安装win2003 server下的snort

snort 是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志ip 网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。snort 可以运行在*nix/win32 平台上。

本文将主要介绍win2003 server 下snort 的安装与配置，关于snort 的体系结构和规则，可以参考其他相关资。

安装与配置

首先下载以下软件包：
acid-0.9.6b23.tar.gz

基于php 的入侵检测数据库分析控制台
adodb360.zip

adodb（active data objects data base）库for php
apache_2.0.46-win32-x86-no_src.msi

windows 版本的apache web 服务器
jpgraph-1.12.2.tar.gz

oo 图形库for php
mysql-4.0.13-win.zip

windows 版本的mysql 数据库服务器
php-4.3.2-win32.zip

windows 版本的php 脚本环境支持
snort-2_0_0.exe

windows 版本的snort 安装包
winpcap_3_0.exe

网络数据包截取驱动程序
phpmyadmin-2.5.1-php.zip

基于php 的mysql 数据库管理程序
（需要国外代理访问）

首先安装apache_2.0.46 for windows

安装的时候注意，如果你已经安装了iis 并且启动了web server，因为iis webserver 默认在tcp 80 端口监听，所以会和apache webserver 冲突，我们可以修改apache webserver为其他端口。选择定制安装，安装路径修改为c:\apache 安装程序会自动建立c:\apache2 目录，继续以完成安装。

安装完成后首先修改c:\apache2\conf\httpd.conf，定制安装完成后，apache web server 默认在8080 端口监听，我们修改为其他不常用的高端端口：
修改listen 8080 为listen 50080

安装apache 为服务方式运行
c:\apache2\bin\apache –k install

添加apache 对php 的支持：
解压缩php-4.3.2-win32.zip 至c:\php
拷贝php4ts.dll 至%systemroot%\system32
拷贝php.ini-dist 至%systemroot%\php.ini
修改php.ini
extension=php_gd2.dll
同时拷贝c:\php\extension\php_gd2.dll 至%systemroot%\
以上添加gd 图形库支持
在httpd.conf 中添加loadmodule php4_module "c:/php/sapi/php4apache2.dll"
addtype application/x-httpd-php .php
启动apache 服务
net start apache2
在c:\apache2\htdocs 目录下新建test.php，
test.php 文件内容：
<?phpinfo();?>
使用
测试php 是否安装成功

安装snort_2_0_0
使用默认安装路径c:\snort

安装mysql
默认安装mysql 至c:\mysql，
安装mysql 为服务方式运行
c:\mysql\bin\mysqld-nt –install
启动mysql 服务
net start mysql

ps:win2003 server 下如果出现不能启动mysql，新建my.ini
内容为：

basedir=c:\mysql
bind-address=127.0.0.1
datadir=c:\mysql\data

注意其中的basedir 和datadir 目录是否指向了正确的目录．
把my.ini 拷贝至%systemroot%目录下就可以了

配置mysql

为默认root 帐号添加口令：
c:\>cd mysql\bin
c:\>mysql mysql
mysql>set password for " = password(@#erfl87tr32gk@#);

删除默认的帐号
mysql>delete from user where user=@#@# and host = @#%@#;
mysql>delete from db where user=@#@# and host = @#%@#;
mysql>delete from tables_priv where user=@#@# and host = @#%@#;
mysql>delete from columns_priv where user=@#@# and host = @#%@#;
删除默认的 帐号
mysql>delete from user where user =@#@# and host = @#localhost@#;
mysql>delete from db where user = @#@# and host = @#localhost@#;
mysql>delete from tables_priv where user=@#@# and host = @#localhost@#;
mysql>delete from columns_priv where user=@#@# and host= @#localhost@#;
删除默认的帐号
mysql>delete from user where user = @#root@# and host = @#%@#;
mysql>delete from db where user = @#root@# and `host` = @#%@#;
mysql>delete from tables_priv where user= @#root@# and host = @#%@#;
mysql>delete from columns_priv where user = @#root@# and host = @#%@#;
这样只允许root 从localhost 连接

建立snort 运行必须的snort 库和snort_archive 库
mysql>create database snort;
mysql>create database snort_archive;

使用c:\snort\contrib 目录下的create_mysql 脚本建立snort 运行必须的数据表
c:\mysql\bin\mysql -d snort -u root -p < c:\snort\contrib\create_mysql
c:\mysql\bin\mysql -d snort_archive -u root -p < c:\snort\contrib\create_mysql

建立acid 和snort 用户
mysql> grant usage on *.* to " identified by "acidtest";
mysql> grant usage on *.* to " identified by "snorttest";

为acid 用户和snort 用户分配相关权限
mysql> grant select,insert,update,delete,create,alter on snort .* to ";
mysql> grant select,insert on snort .* to ";
mysql> grant select,insert,update,delete,create,alter on snort_archive .* to ";

安装adodb:
解压缩adodb360.zip 至c:\php\adodb 目录下

安装acid
解压缩acid-0.9.6b23.tar.gz 至c:\apache2\htdocs\acid 目录下

修改acid_conf.php 文件

$dblib_path = "c:\php\adodb";

$alert_dbname = "snort";
$alert_host = "localhost";
$alert_port = "";
$alert_user = "acid";
$alert_password = "log_snort";

/* archive db connection parameters */
$archive_dbname = "snort_archive";
$archive_host = "localhost";
$archive_port = "";
$archive_user = "acid";
$archive_password = "archive_snort";

$chartlib_path = "c:\php\jpgraph\src";

建立acid 运行必须的数据库：


按照系统提示建立

安装jpgrapg 库

解压缩jpgraph-1.12.2.tar.gz 至c:\php\ jpgraph
修改jpgraph.php
define("cache_dir","/tmp/jpgraph_cache/");

安装winpcap
配置snort
编辑c:\snort\etc\snort.conf
需要修改的地方：
include classification.config
include reference.config
改为绝对路径
include c:\snort\etc\classification.config
include c:\snort\etc\reference.config
设置snort 输出alert 到mysql server
output database: alert, mysql, host=localhost user=snort password=snort dbname=snort
encoding=hex detail=full

测试snort 是否正常工作：
c:\snort\bin>snort -c "c:\snort\etc\snort.conf" -l "c:\snort\logs" -d -e -x

-x 参数用于在数据链接层记录raw packet 数据
-d 参数记录应用层的数据
-e 参数显示／记录第二层报文头数据
-c 参数用以指定snort 的配置文件的路径

2秒记住本站域名

玩过泡泡龙吗？Readygo?Go! 再加上.Com.Cn的后缀，那就是大名小顶的ReadyGo.com.cn

分类导航