Libnids开发包介绍

 

Libnids开发包介绍
 

Libnids是一个用于网络入侵检测开发的专业编程接口,它使用了Libpcap所以它具有捕获数据包的功能。同时,Libnids提供了TCP数据流重组功能,所以对于分析基于TCP协议的各种协议Libnids都能胜任.Libnids还提供了对IP分片进行重组的功能,以及端口扫描检测和异常数据包检测功能。
Libnids数据结构

一.基本常量

1.报警类型

enum

{

NIDS_WARN_IP =1,  //IP数据包异常

NIDS_WARN_TCP,//TCP数据包异常

NIDS_WARN_UDP,//UDP数据包异常

NIDS_WARN_SCAN//表示有扫描攻击发生

}

enum

{

NIDS_WARN_UNDEFINED=0, //表示未定义

NIDS_WARN_IP_OVERSIZED.//表示IP数据包超长

NIDS_WARN_IP_INVLIST,//表示无效的碎片队列

NIDS_WARN_IP_OVERLAP,//表示发生重叠

NIDS_WARN_IP_HDR,//表示无效IP首部,IP数据包发生异常

NIDS_WARN_IP_SRR,//表示源路由IP数据包

NIDS_WARN_TCP_TOOMUCH,//表示tcp数据个数太多,因为在libnids中在同一时刻捕获的tcp个数最大值为tcp连接参数的哈希表长度3/4  

NIDS_WARN_TCP_HDR,//表示无效TCP首部,TCP数据包发生异常

NIDS_WARN_TCP_BIGAQUEUE,//表示TCP接收的队列数据过多

NIDS_WARN_TCP_BADFLAGS//表示错误标记

}

2.Libnids状态

在对TCP数据流进行重组时,必须考虑到TCP的连接状态,在Libnids中为了方便开发而定义了6种Libnids状态(描述的是连接的逻辑状态)

#define NIDS_JUST_EST 1//表示tcp连接建立

#define NIDS_DATA 2  //表示接受数据的状态

#define NIDS_CLOSE 3 //表示tcp连接正常关闭

#define NIDS_RESET 4 //表示tcp连接被重置关闭

#define NIDS_TIMED_OUT 5 //表示由于超时tcp连接被关闭

#define NIDS_EXITING 6  //表示libnids正在退出

真正的TCP连接状态有11种

enum

{

TCP_ESTABLISHED=1, //表示ESTABLISH状态,TCP连接建立,开始传输数据

TCP_SYN_SENT,//表示syn_sent状态,主动打开

TCP_SYN_RECV,//表示syn_recv状态,接收SYN

TCP_FIN_WAIT1,//表示FIN_WAIT_1状态

TCP_FIN_WAIT2,//表示FIN_WAIT2状态

TCP_TIME_WAIT//表示TIME_WAIT状态

TCP_ClOSE,//表示Closed状态

TCP_CLOSE_WAIT,//表示CLose_WAIT状态

TCP_LAST_ACK,//表示LAST_ACK状态

TCP_LISTEN,//表示LISTEN状态

TCP_CLOSING//表示CLOSING 状态

}

3.校验和,与此相关的常量定义如下:

#define NIDS_DO_CHKSUM 0  //表示告诉Libnids要计算校验和

#define NIDS_DONT_CHKSUM 1//表示告诉LIbnids不需要计算校验和

二。数据结构

1.tuple4:此数据结构是Libnids中最基本的一种数据结构

struct tuple4

{

u_short source;//源端口

u_short dest;//目标端口

u_int saddr; //源IP

u_int daddr;//目的IP

};//用于描述一个地址端口对,它表示发送方IP和端口以及接收方IP和端口

2.half_stream:此数据结构用来描述在tcp连接中一端的所有信息,可以使客户端也可以是服务端。

struct half_stream

{

char state;//表示套接字的状态,也就是tcp连接状态

char collect;//表示是否存储数据到data中,如果大于0就存储,否则忽略

char collect_urg;//是否存储紧急数据到urgdata中,如果大于0就存储,否则忽略

char *data;//存储正常接收的数据

int offset;//存储在data中数据的第一个字节的偏移量

int count;//表示从tcp连接开始已经存储到data中的数据的字节数

int count_new;//表示有多少新数据寸到data 中

int bufsize;//

int rmem_alloc;

int urg_count;

u_int acked;

u_int seq;

u_int ack_seq;

u_int first_data_seg;

u_char urgdata;//用来存储紧急数据

u_char count_new_urg;//表示是否有新的紧急数据到达

u_char urg_seen;

u_int urg_ptr;

u_short window;

u_char ts_on;

u_int curr_ts;

struct skbuff *list;

struct skbuff *listtail;

}

3.tcp_stream:描述的是一个TCP连接的所有信息

struct tcp_stream

{

struct tuple4 addr;//是一个tuple4类型的成员,它表示一个tcp连接的四个重要信息

char nids_state;//表示逻辑连接状态

struct lurker_node *listeners;

struct half_stream client;

struct half_stream server;

struct tcp_stream *next_node;

struct tcp_stream *prev_node;

int hash_index;

struct tcp_stream *next_time;

struct tcp_stream *prev_time;

int read;

struct tcp_stream *next_free;

};//描述了一个TCP连接的完整信息

4.nids_prm:描述libnids的一些全局参数信息

struct nids_prm

{

int n_tcp_streams;//表示哈西表大小,此哈西表用来存放tcp_stream数据结构,

int n_hosts;//表示存放ip碎片信息的哈西表的大小

char *device;

char *filename;//用来存储网络数据捕获文件.如果设置了文件,与此同时就应该设置成员device为null,默认值为NULL

int sk_buff_size;//表示数据结构sk_buff的大小.数据结构sk_buff是linux内核中一个重要的数据结构,是用来进行数据包队列操作的

int dev_addon;//表示在数据结构sk_buff中用于网络接口上信息的字节数,如果是-1(默认值),那么libnids会根据不同的网络接口进行修正

void (*syslog)();//函数指针,默认值为nids_syslog()函数.在syslog中可以检测入侵攻击,如:网络扫描攻击

函数定义类型为nids_syslog(int type,int errnum,struct ip_header * iph,void *data)

int syslog_level;//表示日志等级,默认值为LOG_ALERT.

int scan_num_hosts;//表示存储端口扫描信息的哈西表的大小

int scan_delay;//表示在扫描检测中,两端口扫描的间隔时间

int scan_num_ports;//表示相同源地址必须扫描的tcp端口数目

void (*no_mem)(char *);//当libnids发生内存溢出时被调用

int (*ip_filter)();//函数指针,此函数可以用来分析ip数据包,当有ip数据包到达时,此函数被调用.默认值为nids_ip_filter,该函数的定义如下:

static int nids_ip_filter(struct ip * x,int len)

char *pcap_filter;//表示过滤规则

int promisc;//表示网卡模式,非0为混杂模式,否则为非混杂模式,默认值为1

int one_loop_less;//表示捕获数据返回的时间,以豪秒计算.默认值为1024

int pcap_timeout;

};

在Libnids中用nids_prm数据结构定义了一个全局变量nids_params,其定义和初始值如下:

struct nids_prm nids_params={

1040,//n_tcp_streams

256,//n_hosts

NULL,//device

NULL,//filename

168,//sk_buff_size

-1,//dev_addon

nids_syslog,//syslog()

LOG_ALERT,//syslog_level

256,//scan_num_hosts

3000,//scan_delay

10,//scan_num_prots

nids_no_mem,//no_mem()

nids_ip_filter,//ip_filter

NULL,//pcap_filter

1,//promisc

0,//one_loop_less

1024//pcap_timeout

}在使用Libnids开发程序时,可以首先对nids_params全局变量的值进行修改,这样对整个Libnids就全部有效

5.nids_chksum_ctl:描述的是计算校验和

struct nids_chksum_ctl

{

u_int netaddr;

u_int mask;

u_int action;//表示动作,如果是NIDS_DO_CHKSUM,表示要计算校验和;如果是NIDS_DONT_CHKSUM表示不计算校验和

u_int reserved;     

}

三.Libnids函数

1.基本函数

(1)int  nids_init(void);//对libnids进行初始化

(2)void nids_run(void);//运行Libnids,进入循环捕获数据包状态.

(3)int nids_getfd(void);//获得文件描述号

(4)int nids_dispatch(int cnt)//功能是调用Libpcap中的捕获数据包函数pcap_dispatch().

(5)int nids_next(void)//调用Libpcap中的捕获数据包函数pcap_next()

(6)void nids_register_chksum_ctl(struct nids_chksum_ctl *ptr,int nr)//决定是否计算校验和,它是根据数据结构nids_chksum_ctl中的action进行决定的

2.IP碎片函数

(1)void nids_register_ip_frag(void(*))//此函数的功能是注册一个能够检测所有IP数据包的回调函数,包括IP碎片

eg:nids_register_ip_frag(ip_frag_function);

这样就定义了一个回调函数ip_frag_function的定义类型如下:

void ip_frag_function(struct ip *a_packet,int len)

(2)void nids_register_ip(void(*))//此函数定义一个回调函数,此回调函数可以接受正常的IP数据包,eg:

nids_register_ip(ip_function);

此回调函数的定义类型如下:

void ip_function(struct ip * a_packet)

3.TCP数据流重组函数

(1)void nids_register_tcp(void(*))

回调函数的功能是注册一个TCP连接的回调函数,回调函数的类型定义如下:

void tcp_callback(struct tcp_stream *ns,void **param);

其中参数ns表示一个tcp连接的所有信息,它的类型是tcp_stream数据结构;参数param表示要传递的连接参数信息,可以指向一个TCP连接的私有数据

(2)void nids_killtcp(struct tcp_stream * a_tcp)//此函数功能是终止TCP连接

(3)void nids_discard(struct tcp_stream *a_tcp,int num)//丢弃num字节TCP数据,用于存储更多的数据

4.UDP注册函数

(1)void nids_register_udp(void(*));

此函数的功能注册一个分析UDP协议的回调函数,回调函数的类型定义如下:

void udp_callback(struct tuple4 *addr,char *buf,int len,struct ip * iph);

其中参数addr表示的是端口的信息,参数buf表示UDP协议负载数据内容,参数len 表示UDP负载数据的长度;参数iph表示一个IP数据包,包括IP首部,UDP首部以及UDP负载内容

利用Libnids开发的流程

用函数nids_init()进行初始化。

然后注册相应的回调函数。不同的回调函数实现不同的功能

最后利用函数nids_run()进入循环捕获数据包的状态。

 

<think>好的,用户想了解如何使用Libnids开发包来编写网络应用层数据还原程序,需要教程或示例代码。首先,我需要回忆一下Libnids的基本功能和用途。Libnids主要用于网络数据包的分析和重组,特别是TCP流的重组,这对应用层数据的还原很关键。 接下来,我应该考虑用户可能的背景。他们可能有一定的网络编程基础,但对Libnids不熟悉。所以需要从基础开始,介绍Libnids的安装和配置,确保用户能搭建好开发环境。 然后,关于示例代码部分,应该提供一个简单的代码框架,展示如何初始化Libnids,设置回调函数来处理TCP流和应用层数据。代码要注释详细,帮助用户理解每一步的作用。比如,初始化时要禁用混杂模式,设置回调函数处理TCP连接和应用层数据。 还需要解释关键函数的作用,比如nids_run()启动分析,tcp_callback处理TCP连接,app_callback处理应用层数据。用户可能需要知道如何处理HTTP或其他协议的数据,所以这部分要详细说明。 另外,用户可能会遇到编译问题,比如链接正确的库文件,或者处理依赖库如libnet和libpcap。这部分需要给出编译命令示例,帮助用户顺利编译代码。 最后,考虑用户可能想进一步深入,所以生成相关问题,比如优化性能、处理异常或与其他库结合使用,这样他们可以继续探索。同时,引用中的man手册可能不是直接相关,但可以提醒用户查阅Libnids的官方文档获取更多信息。 需要确保回答结构清晰,分步骤说明,代码正确,并且符合用户的中文需求。同时检查LaTeX格式是否符合要求,虽然这个问题可能用不到数学公式,但其他部分如代码块和引用标识要正确应用。</think>### Libnids开发网络应用层数据还原程序指南 #### 1. 环境配置与基础概念 Libnids(Network Intrusion Detection System Library)是基于Libnet和Libpcap的网络数据重组库,支持TCP流重组和IP分片重组。开发前需安装依赖库: ```bash sudo apt-get install libnet-dev libpcap-dev libnids-dev ``` #### 2. 核心代码框架 ```c #include <nids.h> // 应用层数据处理回调函数 void app_callback(struct tcp_stream *stream, void **arg) { char *payload = (char *)stream->data; // 获取应用层数据指针 int len = stream->count; // 数据长度 if (len > 0) { printf("Payload from %s:%d -> %s:%d\n", libnids_ips->addr_new.saddr, libnids_ips->addr_new.source, libnids_ips->addr_new.daddr, libnids_ips->addr_new.dest); // 输出十六进制和ASCII内容 for (int i = 0; i < len; i++) { printf("%02X ", (unsigned char)payload[i]); if ((i+1) % 16 == 0) printf("\n"); } printf("\n-- End of Data --\n"); } } int main() { // 初始化配置 nids_params.device = "eth0"; // 指定网卡 nids_params.pcap_filter = "tcp"; // 过滤TCP流量 nids_params.scan_num_hosts = 0; // 禁用主机扫描模式 if (!nids_init()) { fprintf(stderr, "Libnids初始化失败: %s\n", nids_errbuf); return 1; } // 注册TCP流处理回调 nids_register_tcp(app_callback); // 启动抓包循环 nids_run(); return 0; } ``` #### 3. 关键功能实现 - **TCP流重组**:Libnids自动处理乱序/重复报文,通过`struct tcp_stream`提供完整数据流 - **协议识别**:可通过端口号或内容分析识别HTTP/FTP等协议 ```c if (libnids_ips->addr_new.dest == 80) { printf("Detected HTTP request\n"); } ``` - **数据持久化**:可将重组后的数据写入文件 ```c FILE *fp = fopen("network_dump.bin", "ab"); fwrite(payload, 1, len, fp); fclose(fp); ``` #### 4. 编译与运行 使用以下命令编译: ```bash gcc demo.c -lnids -lpcap -lnet -o nids_demo ``` 运行时需要root权限: ```bash sudo ./nids_demo ``` #### 5. 进阶开发建议 - 使用多线程处理高流量场景 - 结合正则表达式解析特定协议内容 - 通过`nids_params`调整超时参数优化重组效率 [^1]: 关于网络数据捕获工具的使用,可以参考类似工具的开发文档。
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值