信息安全实验

贵州大学实验报告

学院：计信学院专业：网络工程班级：网络091姓名黄仕菊学号0908060338实验组实验时间2012-12-19指导教师王晓鹏成绩

实验项目名称实验三Snort入侵检测系统的配置与使用

实

验目的学会搭建Snort+Windows+Mysql+Php+Acid的网络入侵检测系统平台，并学习简单Snort 规则的编写与使用，了解Snort的检测原理。

实

验要求学会搭建Snort+Windows+Mysql+Php+Acid的网络入侵检测系统平台，并学习简单Snort 规则的编写与使用，了解Snort的检测原理。

实验原理（1）Apache_2.0.46的安装与配置（2）php-4.3.2的安装与配置

（3）snort2.0.0的安装与配置

（4）Mysql数据库的安装与配置

（5）adodb的安装与配置

（6）数据控制台acid的安装与配置（7）jpgraph库的安装

（8）winpcap的安装与配置

（9）snort规则的配置

（10）测试snort的入侵检测相关功能

实

验仪器（1）装有Windows2000或WindowsXP操作系统的PC机；

（2）Apache_2.0.46、php-4.3.2、snort2.0.0、Mysql、adodb、acid、jpgraph库、winpcap等软件。

实验步骤（1）Apache_2.0.46的安装与配置（2）php-4.3.2的安装与配置

（3）snort2.0.0的安装与配置（4）Mysql数据库的安装与配置（5）adodb的安装与配置

（6）数据控制台acid的安装与配置（7）jpgraph库的安装

（8）winpcap的安装与配置

（9）snort规则的配置

（10）测试snort的入侵检测相关功能

实验内容（一）windows环境下snort的安装

1、安装Apache_2.0.46

（1）双击Apache_2.0.46-win32-x86-no_src.msi，安装在默认文件夹C:\apache 下。安装程序会在该文件夹下自动产生一个子文件夹apache2。

（2）打开配置文件C:\apache\apache2\conf\httpd.conf，将其中的Listen8080，更改为Listen50080。（这主要是为了避免冲突）。

（3）进入命令行运行方式（单击“开始”按钮，选择“运行”，在弹出窗口中输入“cmd”，回车），转入C:\apache\apache\bin子目录，输入下面命令：C:\apache\apache2\bin>apache–k install

将apache设置为以windows中的服务方式运行。

2、安装PHP

（1）解压缩php-4.3.2-Win32.zip至C:\php。

（2）复制C:\php下php4ts.dll至%systemroot%\System32，php.ini-dist

至%systemroot%\php.ini。

（3）添加gd图形支持库，在php.ini中添加extension=php_gd2.dll。如果php.ini 有该句，将此句前面的“；”注释符去掉。

（4）添加Apache对PHP的支持。在C:\apahce\apache2\conf\httpd.conf中添加：LoadModule php4_module“C:/php/sapi/php4apache2.dll”AddType

application/x-httpd-php.php

（5）进入命令行运行方式，输入下面命令：

Net start apache2(这将启动Apache Web服务)

（6）在C:\apache\apche2\htdocs目录下新建test.php测试文件，test.php文件内容为

使用http://127.0.0.1:50080/test.php，测试PHP是否成功安装，如成功安装，则在浏览器中出现如下图所示的网页

3、安装snort

安装snort-2_0_0.exe，snort的默认安装路径在C:\snort

安装配置Mysql数据库

（1）安装Mysql到默认文件夹C:\mysql，并在命令行方式下进入C:\mysql\bin，

输入下面命令：C:\mysql\bin\mysqld––install这将使mysql在Windows中以服务方式运行。

（2）在命令行方式下输入net start mysql，启动mysql服务

（3）进入命令行方式，输入以下命令

C:\mysql\bin>mysql–u root–p

如下图：

出现Enter Password提示符后直接按“回车”，这就以默认的没有密码的root用户登录mysql数据库。

（1）在mysql提示符后输入下面的命令（（Mysql>）表示屏幕上出现的提示符，下同）：（Mysql>）create database snort;

（Mysql>）create database snort_archive;

注意：在输入分号后mysql才会编译执行语句。

上面的create语句建立了snort运行必须的snort数据库和snort_archive数据库。（2）输入quit命令退出mysql后，在出现的提示符之后输入:

（c:\mysql\bin>）Mysql–D snort–u root–p）Mysql–D snort_archive–u root

–p

上面两个语句表示以root用户身份，使用C:\snort\contrib目录下的

create_mysql脚本文件，在snort数据库和snort_archive数据库中建立了snort运行必须的数据表。

注意：在此形式输入的命令后没有“；”。

屏幕上会出现密码输入提示，由于这里是用的是没有密码的root用户，直接按“回车”即可。

（3）再次以root用户身份登录mysql数据库，在提示符后输入下面的语句：（mysql>）grant usage on*.*to“acid”@”loacalhost”identified by“acidtest”;

（mysql>）grant usage on*.*to“snort”@”loacalhost”identified by “snorttest”;

上面两个语句表示在本地数据库中建立了acid（密码为acidtest）和snort（密码为snorttet）两个用户，以备后面使用。

（4）在mysql提示符后面输入下面的语句：

（mysql>）grant select,insert,update,delete,create,alter on snort.* to“adid”@”localhost;

（mysql>）grant select,insert on snort.*to“snort”@”localhost;

（mysql>）grant select,insert,update,delete,create,alter on

snort_archive.*to“adid”@”localhost;

这是为新建的用户在snort和snort_archive数据库中分配权限。

4、安装adodb

将adodb360.zip解压缩至C:\php\adodb目录下，即完成了adodb的安装。

安装配置数据控制台acid

（1）解压缩acid-0.9.6b23.tat.gz至C:\apache\apache2\htdocs\acid目录下。（2）修改C:\apahce\apache2\htdocs下的acid_conf.php文件：

DBlib_path="C:\php\adodb";

$DBtype=”mysql”;

$alert_dbname="snort";

$alert_host="localhost";

$alert_port="3306";

$alert_user="acid";

$alert_password="acidtest";

/*Archive DB connection parameters*/

$archive_dbname="snort_archive";

$archive_host="localhost";

$archive_port="3306";

$archive_user="acid";

$archive_password="acidtest";

$ChartLib_path=”C:\php\jpgraph\src”;

注意：修改时要将文件中原来的对应内容注释掉，或者直接覆盖。

（3）查看http://127.0.0.1:50080/acid/acid_db_setup.php网页，如下图所示，单击create ACID AG建立数据库。

5、安装jpgraph库

（1）解压缩jpgraph-1.12.2.tar.gz至C:\php\jpgraph

（2）修改C:\php\jpgrah\src下jpgraph.php文件，去掉下面语句的注释。

DEFINE（”CACHE_DIR”,”/tmp/jpgraph_cache/”）;

安装winpcap

安装默认选项和默认路径安装winpcap。

配置并启动snort

（3）打开C:\snort\etc\snort.conf文件，将文件中的下列语句：

include classification.config

include reference.config

修改为绝对路径：

include C:\snort\etc\classfication.config

include C:\snort\etc\reference.config

（4）在该文件的最后加入下面语句：

Output database:alert,mysql,host=localhost user=snort password=snorttest dbname=snort encoding=hex detail=full

（5）进入命令行方式，输入下面的命令：

C:\snort\bin>snort–c“C:\snort\etc\snort.conf”–l“C:\snort\log”–d–e–X

上面的命令将启动snort，如果snort正常运行，系统最后将显示如下图所示

（6）打开http://127.0.0.1:50080/acid/acid_main.php网页，进入acid分析控制台主界面。如上述配置均正确，将出现如下图所示的页面。

二、Windows下snort的使用

1、完善配置文件

（1）打开C:\snort\etc\snort.conf

（2）配置snort的内、外网检测范围。

将snort.conf文件中var Home_NET any语句中的any改为自己所在的子网地址，即将snort监测的内网设置为本机所在局域网。如本地IP为192.168.1.10，则将any

改为192.168.1.0/24。

并将var EXTERNAL_NET any语句中的any改为！192.168.1.1/24，即将snort监测的外网改为本机所在局域网以外的网络

（3）设置监测包含规则。

找到snort.conf文件中描述规则的部分，前面加“#”表示该规则没有启用，将local.rules之前的“#”去掉，其余规则保持不变。

2、使用控制台查看结果

3、配置snort规则

（1）打开C:\snort\rules\local.rules文件。

（2）在规则中添加一条语句，实现对内网的UDP协议相关流量进行检测，并报警：udp ids/dns-version-query。

语句如下：Alert tcp any any->$Home_NET any（msg:”udp

ids/dns-version-query”;content:”version”;）

重启snort和acid检测控制台，使规则生效。

实

验

数

据

实

验总结

通过本次实验，我基本学会了搭建Snort+Windows+Mysql+Php+Acid的网络入侵检测系统平台，并学习了简单Snort规则的编写与使用，了解Snort 的检测原理，为以后的进一步学习奠定了基础。

指

导

教

师

意

见签名：年月日注：各学院可根据教学需要对以上栏木进行增减。表格内容可根据内容扩充。