建立一条snort规则：对来自内网端口为1到1024 目标为内网5000以上端口 含“00 01 86 a5”的tcp包进行报警，在报警和日志中输出显示"mountd access"。

以下是建立一条符合要求的Snort规则的步骤：

1. 打开Snort规则文件，可以使用以下命令：

sudo nano /etc/snort/rules/local.rules

2. 在文件末尾添加以下规则：

alert tcp $HOME_NET 1:1024 -> $HOME_NET 5000:65535 (content:"\x00\x01\x86\xa5"; msg:"mountd access"; sid:1000001;)

3. 规则解释：
- alert：规则动作，表示当匹配到规则时，Snort会发出警报。
- tcp：协议，表示要检测的是TCP流量。
- $HOME_NET 1:1024：源地址和端口，表示匹配来自内网端口为1到1024的流量。
- $HOME_NET 5000:65535：目标地址和端口，表示匹配目标为内网5000以上端口的流量。
- content:"\x00\x01\x86\xa5"：选项，表示要匹配的内容为16进制表示的"\x00\x01\x86\xa5"。
- msg:"mountd access"：选项，表示Snort在发出警报时要输出的消息。
- sid:1000001：选项，表示规则的唯一编号，可以用于标识该规则。

4. 保存文件并退出。

5. 重启Snort：

sudo systemctl restart snort

现在，Snort会对匹配到规则的TCP流量发出警报，并在警报消息和日志中输出"mountd access"。需要注意的是，该规则仅用于示例，实际情况下需要根据具体需求进行调整。