Libnids是一個用於網絡入侵檢測開發的專業編程接口,它使用了Libpcap所以它具有捕獲數據包的功能。同時，Libnids提供了TCP數據流重組功能，所以對於分析基於TCP協議的各種協議Libnids都能勝任.Libnids還提供了對IP分片進行重組的功能，以及端口掃描檢測和異常數據包檢測功能。
Libnids數據結構
一.基本常量
1.報警類型
enum
{
NIDS_WARN_IP =1, //IP數據包異常
NIDS_WARN_TCP,//TCP數據包異常
NIDS_WARN_UDP,//UDP數據包異常
NIDS_WARN_SCAN//表示有掃描攻擊發生
}
enum
{
NIDS_WARN_UNDEFINED=0, //表示未定義
NIDS_WARN_IP_OVERSIZED.//表示IP數據包超長
NIDS_WARN_IP_INVLIST,//表示無效的碎片隊列
NIDS_WARN_IP_OVERLAP,//表示發生重疊
NIDS_WARN_IP_HDR,//表示無效IP首部，IP數據包發生異常
NIDS_WARN_IP_SRR,//表示源路由IP數據包
NIDS_WARN_TCP_TOOMUCH,//表示tcp數據個數太多，因爲在libnids中在同一時刻捕獲的tcp個數最大值爲tcp連接參數的哈希表長度3/4
NIDS_WARN_TCP_HDR,//表示無效TCP首部，TCP數據包發生異常
NIDS_WARN_TCP_BIGAQUEUE,//表示TCP接收的隊列數據過多
NIDS_WARN_TCP_BADFLAGS//表示錯誤標記
}
2.Libnids狀態
在對TCP數據流進行重組時，必須考慮到TCP的連接狀態，在Libnids中爲了方便開發而定義了6種Libnids狀態(描述的是連接的邏輯狀態)
#define NIDS_JUST_EST 1//表示tcp連接建立
#define NIDS_DATA 2 //表示接受數據的狀態
#define NIDS_CLOSE 3 //表示tcp連接正常關閉
#define NIDS_RESET 4 //表示tcp連接被重置關閉
#define NIDS_TIMED_OUT 5 //表示由於超時tcp連接被關閉
#define NIDS_EXITING 6 //表示libnids正在退出
真正的TCP連接狀態有11種
enum
{
TCP_ESTABLISHED=1, //表示ESTABLISH狀態，TCP連接建立，開始傳輸數據
TCP_SYN_SENT,//表示syn_sent狀態,主動打開
TCP_SYN_RECV,//表示syn_recv狀態,接收SYN
TCP_FIN_WAIT1,//表示FIN_WAIT_1狀態
TCP_FIN_WAIT2,//表示FIN_WAIT2狀態
TCP_TIME_WAIT//表示TIME_WAIT狀態
TCP_ClOSE,//表示Closed狀態
TCP_CLOSE_WAIT,//表示CLose_WAIT狀態
TCP_LAST_ACK,//表示LAST_ACK狀態
TCP_LISTEN,//表示LISTEN狀態
TCP_CLOSING//表示CLOSING 狀態
}
3.校驗和，與此相關的常量定義如下：
#define NIDS_DO_CHKSUM 0 //表示告訴Libnids要計算校驗和
#define NIDS_DONT_CHKSUM 1//表示告訴LIbnids不需要計算校驗和
二。數據結構
1.tuple4：此數據結構是Libnids中最基本的一種數據結構
struct tuple4
{
u_short source;//源端口
u_short dest;//目標端口
u_int saddr; //源IP
u_int daddr;//目的IP
};//用於描述一個地址端口對，它表示發送方IP和端口以及接收方IP和端口
2.half_stream：此數據結構用來描述在tcp連接中一端的所有信息，可以使客戶端也可以是服務端。
struct half_stream
{
char state;//表示套接字的狀態,也就是tcp連接狀態
char collect;//表示是否存儲數據到data中,如果大於0就存儲,否則忽略
char collect_urg;//是否存儲緊急數據到urgdata中,如果大於0就存儲,否則忽略
char *data;//存儲正常接收的數據
int offset;//存儲在data中數據的第一個字節的偏移量
int count;//表示從tcp連接開始已經存儲到data中的數據的字節數
int count_new;//表示有多少新數據寸到data 中
int bufsize;//
int rmem_alloc;
int urg_count;
u_int acked;
u_int seq;
u_int ack_seq;
u_int first_data_seg;
u_char urgdata;//用來存儲緊急數據
u_char count_new_urg;//表示是否有新的緊急數據到達
u_char urg_seen;
u_int urg_ptr;
u_short window;
u_char ts_on;
u_int curr_ts;
struct skbuff *list;
struct skbuff *listtail;
}
3.tcp_stream:描述的是一個TCP連接的所有信息
struct tcp_stream
{
struct tuple4 addr;//是一個tuple4類型的成員,它表示一個tcp連接的四個重要信息
char nids_state;//表示邏輯連接狀態
struct lurker_node *listeners;
struct half_stream client;
struct half_stream server;
struct tcp_stream *next_node;
struct tcp_stream *prev_node;
int hash_index;
struct tcp_stream *next_time;
struct tcp_stream *prev_time;
int read;
struct tcp_stream *next_free;
};//描述了一個TCP連接的完整信息
4.nids_prm:描述libnids的一些全局參數信息
struct nids_prm
{
int n_tcp_streams;//表示哈西表大小,此哈西表用來存放tcp_stream數據結構,
int n_hosts;//表示存放ip碎片信息的哈西表的大小
char *device;
char *filename;//用來存儲網絡數據捕獲文件.如果設置了文件,與此同時就應該設置成員device爲null,默認值爲NULL
int sk_buff_size;//表示數據結構sk_buff的大小.數據結構sk_buff是linux內核中一個重要的數據結構,是用來進行數據包隊列操作的
int dev_addon;//表示在數據結構sk_buff中用於網絡接口上信息的字節數,如果是-1(默認值),那麼libnids會根據不同的網絡接口進行修正
void (*syslog)();//函數指針,默認值爲nids_syslog()函數.在syslog中可以檢測入侵攻擊,如:網絡掃描攻擊
函數定義類型爲nids_syslog(int type,int errnum,struct ip_header * iph,void *data)
int syslog_level;//表示日誌等級,默認值爲LOG_ALERT.
int scan_num_hosts;//表示存儲端口掃描信息的哈西表的大小
int scan_delay;//表示在掃描檢測中,兩端口掃描的間隔時間
int scan_num_ports;//表示相同源地址必須掃描的tcp端口數目
void (*no_mem)(char *);//當libnids發生內存溢出時被調用
int (*ip_filter)();//函數指針,此函數可以用來分析ip數據包,當有ip數據包到達時,此函數被調用.默認值爲nids_ip_filter,該函數的定義如下：
static int nids_ip_filter(struct ip * x,int len)
char *pcap_filter;//表示過濾規則
int promisc;//表示網卡模式,非0爲混雜模式,否則爲非混雜模式,默認值爲1
int one_loop_less;//表示捕獲數據返回的時間,以豪秒計算.默認值爲1024
int pcap_timeout;
};
在Libnids中用nids_prm數據結構定義了一個全局變量nids_params,其定義和初始值如下:
struct nids_prm nids_params={
1040,//n_tcp_streams
256,//n_hosts
NULL,//device
NULL,//filename
168,//sk_buff_size
-1,//dev_addon
nids_syslog,//syslog()
LOG_ALERT,//syslog_level
256,//scan_num_hosts
3000,//scan_delay
10,//scan_num_prots
nids_no_mem,//no_mem()
nids_ip_filter,//ip_filter
NULL,//pcap_filter
1,//promisc
0,//one_loop_less
1024//pcap_timeout
}在使用Libnids開發程序時,可以首先對nids_params全局變量的值進行修改,這樣對整個Libnids就全部有效
5.nids_chksum_ctl:描述的是計算校驗和
struct nids_chksum_ctl
{
u_int netaddr;
u_int mask;
u_int action;//表示動作,如果是NIDS_DO_CHKSUM,表示要計算校驗和;如果是NIDS_DONT_CHKSUM表示不計算校驗和
u_int reserved;
}
三.Libnids函數
1.基本函數
(1)int nids_init(void);//對libnids進行初始化
(2)void nids_run(void);//運行Libnids,進入循環捕獲數據包狀態.
(3)int nids_getfd(void);//獲得文件描述號
(4)int nids_dispatch(int cnt)//功能是調用Libpcap中的捕獲數據包函數pcap_dispatch().
(5)int nids_next(void)//調用Libpcap中的捕獲數據包函數pcap_next()
(6)void nids_register_chksum_ctl(struct nids_chksum_ctl *ptr,int nr)//決定是否計算校驗和,它是根據數據結構nids_chksum_ctl中的action進行決定的
2.IP碎片函數
(1)void nids_register_ip_frag(void(*))//此函數的功能是註冊一個能夠檢測所有IP數據包的回調函數,包括IP碎片
eg:nids_register_ip_frag(ip_frag_function);
這樣就定義了一個回調函數ip_frag_function的定義類型如下:
void ip_frag_function(struct ip *a_packet,int len)
(2)void nids_register_ip(void(*))//此函數定義一個回調函數,此回調函數可以接受正常的IP數據包,eg:
nids_register_ip(ip_function);
此回調函數的定義類型如下:
void ip_function(struct ip * a_packet)
3.TCP數據流重組函數
(1)void nids_register_tcp(void(*))
回調函數的功能是註冊一個TCP連接的回調函數,回調函數的類型定義如下:
void tcp_callback(struct tcp_stream *ns,void **param);
其中參數ns表示一個tcp連接的所有信息,它的類型是tcp_stream數據結構;參數param表示要傳遞的連接參數信息,可以指向一個TCP連接的私有數據
(2)void nids_killtcp(struct tcp_stream * a_tcp)//此函數功能是終止TCP連接
(3)void nids_discard(struct tcp_stream *a_tcp,int num)//丟棄num字節TCP數據,用於存儲更多的數據
4.UDP註冊函數
(1)void nids_register_udp(void(*));
此函數的功能註冊一個分析UDP協議的回調函數,回調函數的類型定義如下:
void udp_callback(struct tuple4 *addr,char *buf,int len,struct ip * iph);
其中參數addr表示的是端口的信息,參數buf表示UDP協議負載數據內容,參數len 表示UDP負載數據的長度;參數iph表示一個IP數據包,包括IP首部,UDP首部以及UDP負載內容
利用Libnids開發的流程
用函數nids_init()進行初始化。
然後註冊相應的回調函數。不同的回調函數實現不同的功能
最後利用函數nids_run()進入循環捕獲數據包的狀態。
轉自：http://blog.chinaunix.net/uid-22832715-id-2111578.html