1
Snort กำลังรับปริมาณการใช้งาน แต่ไม่ปรากฏว่ากำลังใช้กฎ
ฉันติดตั้ง snort แล้วและทำงานในโหมดอินไลน์ผ่าน NFQUEUE บนท้องที่ของฉัน (ในขณะที่ฉันสามารถเดินในห้องถัดไปและแตะ) เกตเวย์ ฉันมีกฎต่อไปนี้ในของฉัน/etc/snort/rules/snort.rules: alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (msg:"ET CURRENT_EVENTS D-LINK Router Backdoor via Specific UA"; flow:to_server,established; content:"xmlset_roodkcableoj28840ybtide"; http_header; pcre:"/^User-Agent\x3a[^\r\n]*?xmlset_roodkcableoj28840ybtide/Hm"; reference:url,www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor/; classtype:attempted-admin; sid:2017590; rev:2; metadata:created_at 2013_10_13, updated_at 2013_10_13;) กฎนี้เกี่ยวข้องกับแบ็คดอร์ที่พบในเราเตอร์ DLink บางตัว ฉันเลือกกฎนี้เพราะดูเหมือนว่าจะทดสอบได้ง่าย ตัวกฎถูกเพิ่มโดย pullpork จากการคุกคามที่เกิดขึ้นใหม่ดังนั้นฉันจึงสันนิษฐานว่าไวยากรณ์ของกฎนั้นถูกต้อง สำหรับการทดสอบฉันได้กำหนดค่าเกตเวย์ของฉันด้วย lighttpd ที่พอร์ต 80 หันหน้าไปทางอินเทอร์เน็ตและยืนยันว่าสามารถเข้าถึงได้ curl -A 'xmlset_roodkcableoj28840ybtide' …