Snort 使用手册，第 2 部分: 配置

核心提示： 注意，您需要以根用户的身份运行或是使用 sudo，Snort 使用手册，第 2 部分: 配置(3)，详细内容请查看上一篇文章，当然，后面多了一个端口号，端口号通常出现在 IP 地址之后的冒号后面，这里的难点是利用这些信息，可以进一步把这些信息分解为单个的包

注意，您需要以根用户的身份运行或是使用 sudo，详细内容请查看上一篇文章。

当然，这里的难点是利用这些信息。可以进一步把这些信息分解为单个的包，如清单 2 所示（直接使用清单 1 的内容）。

清单 2. 清单 1 输出的单个包

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+　
　
03/31-08:55:21.976800　ARP　who-has　192.168.1.104　tell　192.168.1.1　
　
03/31-08:55:22.968515　192.168.1.1:67　->　255.255.255.255:68　
UDP　TTL:150　TOS:0x0　ID:6040　IpLen:20　DgmLen:576　
Len:　548　
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

这个包表示什么含义？是否值得关注？

基本上全部关于 IP 地址

包中的最重要信息来自 IP 地址。清单 2 中的包提供了一些；它们在清单 3 中使用粗体突出显示。

清单 3. 注意清单 2 所示包中的 IP 地址

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+　
　
03/31-08:55:21.976800　ARP　who-has　192.168.1.104　tell　192.168.1.1　
　
03/31-08:55:22.968515　192.168.1.1:67　->　255.255.255.255:68　
UDP　TTL:150　TOS:0x0　ID:6040　IpLen:20　DgmLen:576　
Len:　548　
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

这里提到了两个 IP 地址：192.168.1.104 和 192.168.1.1。此外，192.168.1.1 在第二次出现时，后面多了一个端口号。端口号通常出现在 IP 地址之后的冒号后面，例如：192.168.1.1:67。