为什么这个snort规则缺少EOF在‘’。

Question

我想在IDS中导入snort规则。

alert tcp any any -> any any (msg:"FOX-IT - Trojan - Possible CobaltStrike C2 Server";
  flow:to_client;
  content:"HTTP/1.1 200 OK |0d0a|"; fast_pattern; depth:18;
  content:"Date: ";
  pcre:"/^HTTP/1.1 200 OK \r\nContent-Type: [^\r\n]{0,100}\r\nDate: [^\r\n]{0,100} GMT\r\n(Content-Length: \d+\r\n)\r\n/";
  threshold:type limit, track by_dst, count 1, seconds 600;
  classtype:trojan-activity; priority:2;
sid:21002217; rev:3;)

我知道错误：

验证失败:无效或不支持PCRE令牌：错误:不支持PCRE语法:缺少在'.‘处的EOF

当我编辑PCRE时

pcre:"/^HTTP/1.1 200 OK \r\nContent-Type: [^\r\n]{0,100}\r\nDate: [^\r\n]{0,100} GMT\r\n(Content-Length: \d+\r\n)\r\n/";

至

pcre:"/^HTTP 200 OK \r\nContent-Type: [^\r\n]{0,100}\r\nDate: [^\r\n]{0,100} GMT\r\n(Content-Length: \d+\r\n)\r\n/";

(因此删除了/1.1)，它说语法是有效的。

我怎么才能解决这个问题？

Answer 1

您的问题在于HTTP报头：

 /^HTTP/1.1 200...

PCRE使用正斜杠分隔。你无意中在你的表情中留下了一个空白处。此外，你有一个点，你很可能不是故意的。您将希望进行调整，例如：

 /^HTTP\/1\.1 200...