нюхать несколько исключенных SHELLCODE_PORTS

Question

Я где-то читал, что невозможно указать несколько портов, которые нужно исключить для шеллкода, это правильно?если нет, верно ли следующее?

Список портов, которые вы хотите найти для SHELLCODE.

portvar SHELLCODE_PORTS! [21,25,80,143,587,8889]

Я использую snort 2905

Answer 1

Вы хотите! $ SHELLCODE_PORTS

Вам не хватает знака доллара.

Answer 2

Попробуй.Если Snort не нравится синтаксис, он должен вернуть фатальную ошибку разбора.Я полагаю, однако, что синтаксис лучше реализовать как:

portvar SHELLCODE_PORTS [21,25,80,143,587,8889]

Т.е. без отрицания, а затем использовать в правиле так:1007 *

portvar SHELLCODE_PORTS [!21,!25,!80,!143,!587,!8889]

Какой должен быть допустимый синтаксис.Хотя не проверял.YMMV.