snort规则byte_jump规则选项详解

byte_jump规则选项的主要功能是从待检测的数据中获取指定的数值,并对数值按照要求进行加工处理,得到最终结果数值,最后跳过最终结果数值的距离,再进行后面的数据检测。

规则语法

规则格式

规则样式

byte_jump: <num of bytes>, <offset> [, relative] [, multiplier <mult_value>] [, <endian>] [, string, <num_type>] [, align] [, from_beginning] [, from_end] [, post_offset <value>][, dce][, bitmask <value>]

备注:[]标识可选字段

参数说明

|---------------------------|-----------------------------------------------------------------------------------|
| 参数 | 功能说明 |
| < num of bytes> | 使用的字节个数 |
| <offset> | 获取内容的位置(可以为负值) |
| [relative] | 若有relative修饰则offset是指从上一个content匹配位置之后开始计算,若无relative修饰,则offset是指从待检测的内容开始计算偏移字节数 |
| multiplier <mult_value> | 结果值扩大mult_value倍 |
| <endian> | big:大端字节序处理 little:小端字节序处理 |
| [string, <num_type>] | hex|dec|oct |
| [align] | 结果值按照4的整数倍对齐 |
| [from_beginning] | 从待检测数据的起始位置计算跳过的字节数 |
| [from_end] | 从待检测数据的结束位置计算跳过的字节数 |
| [post_offset <value>] | 计算的要跳过的字节数加上value作为最终要跳过的字节数 |
| [dce] | 使用dcerpc协议决定字节序 |
| [bitmask <value>] | 计算的的结果值与上当前的掩码值得到最终结果值(uint64_t) |

示例规则

alert tcp any any -> any any (msg:"byte_jump option test!"; seq:1010; byte_jump:2,20,relative,multiplier 2,string,hex,align,post_offset 10; content:"|60 80|"; within:7; sid:20240201; rev:1;)

规则释义

因规则选项seq:1010即为检测tcp数据帧的seq值是否为1010,在此就不详细赘述了,重在讲解byte_jump在规则中的作用。规则中byte_jump选项的处理流程如下:

  1. 从tcp.payload的起始位置偏移20个字节,然后获取两个字节转换为十进制数a
  2. a * multiplier(2)得到数值b;
  3. 判断数值b是否为4的倍数,若不为4的倍数,则补足为4的倍数,获得数值c
  4. 将数值c + post_offset(10)得到数值d
  5. 将数值d + offset(20) + nbytes(2)得到数值e
  6. 数值e即为十六进制字符串:0x60 0x80的起始检测位置
相关推荐
一只栖枝4 小时前
网络安全 vs 信息安全的本质解析:数据盾牌与网络防线的辩证关系关系
网络·网络安全·信息安全·it·信息安全认证
安全系统学习4 小时前
【网络安全】Mysql注入中锁机制
安全·web安全·网络安全·渗透测试·xss
物联网老王4 小时前
Ubuntu Linux Cursor 安装与使用一
linux·运维·ubuntu
一只小鱼儿吖6 小时前
进程代理单窗口单IP技术:原理、应用与实现
网络·网络协议·tcp/ip
稳联技术6 小时前
Ethernet IP与Profinet共舞:网关驱动绿色工业的智慧脉动
网络·网络协议·tcp/ip
一位摩羯座DBA6 小时前
Redhat&Centos挂载镜像
linux·运维·centos
学习3人组6 小时前
CentOS配置网络
linux·网络·centos
怦然星动_6 小时前
DHCP中继及动态分配
网络安全
计算机毕设定制辅导-无忧学长7 小时前
西门子 PLC 与 Modbus 集成:S7-1500 RTU/TCP 配置指南(一)
服务器·数据库·tcp/ip
weixin_307779137 小时前
Hive集群之间迁移的Linux Shell脚本
大数据·linux·hive·bash·迁移学习