Snort中pcre和正则表达式的使用
Snort中pcre和正则表达式的使用
1. 题目描述
If snort see two packets in a TCP flow with
- first packet has “login” or “Initial” in payload, destination port is 3399;
- and second packet has a “IPv4Address:Port”string(E.g. 123.45.6.7:8080) in payload. destination port is 3399;
- output an alert with msg “bot founded” and sid 1000001
2. 解决方案
题目要求检测包含两个包的特定流,需要通过设置标记位,即flowbits来实现。另外,题目中均要求检测特定的字符串或模式,所以还需要在pcre字段中通过正则表达式实现。
2.1 第一条检测规则
匹配特定字符串
pcre:"/login|Initial/";
正则表达式的两端需要加上限界符
/
。设置标志位,同时不发出警报。
flowbits:set,login_Initial;flowsbits:noalert;
2.2 第二条检测规则
2.2.1 匹配模式IPv4Address:Port
IPv4Address
IPv4地址使用点分十进制表示时,分为4组,每组的范围均为[0,255]。即从0.0.0.0到255.255.255.255。
我们先分析单独一组的特点:
区间 限制 表示 0~99 没有任何限制 \d{1,2}
100~199 后两位也没有任何限制 1\d{2}
200~249 十位限制在0~4,个位没有限制 2[0-4]\d
250~255 个位限制在0~5 25[0-5]
可以发现表格中前两种情况可以合并为
1?\d{1,2}
,所以可以用25[0-5]|2[0-4]\d|1?\d{1,2}
来匹配0~255;将其作为一个分组,再考虑到
.
,我们可以写出如下正则表达式匹配IPv4地址:((25[0-5]|2[0-4]\d|1?\d{1,2})\.){3}(25[0-5]|2[0-4]\d|1?\d{1,2})
值得说明的是:
这里我们认为数字前出现填充
0
的情况与非填充状态等价:如:
192.01.00.1
等价于192.1.0.1
。这种情况下才能使用
\d{1,2}
,因为可能会出现00
的情况。正则表达式的短路性质:
当
|
运算符分隔的多个表达式有一个匹配成功时,该表达式之后的表达式将不会继续匹配。如:
A|B|C|D
,B
匹配成功了,将不会再看C
和D
。所以上面匹配IPv4地址时,我们单独一个分组写成
25[0-5]|2[0-4]\d|1?\d{1,2}
而不是1?\d{1,2}|2[0-4]\d|25[0-5]
。后者匹配
255
时,只会匹配到25
和5
,而不会匹配到255
:同样后者构造的正则表达式去匹配
255.255.255.255
,只会匹配到255.255.255.25
,缺少最后一个5
:因为它匹配到最后一组的
25
时就判定匹配成功,直接跳到末尾,结束匹配。而前面几组255
正确匹配的原因是:如果只匹配25
, 发现剩下的5
和.
不匹配,之后会进行回溯,继续检查后面的条件,发现255
匹配成功且.
也匹配成功,不再回溯。
Port
端口号的范围是0~65535,我们同样可以分成不同的区间来匹配端口号。
区间 限制 表示 0~9999 没有任何限制 \d{1,4}
10000~59999 后四位没有任何限制 [1-5]\d{4}
60000~64999 千位限制在0~4,后三位没有任何限制 6[0-4]\d{3}
65000~65499 百位限制在0~4,后两位没有任何限制 65[0-4]\d{2}
65500~65529 十位限制在0~4,个位没有任何限制 655[0-2]\d
65530~65535 个位限制在0~5 6553[0~5]
同样,我们可以将表格前两种情况合并为
[1-5]?\d{1,4}
。结合上面提到的短路性质,我们可以写出最终用于匹配端口号的正则表达式:6553[0-5]|655[0-2]\d|65[0-4]\d{2}|6[0-4]\d{3}|[1-5]?\d{1,4}
2.2.2 检查标志位
flowbits:isset,bot_founded;
3. 检测规则
通过上述分析,我们可以写出如下检测规则:
alert tcp any any -> any 3399 (pcre:"/login|Initial/";flowbits:set,login_Initial;flowbits:noalert;sid:1000000)
alert tcp any any -> any 3399 (msg:"bot founded";pcre:"/((25[0-5]|2[0-4]\d|1?\d{1,2})\.){3}(25[0-5]|2[0-4]\d|1?\d{1,2}):(6553[0-5]|655[0-2]\d|65[0-4]\d{2}|6[0-4]\d{3}|[1-5]?\d{1,4})/";flowbits:isset,bot_founded;sid:1000001)
Snort中pcre和正则表达式的使用的更多相关文章
- ORACLE中的支持正则表达式的函数
ORACLE中的支持正则表达式的函数主要有下面四个:1,REGEXP_LIKE :与LIKE的功能相似2,REGEXP_INSTR :与INSTR的功能相似3,REGEXP_SUBSTR :与SUBS ...
- js中几个正则表达式相关函数使用时g标志的作用
首先,javascript中涉及到正则表达式的函数总共有6个,可分为两种: 1.第一种是作为字符串对象的方法,即以 String.fun(); 形式调用,这里包括 split.search.match ...
- C#中Spli、正则表达式分解字符串详解
一.String.Split方法提供了如下6个重载函数: 名称 说明 String.Split (Char[]) 返回包含此实例中的子字符串(由指定 Char 数组的元素分隔)的 String 数组. ...
- php中常用的正则表达式函数
php中常用的正则表达式函数 * preg_match() * preg_match_all() * preg_replace() * preg_filter() * preg_grep() * pr ...
- C#中,使用正则表达式匹配获取所需数据
.NET中,使用正则表达式匹配获取所需数据 需求:获取一串字符串中,正则匹配出需要的数据. 例如以下字符串: string temp ="ErrorCode:-1,Message:{&quo ...
- * 和 ?在 shell 命令行中与在正则表达式中的区别
Linux 正则表达式 你有没有想过,在 shell 命令行中的 *,?和正则表达式中的*,?是否一样? 自打好多年前接触 DOS,就知道了* 和?这两个通配符(Wildcard),象 dir *.* ...
- PHP中的常用正则表达式集锦
PHP中的常用正则表达式集锦: 匹配中文字符的正则表达式: [\u4e00-\u9fa5] 评注:匹配中文还真是个头疼的事,有了这个表达式就好办了 匹配双字节字符(包括汉字在内):[^\x00-\xf ...
- Visual Studio 中使用的正则表达式 说明
Visual Studio 中使用的正则表达式 说明 2013-10-11 21:10:12| 分类: VB和VBA知识|举报|字号 订阅 参考:详解Visual Studio正则替换大 ...
- 在C语言中利用PCRE实现正则表达式
1. PCRE简介 2. 正则表达式定义 3. PCRE正则表达式的定义 4. PCRE的函数简介 5. 使用PCRE在C语言中实现正则表达式的解析 6. PCRE函数在C语言中的使用小例子 1. P ...
随机推荐
- 封装及其作用Java
封装 该露的露,该藏的藏 我们程序设计要求"高内聚,低耦合".高内聚就是类的内部数据操作细节自己完成,不允许外部干涉:低耦合:仅暴漏少量的方法给外部使用 封装(数据的隐藏): ...
- java实现 TCP通信
//服务端import com.hl.bluetooth.util.CRC16; import com.hl.bluetooth.util.FrameCheckFailedException; imp ...
- 反射、反射机制、类加载、Class类专题复习
一.反射概念 1.反射机制允许程序在执行期借助于ReflectionAPI取得任何类的内部信息(比如成员变量,构造器,成员方法等等),并能操作对象的属性及方法.反射在设计模式和框架底层都会用到. 2. ...
- web开发 小方法1-禁止横向滚动
最近学了学做了个公司的网站 总结了一些小方法 比如取消横向滚动条并禁止的横向滚动 这样就可以吧超出的切掉让网页更和谐 在body 标签 body{ text-align: center; overf ...
- Linux安装ms-office
https://ittutorials.net/open-source/linux/installing-microsoft-office-in-ubuntu/
- 入手这个商业智能工具,建设自助式BI平台轻松搞定
数据的重要性无需多言,可数据的获取和使用却依然不是一件容易的事.尤其是对企业中不掌握数据的广大业务人员,对数据又爱又恨,对掌握数据对IT部门,更是恨多爱少,为了拿到数据分析数据,不断的申请.催促.沟 ...
- 基于隐私保护技术的DNS通信协议介绍
本文提出了一种基于用户数据报协议的DNS传输中用户隐私保护的加密方法:DNSDEA.该方法采用PKI加密体系与DNS协议相融合,不仅解决了域名隐私保护问题,而且与传统DNS体系相兼容,保持了DNS系统 ...
- 商城秒杀系统总结(Java)
本文写的较为零散,对没有基础的同学不太友好. 一.秒杀系统项目总结(基础版) classpath 在.properties中时常需要读取资源,定位文件地址时经常用到classpath 类路径指的是sr ...
- linux 测试机器端口连通性方法
转至:https://blog.csdn.net/z1134145881/article/details/54706711 几种常用方法 下面一一介绍: 1 telnet方法 2 wget方法 3 s ...
- Oracle 11g RAC运维总结
转至:https://blog.csdn.net/qq_41944882/article/details/103560879 1 术语解释1.1 高可用(HA)什么是高可用?顾名思义我们能轻松地理解是 ...