件夹中；

（3）在链接库文件的语句中，需要将“include$RULE_PATH/web-misc.rules”注释

掉，其实我也不知道为什么，反正注释掉没有影响。

然后进入命令行，输入“cdc:\snort\bin”，然后输入“snort-W”，如下图所示，运

行成功。

输入“snort–de-1“c:\snort\log”，然后打开浏览器，任意连接一个网站，就能够

获取数据记录信息。如下图所示：

该文件可以使用Wireshark打开。具体过程忽略。

3.在本地计算机中添加UDP检测规则。

在Snort\rules下建立一个udp-test.rules文件，文件中添加规则如下所示：

并在snort.conf文件中添加对规则的链接：