[악성코드]Snort - 정리

2018.05.02. 00:11

스노트 룰에 대해 공부 중 content 정리시 공백, ", ;, |, (,) 와같은 기호들은 Hex 값을 넣어야한다는 사실을 알게 됐다.

공백 -> 0x20

" -> 0x22

( -> 0x28

) -> 0x29

; -> 0x3B

| -> 0x7C

alert tcp any any -> any any (content: "User-Agent: Mozilla/5.0 |28|Windows NT 6.1|3b| WOW64|3b| Trident/7.0|3b| rv:11.0|29| like Gecko";msg: "[1]Possible Empire C2 activity!";sid: 2;)

alert tcp any any -> any any (content: "Server: Microsoft-IIS/7.5";msg: "[2]Possible Empire C2 activity!";sid: 2;)

스노트를 많이 써본건 아니지만, 네트워크쪽을 공부하지 않아서 그런지.. 흥미가 생기지 않는다.