详细来说，标签的工作方式如下：

- `<petabi_rules> </petabi_rules>`: 定义一个规则文件的所有规则。
  每个规则文件应只有一对这样的标签来打开和关闭所有指定的流量流。
    - `<rule > </rule>`: 定义一个单一规则。一个单一规则可以生成任意数量的流量流或数据包。一个文件中可以有任意数量的规则。
        - 选项：
            - name: 此规则的名称。主要用于文档说明，无实际功能。
        - `<traffic_stream> </traffic_stream>`: 一个流量流定义了两个端点之间的流量。在同一个流量流内指定的所有数据包将共享相同的端点。一个给定规则可以指定任意数量的流量流。同一规则内的不同流量流可能具有不同的端点，也可能不具不同端点，具体取决于以下设置。
            - 选项：
                - typets: 指定用于生成数据包的流量流类型。目前有 Standard、ScanAttack 和 BackgroundTraffic。
                - scantype: 1 == Syn 扫描（默认）2 == 连接扫描。与 ScanAttack 配合使用。
                - target: 指定扫描攻击的目标 IP 地址。
                - targetports: 用于扫描攻击。提供一个逗号分隔的端口列表，或单个起始端口。否则端口将被随机扫描。如果提供了单个起始端口，则端口将从该点开始按顺序扫描到 65535，然后回绕到起始点。此选项与 typets 为 'ScanAttack' 配合使用。
                - srcport: 指定扫描攻击的源端口。默认为随机。
                - duration: 扫描攻击的时间窗口或持续时间（秒），如果 typets 为 'ScanAttack'。
                - intensity: 扫描攻击的强度，如果 typets 为 'ScanAttack'。
                - offset: 扫描攻击开始前的偏移量。也用于在流量中插入多个扫描时使用。
                - replychance: 扫描有回复的概率。换句话说，目标端口开放的概率（默认为 20%）。与 ScanAttack 配合使用。
                - proto: 指定此流量流的协议。应为 TCP 或 UDP 或 ICMP（未测试）。
                - src: 源 IP 地址。可以是 xxx.xxx.xxx.xxx 格式的地址、$EXTERNAL_NET（表示外部地址——假设已指定了家庭网络）、$HOME_NET 或 any（随机选择 IP 地址）。
                - dst: 目标 IP 地址。与源 IP 地址相同。
                - sport: 源端口（假设为 TCP 或 UDP）。可以使用 Snort 端口格式，可以是括号内的逗号分隔列表（即 [80,88,89]）、范围（即 [10:1000]）或 any（即从 0-65535 中随机选择）。
                - dport: 目标端口，与 sport 相同。
                - handshake: 是否在流开始时生成 TCP 握手。如果排除，则不会进行握手。有效值为 true 或 false。默认为 false。
                - latency: 设置数据包之间的平均延迟（微秒）。
                - teardown: 是否在所有流量发送完毕后关闭流，方法是在流量流的末尾附加 TCP 断开连接。有效值为 true 或 false。默认为 false。
                - synch: 流量流是否为同步。当为 true 时，一个流量流必须在下一个流量流开始之前完成。当为 false 时，所有连续的为 false（即异步）的流将同时执行。
                - tcp_overlap: 默认值为 false。当为 true 时，从第二个数据包开始将附加一个额外内容，并且 TCP 序列号将减少 1，以模拟 TCP 重叠序列号。
                - ipv: 指定 IPv4 或 IPv6。有效选项为 4 或 6。默认为 4。
                - out_of_order: 随机使数据包乱序到达。注意，此选项仅适用于使用 'times' 选项的数据包。此外，此选项还应与 ack 一起使用，以便在流量跟踪中出现适当的重复 ACK。有效值为 true 或 false。默认为 false。
                - out_of_order_prob: 设置数据包乱序到达的概率。例如，10 表示每个数据包有 10% 的概率乱序。乱序数据包在所有有序数据包之后到达。此外，它们也会被随机混合。因此，如果 10 个数据包中的第 2 个和第 5 个被确定为乱序，它们将在这 10 个数据包中最后到达（位置 9 和 10），并且顺序任意（即第 5 个可能先于第 2 个，反之亦然）。此值必须在 1 到 99 之间。默认为 50。
                - packet_loss: 随机丢弃数据包（即不到达）。此选项仅适用于 'times' 选项。此外，此选项还应与 ack 选项设置为 true 一起使用，以便在流量跟踪中出现重复 ACK。有效值为 1 到 99，表示数据包被丢弃的概率。注意，数据包丢失仅发生在携带数据的数据包上，而不发生在 ACK 上。
                - ack: 是否让此流中的每个数据包之后都跟一个来自服务器的 ACK。有效值为 true 或 false。默认为 false。
                - percentage: 仅适用于 BackgroundTraffic，一个规则文件或目录中只能有一个 BackgroundTraffic 规则。百分比表示在总流量流中创建的后台流量流所占的比例。
                - http: 后台流量流中 http 应用协议的百分比分布。
                - ftp: 后台流量流中 ftp 应用协议的百分比分布。
                - pop: 后台流量流中 pop 应用协议的百分比分布。
                - smtp: 后台流量流中 smtp 应用协议的百分比分布。
                - imap: 后台流量流中 imap 应用协议的百分比分布。
            - `<pkt > </pkt>`: 此指令指定单个数据包或一系列数据包。可以使用 times 特性使一个 <pkt> </pkt> 指令生成多个数据包。否则，必须明确指定每个方向上的每个数据包。
                - 选项：
                    - dir: 数据包的方向。有效值为 to server 或 to client。初始源 IP 被视为客户端，初始目标 IP 被视为服务器。因此 'to server' 发送从客户端到服务器的数据包，'to client' 发送从服务器到客户端的数据包。默认为 to server。
                    - content: 指定此数据包内容的正则表达式。数据包的大小将取决于正则表达式。
                    - fragment: 是否对此数据包进行分片。仅适用于 ipv4。应具有大于 2 的值。将创建尽可能多的有效分片或指定数量的分片（取较小者）。默认值为 0，表示不分片。
                    - ack: 是否对此数据包发送 ACK。有效值为 true 或 false。默认为 false。
                    - split: 将内容分配到指定数量的数据包中。默认情况下，所有内容都在一个数据包中发送（分片是此规则的例外）。
                    - times: 发送此数据包 x 次。默认值为 1，正值将发送恰好 x 个数据包（如果 ack 为 true，可能包含 ACK），而负值将发送介于 1 和 abs(-x) 之间的随机数量的数据包。
                    - ttl: 设置数据包的生存时间值。默认情况下，sniffles 会生成随机的 TTL 值。
                    - ttl_expiry: 通过将数据包分成多个数据包，并在两个正常数据包之间插入一个恶意数据包来模拟 TTL 过期攻击。默认值为 0（无恶意数据包）。如果值非零，则会插入恶意数据包，其 ttl 等于 ttl_expiry 值。如果设置了 ttl 值，则正常数据包将使用新的 ttl 值。

最后说明：新的规则格式只是一个开始，可能存在问题。如有任何不一致或错误，请提醒我。此外，目的是根据需要扩展选项以提供更多功能。如有想要的功能，请联系我。最后，本产品按“原样”提供，不保证功能或准确性。欢迎分支此项目以满足您自己的需求。

致谢：
--------

此应用程序由 Petabi, Inc. 为您提供，我们提供可靠、真实且超高速的安全解决方案。

作者：

- Victor C. Valgenti
- Min Sik Kim
- Tu Le
- Moosuk Pyun

新特性：
-------------

- 2014年11月21日：版本 1.4.0 添加了流量分割和 traffobot 用于双向流量生成。修复了当生成的流量可以放入单个流量写入调用时抛出异常的 bug。重新格式化并启用了使用说明。最后，添加了 traffobot 和 XML 解析的单元测试。

- 2015年2月3日：版本 2.0。完全重写了流的工作方式，以减少使用特殊规则生成大型流时的内存需求。目前，在处理大约 2-300 万并发流之前性能不会下降。我添加了一些功能来帮助创建大型流。首先，使用约 200-300 万并发流进行生成。其次，不要对这些流使用 teardown。一小部分流将从捕获开始持续到结束，而其余的流将在每个批次周期结束时关闭。我将努力提高效率，但现在在 Sniffles 中管理所有复杂选项在内存中确实无法廉价实现。唯一的解决方案是使用具有更多 RAM 的更强大的机器。此版本还包含各种修复。

- 2015年2月11日：为乱序数据包添加了概率，允许调整乱序数据包的频率。

- 2015年3月5日：将 TCP 断开连接改为标准断开序列。现在允许内容分散到多个数据包中，而无需使用分片。

- 2015年4月9日：修复了扫描流量，它在之前的某次更改中部分损坏。pcap 起始时间戳现在默认为当前时间，可以通过 -g 选项设置。最后，如果客户端首先发送数据，三次 TCP 握手中的第三个数据包现在将承载数据。

- 2015年5月22日：重写了规则解析，以简化扩展规则解析器以适应更多格式的能力。将 nfa 遍历和 pcre 直接嵌入到 sniffles 中。清理了代码，为公开发布做准备。

- 2015年5月27日：更新了文档，合并了 pcre 库和 nfa 构建，使 sniffles 成为独立的包。添加了正则表达式生成器和随机规则生成器作为 Sniffles 包的一部分。版本更新至 3.0.0 并发布到 github。

- 2015年8月12日：实施了大量错误修复和新功能。从根本上改变了流和处理流的方式，以提高可扩展性。添加了每流延迟。更新了文档。

正则表达式生成器
============================

这是一个简单的正则表达式生成器。
它完全随机地创建正则表达式，或者基于一系列分布。
可以对正则表达式生成方式的控制是结构性的，而不是上下文相关的。换句话说，
不会努力使生成的字符串标记出现在正则表达式中。
然而，可以调整概率分布以影响规则中出现的特性类型，如字符类、选择、重复等。

安装
-------

将随 Sniffles 的其余部分自动安装。

选项
-------

regexgen——随机正则表达式生成器。

    usage: regexgen [-C char distribution] [-c number regex]
    [-D class distribution] [-f output re file]
    [-l lambda for length generation] [-M maximum regex length]
    [-m minimum regex length] [-n negation probability]
    [-o options chance] [-R repetition chance] [-r repetition distribution]
    [-t re structural type distribution] [-?] [-g]

-    -C 字符分布：设置看到特定字符或字符类型的可能性。请参阅下面的分布简要说明以了解如何使用。默认情况下，此分布为均匀分布。此分布有五个槽位：ASCII 字符、\x00 格式的二进制字符、字母（大写或小写）、数字和替换类（如 \w）。此选项的输入示例为 "10,20,10,40,20"，表示生成的任何字符有 10% 的概率来自 10% ASCII，20% 二进制，10% 字母等。注意：可能对正则表达式造成问题的 ASCII 字符（如 '[' 或 '{'）会被转换为十六进制表示（例如 \x3b）。
-    -c 要生成的正则表达式数量。默认为一个。
-    -D 类分布：类分布中只有两个槽位。第一个槽位是类由一些随机生成的字符组成的概率。第二个槽位是类由范围（如 a-z）组成的概率。
-    -f 输出文件名。设置存储正则表达式的文件名。默认为当前工作目录中的 rand.re 文件。
-    -g 分组：所有正则表达式将有一个公共前缀，该前缀至少与一个或多个其他正则表达式共享（只要存在多个正则表达式）。公共前缀就是一组正则表达式相同的正则表达式。可能的公共前缀总数从 1 到要生成的正则表达式总数的一半。此选项的默认值为 false。此选项不带参数。
-    -l 长度的 lambda：这是正则表达式长度指数分布的均值。默认值为 10。
-    -M 最大正则表达式长度：使正则表达式的结构长度最多为此值或更短。默认情况下，不限制最大长度。
-    -m 最小正则表达式长度：使正则表达式至少为此长度或更长。默认为 3，如果输入为零或负数，将自动使用值 1。
-    -n 取反概率：字符类成为取反类（[^xyz]）而不是普通字符类（[xyz]）的概率。默认概率为 50%。
-    -o 选项概率：在正则表达式后附加选项的概率。当前选项为 'i'、'm' 和 's'。选项数量随机，选项通过均匀分布选择。
-    -R 重复概率：在正则表达式中添加任何结构组件后出现重复的概率。
-    -r 重复分布：重复结构的分布。槽位为：零或一 (?)、零或多 (*)、一或多 (+) 和计数 ({x,y})。
-    -t RE 结构类型分布：正则表达式主要结构组件的分布。由三个槽位或类别组成：字符、类和选择。注意，选择将简单地生成一个较小的正则表达式，其大小不超过正则表达式剩余长度的限制。换句话说，选择会导致多个较小的正则表达式被合并到整个正则表达式中。选择在创建这些较小正则表达式时使用完全相同的方法。
-   -? 打印此帮助。

    此生成器将创建随机正则表达式。可以将正则表达式中的结构调整为概率分布，但目前不能调整内容。这对于探索正则表达式可能的最大多样性是理想的（尽管不一定是现实的正则表达式）。通过为特定分布的各种可能性或槽位创建概率列表来处理分布。这些通过命令行参数添加，使用简单的字符串列表，例如 "10,30,40,20"。列表中的值数量应与槽位数量相同。列表中所有值的总和应为 100，且不应有分数。每个槽位的值是该槽位被选中的概率。例如，基本 RE 结构类型分布有三个槽位。第一个槽位是下一个结构类型为字符的概率（其中字符可以是字母、数字、二进制、ASCII 或替换类（如 \w））。第二个槽位是字符类的概率，如 [ab@%]、[^123] 或 [a-z]。最后一个槽位是出现选择的概率，如 (ab|cd)。通过这三个槽位，您可以调整希望结构中出现的频率。例如，regexgen -c 10 -t "80,10,10" 将创建 10 个正则表达式，其中 80% 的结构为字符，10% 为字符类，10% 为选择。

随机规则生成器
=====================

随机规则生成器提供了一种创建大量随机生成规则的方法，用于测试特定平台。目前，生成的规则符合 Snort 规则格式或只是文本行。要使随机规则生成器工作，您必须有一组定义的特征。示例特征可以在 example_features 文件夹中找到，并在下面进一步描述。

安装
-------

随 Sniffles 自动安装

注意：随机规则生成器使用随机正则表达式生成器来创建任何类型的内容。选项
-------

随机规则生成器

用法：rulegen -c [规则数量] -f [特征集]
        -o [输出文件] [-s]

- -c  规则数量：要生成的规则数。
      默认为1。
- -f  特征集：包含特征集描述的文件。
      有关特征集及其描述方法的详细说明，请参阅文档。
- -o  输出文件：规则写入的输出文件。
      默认为rules.txt。
- -s  Snort规则格式：以snort规则格式写入规则。
      无参数，默认关闭。关闭时，规则仅转换为字符串格式，具体格式取决于特征解析器。

特征集
-----------

特征用于描述IDS规则中可能出现的方面。例如，包过滤器可能使用针对IP源地址和目标地址的规则。在这种情况下，可以创建一个特征集来描述如何生成这些IP源地址和目标地址。更具体地说，我们区分了简单规则和复杂规则。这两者的区别在于是否存在歧义符号。例如，如果我们有一个歧义符号*表示任何IP地址，那么我们可以说*代表一个歧义符号。此外，我们知道规则也可以使用非歧义符号，比如192.168.1.1。这将表示一个简单的IP地址，因为它是一个固定的单个IP地址，没有任何可能的歧义表示。然后我们进一步定义特定特征的范围（例如，跨越整个40亿以上可能的IPv4地址的IP地址，或只是其子集）。

特征最终定义了任意规则的所有方面。给定一个特征集和一个有效的规则格式，就可以随机生成任意数量的使用这些特征的规则。通过这种方式，可以生成测试规则集，这些规则集将沿着经常被忽略的向量检查IDS。

特征以分号分隔的列表形式定义，每行一个特征：type=feature; 参数列表采用key=value对，列表使用Python格式（即[a, ..., z]）。特征定义了目标规则格式的特定部分。特征可以扩展以增加更多功能。或者，可以通过创建新的规则格式来扩展特征的能力。

当前特征类型：

1. Feature -- 通用特征
2. Content -- 内容特征
3. IP -- IP特征
4. Protocol -- 协议特征

歧义列表应写为列表形式，如[x:y]表示范围，[x,y]表示列表，{x1,x2,x3}表示集合，或仅用*表示通配符或类似的单一选项。

歧义列表示例：```
ambiguity_list=[[2:9]]
it will generate [3:4], [5:6], etc (any [x:y] such that
x <= y and x >= 2 and y > x and y <= 9).

ambiguity_list=[[3,20]]
it will generate [3,9,10], [3,4,8,12], etc (any list [x1,x2,x3,..]
such that all values falling between 3 and 20.

ambiguity_list=[{5,6,10}]
it will generate a subset of {5,6,10} such as {5,10}, {5}.

ambiguity_list=[[2:9],[3,20],{5,6,11}]
it will pick one of [2:9], [3,20], and {5,6,11} and
generate a corresponding instance (see above)

上述内容定义了两个特征：一个协议特征和一个源IP特征。协议命名为`proto`，仅对规则格式化器有意义，有效的协议包括：IP、TCP、UDP和ICMP。IP特征定义为IPv4，所有规则将是复杂的。IP复杂度已包含在类中，无需在特征定义中添加。这将使用CIDR表示法生成IP地址。

通用特征属性：

- Feature_name：信息性属性，对规则格式化器可能有用。
- lower_bound：可能取值范围的边界下限。假设特征为数字。
- upper_bound：与lower_bound相反。
- complexity_prob：规则中使用复杂特征的概率。取值范围0到100。默认为0。
  使用复杂特征时，从歧义列表中随机选择一种歧义表示法；或者如果特征定义了特定的歧义（如IP地址），则使用该表示法。不使用复杂特征时，将根据边界生成值；或者对于Content特征，使用一组分布值限制生成的字符串为一系列ASCII字符。
- ambiguity_list：可能的歧义表示法列表。使用Python格式的逗号分隔列表（例如[a, b, c]）。
- toString()：在给定此特定特征集的情况下，打印出一个规则实例。

Content特征——继承自Feature：
- regex：True或False。若为True，将使用pcre格式处理正则表达式，并可能向正则表达式添加选项i、s或m。
- length：定义生成内容的平均长度。
- min_regex_length：定义正则表达式的最小长度。

Protocol特征——继承自Feature：
- proto_list：定义可能的协议列表，逗号分隔（例如[TCP, UDP]）。

IP特征——继承自Feature：
- version：4表示IPv4，6表示IPv6。默认为4。

范围、列表、集合的歧义表示法：

范围表示法：
  [x:y] 表示从x到y（包含）。

列表表示法：
  [x,y] 表示随机确定数量的一系列值，每个值大于等于x且小于等于y。

集合表示法：
  {x1,x2,x3,x4} 表示集合值x1、x2、x3、x4。将生成原集合的子集。

请参阅`example_features`文件夹中的示例特征集以获取更多示例。更多细节以及其背后的学术理论预计稍后添加。