捕獲SYN掃描的規則

我需要編寫一個捕獲SYN掃描的規則。
我嘗試這樣做：alert tcp any any -> any any (flags:S,12; msg:"SYN"; sid: 1231213;)
然後嘗試掃描：nmap -sS myIP但這不輸出「SYN」
如何寫一個正確的規則？謝謝。捕獲SYN掃描的規則

來源

2012-10-16 Vladimir G.

你很傻... – Wug

爲什麼？只是寫我做錯了 –

其中之一，這不是一個編程問題，可能屬於超級用戶。另一方面，這個用例到底是什麼？響應SYN氾濫？映射每個發送給你一個SYN的地址都不會做任何事情，但是在這種情況下你會更多地使用你的連接，而你的ISP可能會看到你的端口掃描了數百個IP並導致你離線。這意味着源地址無論如何都不是欺騙性的，它經常是這樣。另外，如果您位於路由器後面，則根本不會看到SYN泛洪流量，並且您獲得的唯一SYN將來自合法來源。 – Wug

嘗試改變flags:S,12到flags:S作爲Snort manual狀態：

保留位 '1' 和 '2' 已經被替換爲 'C' 和 'E'，分別以匹配RFC 3168，「增加顯式擁塞通知（ECN）給IP」。「1」和「2」的舊值對於flag關鍵字仍然有效，但現在已被棄用。

所以12將檢查是否設置了兩個保留位，這可能不是你想要的。還據我的理解，文檔flags:S將匹配只有SYN集的數據包，這應該是正確的在我的情況下你的情況。如果你想匹配一些標誌而不管其他旗子，你可以使用*。

來源

2012-10-16 16:14:43

捕獲SYN掃描的規則

回答

相關問題