snort安装与使用

安装snort之前，需要安装winPcap软件，这个软件只需下载，直接下一步下一步安装就可以，此处不做详细介绍。软件下载地址：http://www.winpcap.org/install/bin/WinPcap_4_1_2.exe

一、安装snort软件

     1）下载snort软件，下载地址：http://www.snort.org/downloads/357（这个是windows专用的版本）

     2）1.安装开始，然后一步一步安装就可以了。一般的话，安装路径放在C盘中就可以（此处就是在C盘，这个比较重要，因为后面的一些修改要根据这个路径来修改，否则安装失败），就这一点需要注意。其他的选择保持默认就可以了。

       2.安装完成后，在snort目录下，新建一个temp文件夹，如下图：

    3）安装规则库，这个是snort软件必备的文件，否则，软件的效力大打折扣。下载地址：https://www.snort.org/downloads/445(需要注册，并登陆，才可以下载，否则会报错)。下载后，将它解压到snort中，覆盖一些原本存在的文件。如下图：

 

    4）配置，打开snort目录中的etc目录下的snort.conf文件(注意：备份配置文件 cmd 中 COPY c:\snort\etc\snort.conf   C:\snort\temp)。如图：

需修改的地方：

2)用 写字板 打开配置文件c:\snort\etc\snort.conf，进行修改

Change line 194 to read   

var RULE_PATH c:\snort\rules

Change lines 289-293 to read 

dynamicpreprocessor file c:\snort\lib\snort_dynamicpreprocessor\sf_dcerpc.dll

dynamicpreprocessor file c:\snort\lib\snort_dynamicpreprocessor\sf_dns.dll

dynamicpreprocessor file c:\snort\lib\snort_dynamicpreprocessor\sf_ftptelnet.dll

dynamicpreprocessor file c:\snort\lib\snort_dynamicpreprocessor\sf_smtp.dll

dynamicpreprocessor file c:\snort\lib\snort_dynamicpreprocessor\sf_ssh.dll

Change line 312 to read 

dynamicengine c:\snort\lib\snort_dynamicengine\sf_engine.dll

Change line 816 to read   output 

alert_syslog: host=127.0.0.1:514, LOG_AUTH LOG_ALERT

二、测试snort

1）查看安装情况，在windows运行->cmd c:\snort\bin\snort -W，我的环境得到的结果如图：

我的系统中只有一块网卡，所以显示的是1。

2)在该窗口下继续运行 c:\snort\bin\snort -v –iX （其中的"X"指的是网卡编号，我的是1）所以我的命令为：c:\snort\bin\snort -v -i1   [注意 -i和1之间没有空格]

运行后，屏幕一直在滚动。有数据被捕获。如下图：

三、snort的日志

 

运行日志模式，使用bat批文件。SnortStart-l.bat

c:\snort\bin\snort -i1 -s -l c:\snort\log\ -c c:\snort\etc\snort.conf

如图：

完成后，运行bat文件，如下图：

 

四、总结

至此，整个snort安装完成。就这样，很简单，没什么好总结的。snort只是一个平台，安装好后，后面的很多实验都变得非常简单，如：Kiwi Syslog 的日志监控等等。