平时做技术实践时，很多问题不是概念不会，而是细节没串起来。拿“Snort中pcre和正则表达式的采用”来说，它看着像小点，放到项目里常会牵出环境、配置、兼容性和维护成本。下面按实际采用顺序，把思路、关键写法和容易踩坑的地方讲清楚，便于大家直接对照操作。

1. 题目描述

If snort see two packets in a TCP flow with

first packet has “login” or “Initial” in payload, destination port is 3399;and second packet has a “IPv4Address:Port”string(E.g. 123.45.6.7:8080) in payload. destination port is 3399;output an alert with msg “bot founded” and sid 1000001

2. 解决方案

落到代码里，题目要求检测包含两个包的特定流，需借助设置标记位，即flowbits来实现。另外，题目中均要求检测特定的字符串或模式，所以还需在pcre字段中借助正则表达式实现。

2.1 第一条检测规则

匹配特定字符串

pcre:"/login|Initial/";

正则表达式的两端需加上限界符/。

设置标志位，同时不发出警报。

flowbits:set,login_Initial;flowsbits:noalert;

2.2 第二条检测规则

2.2.1 匹配模式IPv4Address:Port

IPv4Address

结合项目来看，IPv4地址采用点分十进制表示时，分为4组，每组的范围均为[0,255]。即从0.0.0.0到255.255.255.255。

我们先分析单独一组的特点：

落到代码里，能够发现表格中前两种情况能够合同时为1?d{1,2}，所以能够用25[0-5]|2[0-4]d|1?d{1,2}来匹配0~255；

将其作为一个分组，再考虑到.，我们能够写出如下所示正则表达式匹配IPv4地址：

((25[0-5]|2[0-4]d|1?d{1,2}).){3}(25[0-5]|2[0-4]d|1?d{1,2})

值得说明的是：

这里我们认为数字前出现填充0的情况与非填充状态等价：

如：192.01.00.1等价于192.1.0.1。

这种情况下才能采用d{1,2}，因为可能会出现00的情况。

正则表达式的短路性质：

当|运算符分隔的多个表达式有一个匹配成功时，该表达式之后的表达式将不会继续匹配。

如：A|B|C|D，B匹配成功了，将不会再看C和D。

理解这一步时，所以上面匹配IPv4地址时，我们单独一个分组写成25[0-5]|2[0-4]d|1?d{1,2}而不是1?d{1,2}|2[0-4]d|25[0-5]。

后者匹配255时，只会匹配到25和5，而不会匹配到255：

从实现思路看，同样后者构造的正则表达式去匹配255.255.255.255，只会匹配到255.255.255.25，缺少最后一个5：

因为它匹配到最后一组的25时就判定匹配成功，直接跳到末尾，结束匹配。而前面几组255正确匹配的原因是：如果只匹配25，发现剩下的5和.不匹配，之后会进行回溯，继续检查后面的条件，发现255匹配成功且.也匹配成功，不再回溯。

• Port

端口号的范围是0~65535，我们同样能够分成不同的区间来匹配端口号。

落到代码里，同样，我们能够将表格前两种情况合同时为[1-5]?d{1,4}。结合上面提到的短路性质，我们能够写出最后用来匹配端口号的正则表达式：

6553[0-5]|655[0-2]d|65[0-4]d{2}|6[0-4]d{3}|[1-5]?d{1,4}

2.2.2 检查标志位

flowbits:isset,bot_founded;

3. 检测规则

借助上述分析，我们能够写出如下所示检测规则：

alert tcp any any -> any 3399 (pcre:"/login|Initial/";flowbits:set,login_Initial;flowbits:noalert;sid:1000000)
alert tcp any any -> any 3399 (msg:"bot founded";pcre:"/((25[0-5]|2[0-4]d|1?d{1,2}).){3}(25[0-5]|2[0-4]d|1?d{1,2}):(6553[0-5]|655[0-2]d|65[0-4]d{2}|6[0-4]d{3}|[1-5]?d{1,4})/";flowbits:isset,bot_founded;sid:1000001)

到此这篇关于Snort中pcre和正则表达式的采用的文章就介绍到这了,更多相关Snort pcre 正则表达式采用内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多兼容脚本之家！