This rule (IIRC) was written before pcre. So, we (Sourcefire/snort
community) need to use the actual backdoor (NetMetro) to write a more
accurate rule. I am sure the VRT @ Sourcefire is probably going to
through the rules and re-writing all the old ones to make them more
efficient and more accurate. It's just time consuming.
J
On 5/20/05, Matt Ostiguy <ostiguy@gmail.com> wrote:
Ditto - I got 554 FPs on this rule last night when I manually was
downloading via ftp OpenBSD 3.7 install files to my XP SP2 desktop.
Source - 20
Destination 5032
000 : 0C A7 B4 6F 84 58 A8 F6 51 35 24 FA 59 2D FC 5F ...o.X..Q5$.Y-._
010 : CD 1F C4 CB 68 F8 24 96 FA BC FA 7D C0 F9 A3 57 ....h.$....}...W
020 : AB D2 EA FD 72 CC CD 9F CD A3 D9 11 22 4C CF 0F ....r......."L..
030 : 55 5D CA 6F EF B7 E7 E5 2C 98 72 E6 FF 78 F4 88 U].o....,.r..x..
040 : 57 F6 CB A5 EF 0E 4D 85 A8 10 31 92 70 A5 1A 97 W.....M...1.p...
050 : B3 17 FC 6A CA D5 60 66 15 5E AF E0 C6 B7 69 E7 ...j..`f.^....i.
060 : 7E F3 62 06 1E 56 5E C4 D6 1A 45 A3 F9 96 29 1C ~.b..V^...E...).
070 : 99 74 8A F2 33 F0 CF 10 F2 7D FA FE B1 84 42 AE .t..3....}....B.
080 : D7 07 12 0C 4F C1 42 F6 F2 15 3C 59 F1 28 31 82 ....O.B...<Y.(1.
090 : 38 9B 8F 6D 55 97 97 0C 53 F4 AF D4 90 70 5E DD 8..mU...S....p^.
0a0 : 20 33 27 EB BD 96 9B 56 FF 88 8E 4B 88 F5 7E AF 3'....V...K..~.
0b0 : D8 02 AF 23 3B 12 AD 2E B5 14 93 39 37 35 E1 9D ...#;......975..
0c0 : 56 31 A6 0D FA 77 E5 2A 47 DD 9D E3 F8 AE 75 E9 V1...w.*G.....u.
0d0 : 0D 76 54 B4 3A 89 C4 F1 1B B7 2D A6 5F D5 16 AB .vT.:.....-._...
0e0 : F5 7A 08 96 E5 47 F6 E5 47 B4 C2 C8 03 6B 84 38 .z...G..G....k.8
0f0 : 17 CF A7 47 1B 07 02 FA 26 BE B4 6F B1 5A 25 01 ...G....&..o.Z%.
100 : D4 EE 67 32 E9 2B 72 12 9F 86 F0 A4 50 CB 14 62 ..g2.+r.....P..b
110 : FA B5 A6 BE 59 F0 1A 4F D9 84 B3 D4 D9 6D C5 BF ....Y..O.....m..
120 : 3B 29 8D 23 B5 53 FA 6C 2E 57 A5 F8 FE BC FC 8D ;).#.S.l.W......
130 : 6A C7 D8 57 49 35 48 FC 30 FE 68 BB 14 1A 5D 35 j..WI5H.0.h...]5
140 : 59 53 3C E7 A1 C5 14 09 7F F2 8F 2C 72 A1 17 B2 YS<.......,r...
150 : D8 EB A7 77 CF C4 0F 62 33 43 58 42 A9 FF 31 02 ...w...b3CXB..1.
160 : FC DF E4 FF 5C FF DB FD BF 1F 3E FE 2F FE 67 CE ....\.....>./.g.
170 : 0F FF F6 FF FE 27 FF FF 7F 9C FF E3 7B 19 2E F9 .....'.....{...
180 : 3F 17 96 0F A9 1C F1 CF D0 46 14 F0 17 BF CA 9D ?........F......
190 : D3 F8 C8 F8 76 B8 84 4E 0F A4 F0 C6 C1 C9 52 88 ....v..N......R.
1a0 : CE 3C 8C 4D 71 36 39 D6 49 E0 0B D5 79 CA 8E 7E .<.Mq69.I...y..~
1b0 : 26 9B 7E 0B 4A 59 4D 05 F5 EA C0 F2 AF 74 6F EA &.~.JYM......to.
1c0 : E3 95 BA 75 3D A8 8F 88 63 87 54 6B B2 4F A2 B3 ...u=...c.Tk.O..
1d0 : 17 23 B4 D9 B1 33 E9 D8 2A B2 D6 6B F7 ED 7D F0 .#...3..*..k..}.
1e0 : 69 08 30 40 87 4A BA 44 14 8A D8 08 46 84 20 EE i.0@.J.D....F. .
1f0 : 43 7B 03 8B CE 2D 2E 63 A2 27 E3 C6 00 3F 00 93 C{...-.c.'...?..
200 : CA E9 C3 EB 0C B3 E6 C5 6B 52 3B 9B B6 04 05 83 ........kR;.....
210 : 7E AF F0 77 B9 36 36 19 56 E2 31 EA 85 75 2D 2D ~..w.66.V.1..u--
220 : EE 48 4A DF F9 B3 63 3C 2E 9C 62 98 FA 87 94 25 .HJ...c<..b....%
230 : C2 FE 04 30 A8 5D CC BA 68 3A 3F 2C A5 C1 34 D8 ...0.]..h:?,..4.
240 : CF ED D8 1A C2 29 85 ED B1 F9 28 C2 85 DA 1B 31 .....)....(....1
250 : EC A0 23 F4 E2 F8 71 9F 65 E5 41 C9 30 19 05 BE ..#...q.e.A.0...
260 : 42 B3 AD 14 24 5A 68 21 2F 64 61 ED 82 D8 2C 93 B...$Zh!/da...,.
270 : 32 14 3B 28 25 26 13 F9 79 0D 0A D7 4E 51 6C 73 2.;(%&..y...NQls
280 : 84 04 02 5D 03 A1 3D 66 BA 6D 77 DA 69 59 66 22 ...]..=f.mw.iYf"
290 : E1 26 05 B8 AC 21 95 B7 71 62 06 19 92 7F 1A 01 .&...!..qb.....
2a0 : BB CF E2 87 3F 4B 0C 6A 23 F9 B5 9F 99 14 67 61 ....?K.j#.....ga
2b0 : 7A D8 51 BD B1 FE 79 38 56 77 DD ED CC 56 80 31 z.Q...y8Vw...V.1
2c0 : 46 9A 7C 95 D3 3C E9 6B 5A 7C 25 AE 9A 77 2A 2A F.|..<.kZ|%..w**
2d0 : 76 AC 3C 12 4D 2F 11 D0 47 0B EA AE 34 F4 5E 27 v.<.M/..G...4.^'
2e0 : 4A 88 AE AA 5E 02 2E 2B 23 1D 9C FB 8A 11 D8 ED J...^..+#.......
2f0 : 6F 94 45 AF 58 9C F5 9B A5 07 B1 B1 89 18 AF 63 o.E.X..........c
300 : 18 3C FE C8 12 44 BE 7F AC 15 31 0E C7 78 5C 9C .<...D...1..x\.
310 : A7 B1 3B D4 99 56 09 D5 0D 3C DC 38 11 0F 34 9C ..;..V...<.8..4.
320 : 0D 81 0E 22 1D 1C C0 79 30 56 7C 34 31 6E AF 6F ..."...y0V|41n.o
330 : 85 82 3B 1F 45 5A 70 1C 36 B6 0F 3F F7 15 AA 3C ..;.EZp.6..?...<
340 : 9F 88 EB F2 5D E2 7A FD E2 E3 75 59 15 E5 83 B8 ....].z...uY....
350 : 3A BA B8 6E E6 18 7E FF 03 9C 6F 1A 5D CE BD 3E :..n..~...o.]..>
360 : 94 A9 EC 5D 02 52 83 A0 A7 F3 06 D0 C0 F4 70 0B ...].R........p.
370 : 46 E1 B9 23 DF 95 53 EB BC BF 02 00 0D 0A 4C 75 F..#..S.......Lu
380 : CF C0 D1 70 95 BC 1A 01 DE 20 56 1A 72 FE EC CB ...p..... V.r...
390 : 8D 97 01 45 BE 17 D7 23 C7 B4 7D DE F7 36 F5 C7 ...E...#..}..6..
3a0 : B2 AE C0 C6 4F BF A9 94 FC 50 A4 4A F4 82 F8 FF ....O....P.J....
3b0 : 4A 80 E1 CE 26 F5 1C 14 57 3E E7 35 9F 5B 17 94 J...&...W>.5.[..
3c0 : B2 CF E8 61 15 2D D7 27 E2 17 F9 6D 72 FF 48 80 ...a.-.'...mr.H.
3d0 : C3 5F 90 0D 4D 37 F0 91 E3 47 4F F7 9B 3D A4 F2 ._..M7...GO..=..
3e0 : 2D 9B 26 0D 0A FC BA E9 EC 40 71 16 BD A6 BF BA -.&......@q.....
3f0 : 31 58 39 3D 43 78 79 1D 3B C8 7E 7F 05 0D E0 FD 1X9=Cxy.;.~....
400 : 74 04 B3 3F E3 43 B9 7F DD 1A 23 0F DA 60 3F 80 t..?.C...#..`?.
410 : 75 1C 7A 68 E4 49 75 B3 B5 6D 70 1A D0 7E D7 25 u.zh.Iu..mp..~.%
420 : AC AF 07 77 FD 0D 0A F1 94 1A A4 12 3C 38 B5 AB ...w........<8..
430 : C9 82 2D BA BA 7F CA 3A 01 1F 3A A6 B9 CD D4 8A ..-...:..:.....
440 : 3D B6 26 2E 7E F1 35 ED B0 33 E5 30 0E 58 3D D1 =.&.~.5..3.0.X=.
450 : 4F 4E DB BD 1E EB BC 69 02 5E 1C C1 2E 17 CB AD ON.....i.^......
460 : F5 2D 33 79 04 0B 67 F4 AB A6 3E 9D DC C0 AC 78 .-3y..g...>....x
470 : 6D CF AC B9 79 3E 16 50 52 17 4C 28 1B 54 5D EA m...y>.PR.L(.T].
480 : 9D 7C 72 B0 10 CE A2 A0 1E 65 C8 98 DE 51 49 B4 .|r......e...QI.
490 : 69 22 57 52 4E 71 37 BD 3B 9B 6F F4 9A F8 99 8D i"WRNq7.;.o.....
4a0 : BD A7 62 50 46 6E 54 C3 DA 7A 9E 25 1F 2C 3F FD ..bPFnT..z.%.,?.
4b0 : 6B 51 5C 10 57 A7 AD DC E9 5B 5B 62 51 8B 61 D5 kQ\.W....[[bQ.a.
4c0 : 11 EA 8D B2 EA 2E 2B 0B 1F 73 D6 2B 53 99 CA 39 ......+..s.+S..9
4d0 : 3E 87 56 0F 35 3E 9E 0C 29 C7 E8 7B AE ED E2 C9 >.V.5>..)..{....
On 5/20/05, Chich Thierry <thierry.chich@ac-clermont.fr> wrote:
Rule: BACKDOOR NetMetro File List
--
Sid:159
--
Summary:
--
Impact:
--
Detailed Information:
--
Affected Systems:
--
Attack Scenarios:
--
Ease of Attack:
--
False Positives:
'dir' in a ftp server is producing a lot of "--"
( for instance "-rw-r----- 1 snort adm 28660 2005-05-20 13:51 alert")
--
False Negatives:
--
Corrective Action:
--
Contributors:
--
Additional References:
-------------------------------------------------------
This SF.Net email is sponsored by Oracle Space Sweepstakes
Want to be the first software developer in space?
Enter now for the Oracle Space Sweepstakes!
http://ads.osdn.com/?ad_id=7412&alloc_id=16344&op=click
_______________________________________________
Snort-sigs mailing list
Snort-sigs@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/snort-sigs
-------------------------------------------------------
This SF.Net email is sponsored by Oracle Space Sweepstakes
Want to be the first software developer in space?
Enter now for the Oracle Space Sweepstakes!
http://ads.osdn.com/?ad_idt12&alloc_id344&opclick
_______________________________________________
Snort-sigs mailing list
Snort-sigs@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/snort-sigs
--
Joel Esler
BASE Project Lead
http://sourceforge.net/projects/secureideas
-------------------------------------------------------
This SF.Net email is sponsored by Yahoo.
Introducing Yahoo! Search Developer Network - Create apps using Yahoo!
Search APIs Find out how you can build Yahoo! directly into your own
Applications - visit
http://developer.yahoo.net/?fr_______________________________________________
Snort-sigs mailing list
Snort-sigs@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/snort-sigs
