流量检测学习与snort工具使用记录

snort相关命令

查看本机网卡   snort -w
启动snort     snort -c d:/Snort/etc/snort.conf  -l  日志目录\log   -i 网卡序号
                    -A  console      打印告警到屏幕上
                    -s               向syslog发送警报
嗅探器模式：                   
 snort  -v   只展示 IP and TCP/UDP/ICMP 头,
 snort  -vd  带包数据
 snort  -vde  数据链路层信息
 
数据包记录器模式: 
 snort -dev -l ./log

告警格式
[116:56:1]
第一个数字 生成ID
第二个数字 snortID
第三个数字 revisionId

配置文件关注:

1. 规则文件存放路径
2. 本机，外部地址
3. 黑白名单路径等

常见端口：

139 端口是为“NetBIOS Session Service”提供的，主要用于提供Windows文件和打印机共享以及Unix中的Samba服务。
1433，1434端口是SQL Server默认的端口

数据库爆破记录
pg数据库外部主机访问不到:
问题原因: 这是在远程连接时pg_hba.conf文件没有配置正确。pg_hba.conf文件在Postgre安装文件目录下的data文件夹中。
需要在pg_hba.conf添加一条关于此用户的信息
host all all hostID/32 md5
32是子网掩码的网段；md5是密码验证方法，可以改为trust

洪泛攻击记录
ping命令发送big包

ping -s 65500 xx.xx.xx.xx   # -s表示发送多大的包 后面接地址

检测规则

alert icmp any any -> $HOME_NET any ( msg:"SYN"; dsize:>500; classtype:denial-of-service; sid:2;)     # classtype  属于尝试拒绝服务攻击类

TCP协议

1、SYN表示建立连接，
2、FIN表示关闭连接，
3、ACK表示响应，
4、PSH表示有 DATA数据传输，
5、 RST表示连接重置。