[stalk:00372] Re: snort exploit rules

[Minoru Hagiyama <hagiyama@xxxxxxxxxxx>]

萩山です。

> みっきーです。
>
> ４月１７日のルールセットでは、udpになってました。やっぱり何かの
> 間違いだったようですね。

ん？
下の3つのルールセットを見てみましたが、何れもtcpでしたが...

# 私は、snort-1.7で04/10を使ってます。
# プライベートなサイトのlog抜粋は、↓にあります。
# http://www.arsp.ne.jp/gw2/security/


http://www.snort.org/Files/Curent/snortrules.tar.gz

# Exploit Rules
# Updated 04/04/2001
# ------------------
alert tcp $EXTERNAL_NET any -> $HOME_NET 53 (msg:"EXPLOIT - Named tsig
infoleak"; content: "|AB CD 09 80 00 00 00 01 00 00 00 00 00 00 01 00 01 20 20
20 20 02 61|"; reference:arachnids,482;)

http://snort.sourceforge.net/snortrules.tar.gz

# $Id: exploit.rules,v 1.9 2001/04/17 05:58:40 cazz Exp $
alert tcp $EXTERNAL_NET any -> $HOME_NET 53 (msg:"EXPLOIT named tsig infoleak";
content: "|AB CD 09 80 00 00 00 01 00 00 00 00 00 00 01 00 01 20 20 20 20 02
61|"; reference:arachnids,482; classtype:attempted-admin;)

http://www.snort.org/Files/Curent/exploit.rules

# Exploit Rules
# Updated 04/10/2001
# ------------------
alert tcp $EXTERNAL_NET any -> $HOME_NET 53 (msg:"EXPLOIT - Named tsig
infoleak"; content: "|AB CD 09 80 00 00 00 01 00 00 00 00 00 00 01 00 01 20 20
20 20 02 61|"; reference:arachnids,482;)

-- 
萩 山  実

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　　　　　　　ふとした疑問ありますか？　　　　　　　　　　　
　　 http://www.infoseek.co.jp/GHome?pg=gn_top.html&svx=971122