Libnids学习笔记

Libnids学习笔记一、Libnids概述Libnids（Library Network Intrusion Detection System）是网络入侵检测开发的专业编程接口，实现了网络入侵检测系统的基本框架，提供了一些基本的功能。

Libnids是基于Libpcap和Libnet而开发的，其主要功能包括捕获网络数据包、IP碎片重组、TCP数据流重组以及端口扫面攻击检测和异常数据包检测等。

二、Libnids安装Libnids需要支持库Libpcap和Libnet，此外，编译过程还需要byacc、flex 和glib(2.2+)。

在CentOS 6.5下安装Libnids的步骤：1．安装byacc、flex和glib# yum install byacc# yum install flex# yum -y install glib2-devel2．安装Libpcap开发包# tar –xzvf libpcap-x.y.z.tar.gz# ./configure# make# make install3．安装Libnet开发包# tar –xzvf libnet-x.y.z.tar.gz# ./configure# make# make install4．安装Libnids开发包# tar –xzvf libnids.x.y.tar.gz# ./configure# make# make install三、Libnids编程模型在Linux下使用libnids开发应用程序，源文件中需要包含头文件nids.h，并且拥有libnids库libnids.a或libnids.so.x.x。

程序的main函数通常采用以下结构：main(){与libnids无关的程序私有过程设置libnids参数（可选）初始化libnids，if (!nids_init()) 失败处理注册libnids回调函数运行libnids，nids_run()}四、Libnids编译libnids 1.24版本下，使用到的开发包是libnids、libpcap、libnet、libgthread-2.0和libnsl，它们的库名分别为nids、pcap、net、gthread-2.0和nsl。

在Linux下使用gcc链接编译时，要注意先后顺序，越是底层库，位置越后，因此的编译命令如下：# gcc x.c -o x -lnids -lpcap -lnet -lgthread-2.0 -lnsl 五、Libnids状态Libnids中TCP连接的状态主要有如下6种：#define NIDS_JUST_EST 1：表示TCP连接刚刚建立，在此状态下可以通过连接参数（IP地址、端口号等）决定是否对此TCP连接后来的数据进行分析，并且可以指定接收数据的类型（共四种，分别是给客户端、给服务器以及给二者的带外数据）；#define NIDS_DATA 2：表示新的TCP数据已到达，数据存储在tcp_stream 的half_stream结构中；#define NIDS_CLOSE 3：表示TCP连接正常关闭；#define NIDS_RESET 4：表示TCP连接被重置关闭；#define NIDS_TIMED_OUT 5：表示由于超时TCP连接被关闭；#define NIDS_EXITING 6：表示Libnids正在退出，在此状态下可以最后一次使用存储在half_stream结构中的数据。

六、Libnids数据结构1．tuple4结构该结构描述一个TCP连接的连接参数。

struct tuple4{u_short source, dest;// 源、目标端口号u_int saddr、daddr;// 源、目标IP地址}2．half_stream结构该结构描述TCP连接中一个方向上的信息。

struct half_stream{char state;// 套接字的状态，即TCP连接状态char collect;// 正值则有数据存储在data中，否则该方向数据被忽略char collect_urg;// 正值则有带外数据存储在urgdata中，否则被忽略char *data;// 存储正常接收到的数据int offset;// 存储在data中数据在第一个字节的偏移量int count;// 从TCP连接开始存储在data中的数据的字节数int count_new;// 最新存储到data中的数据的字节数int bufsize;int rmem_alloc;int urg_count;u_int acked;u_int seq;u_int ack_seq;u_int first_data_seq;u_char urgdata；// 存储带外数据u_char count_new_urg；// 最新存储到urgdata中的带外数据的字节数u_int urg_ptr;u_short window;u_char ts_on;u_char wscale_on;u_int curr_ts;u_int wscale;struct skbuff *list;struct skbuff *listtail;}3．tcp_stream结构该结构描述了一个完整的TCP连接的所有信息。

struct tcp_stream{struct tuple4 addr;// TCP连接参数char nids_state;// libnids TCP状态struct lurker_node *listeners;struct half_stream client, server;// TCP连接两个方向的流信息struct tcp_stream *next_node;struct tcp_stream *prev_node;int hash_index;struct tcp_stream *next_time;struct tcp_stream *prev_time;int read;struct tcp_stream *next_free;void *user;};4．nids_prm 结构该结构描述了 Libnids 的全局参数信息，可通过修改成员变量配置全局参数。

struct nids_prm{int n_tcp_streams;// 存储tcp_stream结构hash表的大小，默认值1040// Libnids最多同时跟踪该值3/4的tcp_stream int n_hosts;// 存储IP重组的hash表大小，默认值256char *device;// 监听数据包的网口，默认值NULL，all监听所有// 该值由pcap_lookupdev函数确定char *filename;// 读取的libpcap数据包文件名，默认值NULL// 使用该成员时device成员必须为NULLint sk_buff_size;// 检查sk_buff结构的大小，默认值168int dev_addon;// sk_buff结构为网口信息预留的字节数，默认值-1// 该值会在nids_init()中根据所监听的网口进行设置void (*syslog) ();// 默认存放nids_syslog函数的地址// 该函数由用户编写，用于报告非正常情况int syslog_level;// 如果syslog=nids_syslog，那么该值指定系统进程// syslogd报告的日志级别，默认值LOG_ALERT int scan_num_hosts;// 存储端口扫描信息的hash表的大小，默认值256int scan_delay;// 扫描两端口的间隔毫秒数，默认值3000int scan_num_ports;// 同一地址需要扫描的TCP端口数，默认值10void (*no_mem) (char *);// 当Libnids申请内存失败时调用并终止进程int (*ip_filter) ();// IP数据包过滤函数char *pcap_filter;// 过滤规则字符串，交付给pcap(3)，默认值NULLint promisc;// 非零表示device为混杂模式，默认值1int one_loop_less;// 默认关闭int pcap_timeout;// pcap超时时间(ms)，默认值1024int multiproc;// 非零表示多线程处理IP重组和TCP流重组int queue_limit;// 队列中的数据包数量限制，默认值20000// 当multiproc=true时有效int tcp_workarounds;// 开启使用非RFC标准的TCP/IP协议栈pcap_t *pcap_desc;// pcap描述符};5．nids_chksum_ctl结构该结构描述的是计算校验和。

struct nids_chksum_ctl{u_int netaddr;// 地址u_int mask;// 掩码u_int action;// 动作，如果是NIDS_DO_CHKSUM表示计算校验和，如果是NIDS_DONT_CHKSUM表示不计算校验和，默认计算校验和u_int reserved;// 保留}七、Libnids常用函数1．基本函数●int nids_init(void)：对Libnids进行初始化，包括打开网口、打开文件、编译设置过滤规则、判断网络连接层类型、进行必要的初始化工作。

●void nids_run(void)：调用 Libpcap 中捕获数据包函数pcap_next()进入循环捕获状态。

●int nids_getfd(void)：获得文件描述符号。

●int nids_dispatch(int cnt)：调用Libpcap中的捕获函数pcap_dispatch()。

●int nids_next(void)：调用Libpcap 中捕获数据包函数pcap_next()进入选择捕获状态，捕获一个数据包后返回。

●void nids_register_chksum_ctl(struct nids_chksum_ctl *ptr,int nr)：注册结构nids_chksum_ctl，并根据其中参数决定是否计算校验和。

2．IP碎片函数●void nids_register_if_frag(void(*))：注册一个能够检测所有IP数据包的回调函数，其中的参数就是一个回调函数。

●void nids_register_if(void(*))：此回调函数可以接收正常的IP数据包。

3．TCP数据流重组函数●void nids_register_tcp(void(*))：注册一个TCP连接的回调函数，此回调函数接收的TCP数据存放在half_stream的缓存中。