Snort メモ

Snortの個人的メモ
随時更新予定
参考
http://manual-snort-org.s3-website-us-east-1.amazonaws.com/node27.html
http://blog.joelesler.net/2010/03/offset-depth-distance-and-within.html

offset [どこから検索するか]
パケットのどこから検索を開始するか指定する
content:"cgi-bin/phf"; offset:4;
パケットの4バイト目以降から"cgi-bin/phf"の検索を行う

depth [どこまで検索するか]
パケットのどこまで検索するかを指定する
content:"GET"; depth:3;
パケットの1バイト目から3バイト目の間に現れる"GET"を検索する。ちなみにルール中の一番最初のcontentは自動的にオフセット0から検索されるので、offset:0と指定する必要はない。

distance [どこから次の検索を開始するか]
content Aが見つかったあと、次のcontent Bの検索をどこから開始するかを指定する
content:"ABC"; content:"DEF"; distance:1;
"ABC"が見つかったら、1バイト無視してから"DEF"の検索を開始する
/ABC[.]DEF/
「"ABC"のあとに"DEF"が現れるはずだけど、何バイト目以降に現れるかは分からない」という場合にはcontent:"ABC"; content:"DEF"; distance:0 とすれば、"ABC"のあとに何バイトあろうと関係なく"DEF"を検索します。

within [~以内を検索する]
content Aが見つかってから、何バイト以内にあるcontent Bを検索する
content:"ABC"; content:"EFG"; within:10;
"ABC"のあとの10バイト以内にある"EFG"を検索する。大体何バイト以内に次のcontentがあるか分かっている場合に有効。

PCRE あれこれ

先読み: 肯定先読みは"(?="、否定先読みは"(?!"と記述

\w+(?=;)

末尾にセミコロンがついた単語にマッチする

foo(?!bar)

末尾に"bar"が続かない"foo"にマッチする

個人的によく使うパターンは下記のようなもの

pcre:"/(?![a-zA-Z]{10})(?![0-9]{10})[a-zA-Z0-9]{10}/";

英数字が混ざった文字列10文字にマッチする。アルファベットのみで構成された10文字あるいは数字のみで構成された10文字にはマッチしない。

参考
http://www.pcre.org/original/doc/html/pcrepattern.html

この記事へのComments:

https://amiesinibaldi.wordpress.com/ : 2017/05/23 (火) 15:18:54

This design is incredible! You certainly know how to keep a reader amused.
Between your wit and your videos, I was almost moved to start my own blog (well,
almost...HaHa!) Excellent job. I really loved what you had to say, and more than that, how you presented it.
Too cool!

foot pain and numbness : 2017/06/22 (木) 07:42:32

I leave a response each time I especially enjoy a article on a website or I have something to contribute to the discussion. Usually
it's caused by the passion displayed in the post I looked at.
And after this post Snort メモ : 奇妙な風景 Unique
Scene. I was actually moved enough to leave a leave a responsea response ;) I do have a couple of questions for
you if you usually do not mind. Could it be only me or does it give the impression like
a few of these remarks come across as if they are
left by brain dead people? :-P And, if you are posting
at additional places, I would like to keep up with you.
Would you list all of all your communal sites like your Facebook page, twitter feed, or linkedin profile?

foot pain big toe joint : 2017/06/27 (火) 05:58:38

Inspiring quest there. What happened after? Thanks!

foot pain bunion : 2017/06/27 (火) 06:10:13

Since the admin of this web site is working, no doubt very rapidly it will be renowned, due to its feature contents.

foot pain cream walgreens : 2017/07/03 (月) 11:45:24

Precisely what I was looking for, thanks for putting up.

foot pain conditions : 2017/07/04 (火) 03:02:02

Glad to be one of many visitors on this amazing internet site :D.

管理人のみ通知 :

Trackbacks:


プロフィール

トニヒコ

Author:トニヒコ
趣味は旅行と読書とマンガ。
将来の夢はコスモポリタン!

リンク・フリーです。

My hobby is traveling and reading(include manga).
My dream is to become cosmopolitan!

最新記事
最新コメント
最新トラックバック
月別アーカイブ
カテゴリ
スポンサード リンク
マクロミルへ登録
FC2カウンター
検索フォーム
RSSリンクの表示
リンク
ブロとも申請フォーム

この人とブロともになる

QRコード
QR