That doesn't really help. There is no indication of any bare byte
encoding here. The basic check in Snort looks for a byte > 0x7F. It
would be very helpful if you could post a pcap. Make sure it fires on
the bare byte encoding by running it against Snort in read mode.
Thanks,
Todd
Julio Cesar Gazquez wrote:
El Jueves 21 Febrero 2008 11:48:54 escribió:
Julio,
Can you post a pcap of the offending traffic (if it contains sensitive
info, post to bugs@snort.org) so we can attempt to debug the issue.
Here are two packets copied from BASE. If you need the raw thing I'll look
for
it.
000 : 47 45 54 20 2F 73 69 74 69 6F 2F 62 61 72 72 61 GET /sitio/barra
010 : 73 75 70 65 72 69 6F 72 2F 69 6D 61 67 65 6E 65 superior/imagene
020 : 73 2F 69 6E 69 63 69 6F 5F 6F 75 74 2E 70 6E 67 s/inicio_out.png
030 : 20 48 54 54 50 2F 31 2E 30 0D 0A 41 63 63 65 70 HTTP/1.0..Accep
040 : 74 3A 20 2A 2F 2A 0D 0A 52 65 66 65 72 65 72 3A t: */*..Referer:
050 : 20 68 74 74 70 3A 2F 2F 77 77 77 2E 72 6F 73 61 http://www.rosa
060 : 72 69 6F 2E 67 6F 76 2E 61 72 2F 73 69 74 69 6F rio.gov.ar/sitio
070 : 2F 70 61 67 69 6E 61 69 6E 69 63 69 61 6C 2F 0D /paginainicial/.
080 : 0A 41 63 63 65 70 74 2D 4C 61 6E 67 75 61 67 65 .Accept-Language
090 : 3A 20 65 73 0D 0A 55 73 65 72 2D 41 67 65 6E 74 : es..User-Agent
0a0 : 3A 20 4D 6F 7A 69 6C 6C 61 2F 34 2E 30 20 28 63 : Mozilla/4.0 (c
0b0 : 6F 6D 70 61 74 69 62 6C 65 3B 20 4D 53 49 45 20 ompatible; MSIE
0c0 : 36 2E 30 3B 20 57 69 6E 64 6F 77 73 20 4E 54 20 6.0; Windows NT
0d0 : 35 2E 31 3B 20 53 56 31 3B 20 2E 4E 45 54 20 43 5.1; SV1; .NET C
0e0 : 4C 52 20 31 2E 31 2E 34 33 32 32 3B 20 2E 4E 45 LR 1.1.4322; .NE
0f0 : 54 20 43 4C 52 20 32 2E 30 2E 35 30 37 32 37 29 T CLR 2.0.50727)
100 : 0D 0A 48 6F 73 74 3A 20 77 77 77 2E 72 6F 73 61 ..Host: www.rosa
110 : 72 69 6F 2E 67 6F 76 2E 61 72 0D 0A 43 6F 6F 6B rio.gov.ar..Cook
120 : 69 65 3A 20 4A 53 45 53 53 49 4F 4E 49 44 3D 39 ie: JSESSIONID=9
130 : 43 46 46 43 42 33 43 33 32 37 37 31 44 32 33 35 CFFCB3C32771D235
140 : 33 43 42 46 46 31 30 42 34 30 45 35 43 35 34 2E 3CBFF10B40E5C54.
150 : 6E 6F 64 6F 32 5F 74 6F 6D 63 61 74 30 32 0D 0A nodo2_tomcat02..
160 : 56 69 61 3A 20 31 2E 30 20 50 72 6F 78 79 38 30 Via: 1.0 Proxy80
170 : 38 30 3A 38 30 38 30 20 28 73 71 75 69 64 2F 32 80:8080 (squid/2
180 : 2E 35 2E 53 54 41 42 4C 45 31 34 29 2C 20 31 2E .5.STABLE14), 1.
190 : 30 20 67 61 69 61 2E 6E 65 78 74 65 6C 2E 63 6F 0 gaia.nextel.co
1a0 : 6D 2E 61 72 3A 38 30 38 30 20 28 73 71 75 69 64 m.ar:8080 (squid
1b0 : 2F 32 2E 35 2E 53 54 41 42 4C 45 31 34 29 0D 0A /2.5.STABLE14)..
1c0 : 58 2D 46 6F 72 77 61 72 64 65 64 2D 46 6F 72 3A X-Forwarded-For:
1d0 : 20 31 30 2E 31 30 31 2E 36 37 2E 36 36 2C 20 31 10.101.67.66, 1
1e0 : 30 2E 31 30 31 2E 30 2E 38 31 0D 0A 43 61 63 68 0.101.0.81..Cach
1f0 : 65 2D 43 6F 6E 74 72 6F 6C 3A 20 6D 61 78 2D 61 e-Control: max-a
200 : 67 65 3D 32 35 39 32 30 30 0D 0A 43 6F 6E 6E 65 ge=259200..Conne
210 : 63 74 69 6F 6E 3A 20 6B 65 65 70 2D 61 6C 69 76 ction: keep-aliv
220 : 65 0D 0A 0D 0A e....
000 : 47 45 54 20 2F 73 69 74 69 6F 2F 61 67 65 6E 64 GET /sitio/agend
010 : 61 2F 69 6D 61 67 65 6E 65 73 2F 74 6F 70 2E 6A a/imagenes/top.j
020 : 70 67 20 48 54 54 50 2F 31 2E 30 0D 0A 41 63 63 pg HTTP/1.0..Acc
030 : 65 70 74 3A 20 2A 2F 2A 0D 0A 52 65 66 65 72 65 ept: */*..Refere
040 : 72 3A 20 68 74 74 70 3A 2F 2F 77 77 77 2E 72 6F r: http://www.ro
050 : 73 61 72 69 6F 2E 67 6F 76 2E 61 72 2F 73 69 74 sario.gov.ar/sit
060 : 69 6F 2F 61 67 65 6E 64 61 2F 61 67 65 6E 64 61 io/agenda/agenda
070 : 2E 68 74 6D 6C 0D 0A 41 63 63 65 70 74 2D 4C 61 .html..Accept-La
080 : 6E 67 75 61 67 65 3A 20 65 73 2D 63 6C 0D 0A 55 nguage: es-cl..U
090 : 73 65 72 2D 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C ser-Agent: Mozil
0a0 : 6C 61 2F 34 2E 30 20 28 63 6F 6D 70 61 74 69 62 la/4.0 (compatib
0b0 : 6C 65 3B 20 4D 53 49 45 20 36 2E 30 3B 20 57 69 le; MSIE 6.0; Wi
0c0 : 6E 64 6F 77 73 20 4E 54 20 35 2E 31 3B 20 53 56 ndows NT 5.1; SV
0d0 : 31 29 0D 0A 48 6F 73 74 3A 20 77 77 77 2E 72 6F 1)..Host: www.ro
0e0 : 73 61 72 69 6F 2E 67 6F 76 2E 61 72 0D 0A 56 69 sario.gov.ar..Vi
0f0 : 61 3A 20 31 2E 30 20 6C 6F 63 61 6C 68 6F 73 74 a: 1.0 localhost
100 : 2E 6C 6F 63 61 6C 64 6F 6D 61 69 6E 3A 38 30 38 .localdomain:808
110 : 30 20 28 73 71 75 69 64 2F 32 2E 36 2E 53 54 41 0 (squid/2.6.STA
120 : 42 4C 45 31 36 29 0D 0A 58 2D 46 6F 72 77 61 72 BLE16)..X-Forwar
130 : 64 65 64 2D 46 6F 72 3A 20 31 37 32 2E 32 35 2E ded-For: 172.25.
140 : 37 30 2E 32 30 37 0D 0A 43 61 63 68 65 2D 43 6F 70.207..Cache-Co
150 : 6E 74 72 6F 6C 3A 20 6D 61 78 2D 61 67 65 3D 32 ntrol: max-age=2
160 : 35 39 32 30 30 0D 0A 43 6F 6E 6E 65 63 74 69 6F 59200..Connectio
170 : 6E 3A 20 6B 65 65 70 2D 61 6C 69 76 65 0D 0A 0D n: keep-alive...
180 : 0A .
-------------------------------------------------------------------------
This SF.net email is sponsored by: Microsoft
Defy all challenges. Microsoft(R) Visual Studio 2008.
http://clk.atdmt.com/MRT/go/vse0120000070mrt/direct/01/
_______________________________________________
Snort-users mailing list
Snort-users@lists.sourceforge.net
Go to this URL to change user options or unsubscribe:
https://lists.sourceforge.net/lists/listinfo/snort-users
Snort-users list archive:
http://www.geocrawler.com/redir-sf.php3?list=snort-users
