Подпись IDS - Понимание содержания - PullRequest
0 голосов
/ 19 ноября 2018

Я новичок в настройке подписи IDS. Так что во время изучения подписей; в сигнатурах я сталкиваюсь с разделом «СОДЕРЖАНИЕ», в соответствии с которым сигнатура вызывает предупреждение. Теперь, когда я вижу что-то в содержании (пример ниже); как расшифровать то же самое?

Содержание: "х | 00 | р | 00 | _ | 00 | C | 00 | м | 00 | D | 00 | S | 00 | ч | 00 | е | 00 | L | 00 | L | 00 | «

Ответы [ 2 ]

0 голосов
/ 21 мая 2019

Если вы используете Suricata, то в документации упоминается, что любое шестнадцатеричное значение должно быть помещено в каналы.

Для записи, например, http: // inсодержание подписи, вы должны написать это так: content: «http | 3A | //»;Если вы используете шестнадцатеричное обозначение в подписи, убедитесь, что вы всегда помещаете его между трубами.В противном случае нотация будет восприниматься буквально как часть содержимого.

Кроме того, вы можете расшифровать, что содержимое имеет 00 в каналах в нескольких местах.Таким образом, строка содержимого фактически переводится как «xp_cmdshell»

Если вы хотите узнать, где в пакете он соответствует, вам нужно предоставить более подробную информацию из предупреждения.

0 голосов
/ 14 мая 2019

Если вы были предупреждены о совпадении содержимого |00 00| Это означает, что данные сетевого пакета, содержащиеся в его байтах 00 00.

|47 45 54|, будут совпадением содержимого GET в пакете..

...