Forum Debian Users Gang

Jacekalex · 2011-01-23 01:29:32

Witam

Skrypt guardian.pl -do snorta.
Z sysloga czytać potrafi, i nawet to robi, (logi snorta są tylko w postaci binarnej),
jednak zamierzam przestawić go na kolejkę fifo utworzoną poleceniem:

Kod:

test -p /dev/snort || mkfifo /dev/snort

Czyli czysto, higienicznie i bez niepotrzebnego mielenia dyskiem :0
i tu jest kłopot:
W takim zapisie działa poprawnie:

Kod:

open (ALERT, $alert_file) or die "can't open alert file: $alert_file: $!\n";
@junk=<ALERT>;
# this is the same as a tail -f :)
for (;;) { ....

Za to w takim zapisie nie czyta niczego:

Kod:

open (ALERT, "</dev/snort") or die "can't open alert file: $alert_file: $!\n";
@junk=<ALERT>;
# this is the same as a tail -f :)
for (;;) { 
  sleep 1; 
  if (seek(ALERT,0,1)){ 
    while (<ALERT>) { 
      chop;
      if (/snort/) { #syslog file
        if (defined($opt_d)) {print "$_\n";}
        # this was contributed by warlock <warlock@pagetrans.com>, however my 
        # syslog seems diffrent...
        if (/snort:\s*(.*)\s*\:\s*(\d+\.\d+\.\d+\.\d+):\d+\s*->\s*(\d+\.\d+\.\d+\.\d+):\d+$/) {
          &checkem ($2, $3, $1);
        }
        # this should work with my syslog
        if (/snort\[\d+\]:\s*(.*)\s*\:\s*(\d+\.\d+\.\d+\.\d+):\d+\s*->\s*(\d+\.\d+\.\d+\.\d+):\d+$/) {
          &checkem ($2, $3, $1);
        }
        # Not everything has a port assocated with it (ICMP stuff)
        if (/snort\[\d+\]:\s*(.*)\s*\:\s*(\d+\.\d+\.\d+\.\d+)\s*->\s*(\d+\.\d+\.\d+\.\d+)$/) {
          &checkem ($2, $3, $1);
        }
     
      } else { # snort.alert type file for backwards compat
              if (defined($opt_d)) {print "$_\n";}
        if (/\[\*\*\]\s+(.*)\s+\[\*\*\]/){ 
          $type=$1;
        }
        if (/(\d+\.\d+\.\d+\.\d+):\d+ -\> (\d+\.\d+\.\d+\.\d+):\d+/) {
          &checkem ($1, $2, $type);
        }
      }
    } 
  } 
  &remove_blocks; # This might get moved elsewhere, depending on how much load
                  # it puts on the system..
}

Cały skrypt jest [url=http://jacekalex.sh.dug.net.pl/guardian][b]tutaj[/b][/url].

Jak to prawidłowo zakodować, żeby poszło jak należy?
Bo logi snorta przelatują przez [b]/dev/snort[/b] elegancko.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2011-02-23 05:40:07)

lessmian · 2011-01-23 09:22:18

Na pewno chciałeś użyć [i]chop[/i] zamiast [i]chomp[/i]? To pierwsze zwraca tylko ostatni znak, więc raczej nigdy nie dopasuje go do [i]/snort/[/i] czy następnych wzorców. Ew. wstaw jakiegoś chamskiego printa i zobacz gdzie przestaje poprawnie czytać ;)

Jacekalex · 2011-02-23 05:39:13

To nie jest mój kod, tylko skrypt [url=http://www.chaotic.org/guardian/]guardian[/url] do snorta, który spina snorta z firewallem.

Z pliku logu czyta bardzo grzecznie, ale z przyczyn technicznych chce go spiąć z kolejką fifo.
Z chompem zaraz spróbuję, ale chop był oryginalnie w skrypcie.

Ostatnio edytowany przez Jacekalex (2011-02-23 05:41:15)

Time (s)	Query
0.00010	SET CHARSET latin2
0.00003	SET NAMES latin2
0.00128	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.144.25.248' WHERE u.id=1
0.00122	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.144.25.248', 1732329781)
0.00030	SELECT * FROM punbb_online WHERE logged<1732329481
0.00105	DELETE FROM punbb_online WHERE ident='3.128.198.90'
0.00072	DELETE FROM punbb_online WHERE ident='54.36.148.208'
0.00102	DELETE FROM punbb_online WHERE ident='54.36.148.22'
0.00080	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=18136 AND t.moved_to IS NULL
0.00006	SELECT search_for, replace_with FROM punbb_censoring
0.00179	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=18136 ORDER BY p.id LIMIT 0,25
0.00140	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=18136
Total query time: 0.00977 s

Forum Debian Users Gang

Ogłoszenie

#1 2011-01-23 01:29:32

Jacekalex - Podobno człowiek...;)

Perl fifo - jak to prawidłowo wyrzeźbić?

Kod:

Kod:

Kod:

#2 2011-01-23 09:22:18

lessmian - Użytkownik

Re: Perl fifo - jak to prawidłowo wyrzeźbić?

#3 2011-02-23 05:39:13

Jacekalex - Podobno człowiek...;)

Re: Perl fifo - jak to prawidłowo wyrzeźbić?

Stopka forum

Informacje debugowania