如何使 snort 在目标设备上以指定的 daq 类型运行

Question

您好，我想让 snort 2.9.4 在基于 mips-linux 的设备上运行，所以我交叉编译了 snort 和所有支持包。 p>

我在配置 snort 时使用选项 --disable-static-daq，因为我不想使用所有 daq 模式。我需要的只是 afpacket 模式。

当交叉编译正常时，我移动 daq_afpacket.so、libsfbpf.so.0.0.1、libdaq.so.2.0.0、libdnet.1.0.1、libpcre.so.0.0.1、libpcap.so。 1 到目标设备的 /usr/lib 目录。并且二进制 snort 被移动到目标设备的 /bin 目录中。

然后我像这样运行 snort：

/bin/snort -vde --daq afpacket --daq-dir /usr/lib

输出显示：

在数据包转储模式下运行

    --== Initializing Snort ==--

正在初始化输出插件！

/usr/lib/daq_afpacket.so: dlopen: 找不到文件

分段错误

如果我像这样运行 snort：

# /bin/snort -vde --daq afpacket

在数据包转储模式下运行

    == Initializing Snort =

正在初始化输出插件！

错误：找不到 afpacket DAQ！

致命错误，正在退出..

你知道我在这里想念什么吗？

Answer 1

让我自己回答：

daq_afpacket.so 依赖于 libsfbpf.so.0，这是一个指向 so libsfbpf.so.0.0.1 的符号链接。然后我必须将 libsfbpf.so.0.0.1 复制到 /usr/lib 并创建指向它的符号链接。

之后，可以像这样启动 snort： /bin/snort -vde --daq afpacket --daq-dir /usr/lib --daq-var buffer_size_mb=2 -i eth0 &