snort多个排除的SHELLCODE_PORTS

Question

我在某处读到，不可能为外壳代码指定多个要排除的端口，是这样吗？如果不是，下面的是正确的吗？

要在其上查找SHELLCODE的端口列表。

端口变量SHELLCODE_PORTS

我使用的是snort 2905

Answer 1

试试看。如果Snort不喜欢这种语法，它应该抛出一个致命的解析错误。不过，我认为语法更好地实现为：

portvar SHELLCODE_PORTS [21,25,80,143,587,8889]

即没有否定，然后在规则中使用，如下所示：

alert tcp any any <> any !SHELLCODE_PORTS ( ... )

您还可以执行以下操作：

portvar SHELLCODE_PORTS [!21,!25,!80,!143,!587,!8889]

这应该是有效的语法。不过还没有测试过。YMMV.

Answer 2

你想要!$SHELLCODE_PORTS

你错过了美元符号。