[Snort-devel] Problems with defrag

Phil Wood cpw at ...86...
Thu Jun 21 18:52:21 EDT 2001


Marty and friends,

Regarding Version 1.8-beta6 (Build 26) with spp_defrag v1.1 - 16 June 2001.

I got two garbage ICMP packets around noon today Jun 21 (MDT) which generated
two alerts.  They had the characteristic of an IP header (proto icmp) folllowed
by some garbage from snort memory (no icmp header).  The data is usually
composed of mysql commands generated by the database output plugin, but not
always.

Two examples of fragmented icmp packets apparently arriving out of order.
(could be an artificat of the packet capture).  Whatever.  This is how
they arrived at snort's door.  Then, defrag would have taken the two packets
shown before the ---- line and generated the one packet after the ---- line.

The other instance is after the ==== line a little further down in this 
message.

Hope this helps. (The fragments were collected by tcpdump using the same
pcaplib as snort, just on a different sniffer on the same network)

Thanks,

Phil

12:39:37.302633 P 38.136.69.116 > 128.165.241.220: frag 8 (frag 54032:8 at ...474...)
  4500001c  d31000b8  3001d89a  26884574  80a5f1dc : E       0   & Et     :
  00000000  00000000  00000000  00000000  00000000 :                      :
  00000000  0000                                   :                      :
12:39:37.304046 P 38.136.69.116 > 128.165.241.220: icmp 1472 echo reply (frag 54032:1472 at ...475...+)
  450005d4  d3102000  3001b39a  26884574  80a5f1dc : E       0   & Et     :
  00008652  9abcdef0  00000000  00000000  00000000 :    R                 :
  00000000  00000000  00000000                     :                      :

-------------------------------------------------------------------------------

12:39:29.920226 P 38.136.69.116 > 128.165.241.220: icmp 1480 type-#141
  450005dc  d3100000  3001d89a  26884574  80a5f1dc : E       0   & Et     :
  8d2a1841  0275ad11  2244246e  f54c2f0a  9006b464 :  * A u  "D$n L/    d :
  ea152421  4cc82011  7cc8208b  8c26428a  41822d21 :   $!L   |    &B A -! :
  843120b4  6ec32571  046628bb  6d0c2088  53189917 :  1  n %q f( m   S    :
  89574a41  dd76b200  88000000  b8050000  24442506 :  WJA v          $D%  :
  3d000000  00002506  82000048  5d1d0600  805b0000 : =     %    H]    {   :
  8001013f  00000000  08000600  00906300  00d6495b :    ?          c   I{ :
  102ffde5  13540bb1  52f5c418  8f933b90  28ce6480 :  /   T  R     ; ( d  :
  b2e3ee99  4969f300  051a4b7f  39cca000  00fe5223 :     Ii    K 9     R# :
  ca507d51  4b4928fe  4052102f  c9241dd0  00a774e9 :  P}QKI( @R / $    t  :
  825d4aec  0001f9dc  9404c94f  95e4a391  561002d5 :  ]J        O    V    :
  7622b252  22311101  d518bbb5  d5cc9250  cce73324 : v" R"1         P  3$ :
  b65207ab  35050a5e  dcc60d0a  88753640  a5233861 :  R  5  ^     u6@ #8a :
  18ab010f  342b49c3  48378b65  322fe5fc  2d02e557 :     4+I H7 e2/  -  W :
  c538b334  de34a1fb  7fa3dc7f  a271245f  8e2c9791 :  8 4 4       q$_ ,   :
  254bfff5  f126706a  b9e24ab8  5925fff6  dbb19ce6 : %K   &pj  J Y%       :
  d08a5688  c5ac460d  2be719a0  0d5f12d0  5a08241c :   V   F +    _  Z $  :
  82d83c81  dbef8d35  fdb24028  a363e3e2  ce40088b :   <    5  @( c   @   :
  a4e989d9  009a98dd  fcce8309  215be6d8  1804a1f0 :             !{       :
  6bf516d0  00a3b1df  43b85768  d700840e  e87e444d : k       C Wh     ~DM :
  5f75e615  097d2c54  320abfa3  bd40820f  43a0f9e5 : _u   },T2    @  C    :
  048d2ebb  5baa0410  0ee12bb1  3a79088c  e5af4364 :   . {     + :y    Cd :
  f7b93bcc  0bcf6217  ed7f501a  3498d785  1a5d0ee9 :   ;   b   P 4    ]   :
  e7697fa9  dfe7862c  45890415  08d1eea0  f8950e74 :  i     ,E          t :
  22d3ea3c  5ecf27d5  72da2787  f9fc7ad7  f03a2d7d : "  <^ ' r '   z  :-} :
  27edfd55  b7fedc5a  e13be2d9  a957175a  bfff4f1a : '  U   Z ;   W Z  O  :
  cae2b473  c5b7c177  56b7ff65  6f6c77c5  7302fc65 :    s   wV  eolw s  e :
  7ad05199  87107192  adc62de0  467c00f3  121551a4 : z Q   q   - F|    Q  :
  64d89026  496a077a  64a27e0d  fd9e027f  9fb5c282 : d  &Ij zd ~          :
  04b21ffe  45076148  35cee57d  a730922a  a82d4372 :     E aH5  } 0 * -Cr :
  81bb9dd8  08246fce  d31ba8e7  6f404aed  417cdd54 :      $o     o at ...476... A| T :
  cea83f84  4b85885f  6a86c682  bbfe7cf9  b03e4523 :   ? K  _j     |  >E# :
  59dc3967  ad21da2d  9abaec6b  bcd6514b  7f52edd9 : Y 9g ! -   k  QK R   :
  c8b4c2dc  fcd7fb48  0d2e1d3d  9d5954b0  3d3f578d :        H . = YT =?W  :
  67f47da7  e73a3be4  8ea1ed5d  96b5f261  eff4ff1e : g }  :;    ]   a     :
  b76c46cd  25cf1a4f  ebfd2bb7  fb2aecba  89556445 :  lF %  O  +  *   UdE :
  c9ffeff1  ac979a95  9a2b442a  1fff0dcc  3ab29017 :          +D*    :    :
  cd23113f  0a1c5028  24301450  d0afe010  26a2473d :  # ?  P($0 P    & G= :
  76733cc0  279ec7dc  821116fa  284f3e6c  762edbf9 : vs< '       (O>lv.   :
  5a402851  8a15fd4a  6cc60636  1fd3598b  57cb42a7 : Z@(Q   Jl  6  Y W B  :
  41406145  b4b743a7  2ee42a16  9140076e  af539bf0 : A at ...477...  C . *  @ n S   :
  7ea14361  40353598  1df40d77  b92d1b7b  b9e76e1d : ~ Ca at ...478...    w - {  n  :
  4ee47b4e  27dd13ed  850e5f4a  1bb5b44d  b9dcf21a : N {N'     _J   M     :
  603c1031  d8ec7e5e  7d063ff8  3dc076be  7dfb5b4f : `< 1  ~^} ? = v } {O :
  b1f74c37  1cf6e741  ceae45cd  bacaf6b4  ba745b06 :   L7   A  E      t{  :
  976bd27e  ffe09d3f  e6e4d544  cd4a0951  a93ffd7b :  k ~   ?   D J Q ? { :
  55ebb9c2  b8a220ad  1ffee72e  41b67266  b2ec9058 : U          .A rf   X :
  6d609240  91d10474  e46e176e  72758bf3  a9fc1761 : m` @   t n nru     a :
  2a18c22b  820fb4c1  08683d04  3b11d020  85db7b71 : *  +     h= ;     {q :
  0c27ec62  828a9ae1  7916a1d2  63c559cb  5522f376 :  ' b    y   c Y U" v :
  83cd8bae  0d03f434  7a8d8f37  6dbede0f  220da49e :        4z  7m   "    :
  fab5885d  c1772391  1bb1fc50  3ca83427  43fc883c :    ] w#    P< 4'C  < :
  32fe0822  de0dbda1  fadd4688  f51e4e46  a143b08b : 2  "      F   NF C   :
  10fe087f  160451be  b0223a0d  042f2a05  68f51478 :       Q  ":  /* h  x :
  6c43f104  6e28b34c  0873a3ba  0bdad5e2  bb1b5c9f : lC  n( L s        \  :
  22f1ffa3  64015fad  2fe37c75  a7db8e75  c64d38c8 : "   d _ / |u   u M8  :
  5e5937c5  5fff9ef2  a71934d5  4aae37a4  aae13ffb : ^Y7 _     4 J 7   ?  :
  3a14ef24  df670622  308013f0  5f13278b  b4807b1b : :  $ g "0   _ '   {  :
  1ee36ba7  de0b4112  f91aaa65  5dc2c0fa  7556bd4a :   k   A    e]   uV J :
  6dcd2431  c8c1db7e  18281817  da5c0b42  d3d8eac4 : m $1   ~ (   \ B     :
  2a576472  2d27691d  316eb2bb  9ea55cb5  f90846e0 : *Wdr-'i 1n    \   F  :
  8b104177  fff1a498  7aaf4a5d  f51b8b74  a6f62128 :   Aw    z J]   t  !( :
  ebbe8762  1f8aec43  9ce7a89f  061088fe  17c8d6e9 :    b   C             :
  162e5b55  ed90e20c  ac068992  1ae0ea83  e995d0bf :  .{U                 :
  e11e8da5  e1869b70  bcec6dd7  ad827113  32b90be3 :        p  m   q 2    :
  7118b2e9  7f1d3fca  faf3dfcf  1be34705  d3359c0d : q     ?       G  5   :
  e93ffd29  cdf0ae32  ef38e78d  e915a5ff  eb9be9be :  ? )   2 8           :
  d6567df3  da9985a5  0737b93c  63bde666  453826ec :  V}      7 <c  fE8&  :
  018963bb  8c920ba3  88f0361c  5c927d41  c5f124a3 :   c       6 \ }A  $  :
  e2224aee  b9b881a7  bc4f6896  2f9a0140  d24d0ac8 :  "J      Oh /  @ M   :
  a2734b0b  69b09324  1ff44032  5aaa7c18  4a339b4a :  sK i  $  @2Z | J3 J :
  6c27a7a0  143bed29  5ded0515  a6ae65fb  906b4780 : l'   ; )]     e  kG  :
  86efbb81  3024302e  b35de49d  6412d501  413703a3 :     0$0. ]  d   A7   :
  238a8832  082493bb  128b1fd4  b179903a  0959f10c : #  2 $       y : Y   :
  24fd8bbf  decc4a50  2ae88011  00000000  00000000 : $     JP*            :

==============================================================================

12:46:23.543782 P 38.136.69.116 > 128.165.241.220: frag 8 (frag 60793:8 at ...474...)
  4500001c  ed7900b8  3001be31  26884574  80a5f1dc : E    y  0  1& Et     :
  00000000  00000000  00000000  00000000  00000000 :                      :
  00000000  0000                                   :                      :
12:46:23.544959 P 38.136.69.116 > 128.165.241.220: icmp 1472 echo reply (frag 60793:1472 at ...475...+)
  450005d4  ed792000  30019931  26884574  80a5f1dc : E    y  0  1& Et     :
  00008652  9abcdef0  00000000  00000000  00000000 :    R                 :
  00000000  00000000  00000000                     :                      :

-------------------------------------------------------------------------------

12:46:16.136532 P 38.136.69.116 > 128.165.241.220: icmp 1480 information request
  450005dc  ed790000  3001be31  26884574  80a5f1dc : E    y  0  1& Et     :
  0f155376  29094f6d  eeca91a4  d14c1115  d8cf70d8 :   Sv) Om     L    p  :
  4cf1cdb5  5fbe0739  022b0d2b  c1aa2e0f  47af6359 : L   _  9 + +  . G cY :
  05503bc4  fa8c1df9  3ac0b348  5cb17ce2  9bf48332 :  P;     :  H\ |    2 :
  d788d611  622c66e3  839606fd  89e18b15  90000000 :     b,f              :
  b0050000  af29f580  de84d5f1  611b6137  b2df14e2 :      )      a a7     :
  7f70c779  e63ac395  20f0291f  df21b604  9d4d58f1 :  p y :    )  !   MX  :
  40ee8758  89ca1f92  4e00b6bf  2455bc26  b3b1ae66 : @  X    N   $U &   f :
  3bea6c4b  62d8a873  f512ff5b  3c4479ab  4b531fbf : ; lKb  s   {<Dy KS   :
  5a135d21  046b75f5  c6f112df  16f8e5bf  92415ea6 : Z ]! ku          A^  :
  db9fbbbb  9e3005bc  c22b5877  386a1061  32c3a682 :      0   +Xw8j a2    :
  c191fbcd  9023cffc  b93aecf3  f6a66938  6941c555 :      #   :    i8iA U :
  07cd64b4  54147ff4  b7bca77f  e8919e76  4038487f :   d T          v at ...479...  :
  e5fbf747  3564a645  8a3356de  292bf86f  127ab589 :    G5d E 3V )+ o z   :
  45eca710  e22a5640  4eefa256  a640983a  e3e8b4e3 : E    *V at ...480...  V @ :     :
  faad7840  8e42a836  ce944f07  d3678705  0d36708e :   x@ B 6  O  g   6p  :
  398626b0  e69c4b35  5c24734b  e4b28a0a  514859cb : 9 &   K5\$sK    QHY  :
  f5a3aee4  d68fba50  1dabc5cd  102082b2  e3c8112b :        P           + :
  e22323d7  ff4575b4  24c5c1cb  1ddc07a8  790654ba :  ##  Eu $       y T  :
  3f5ef9c6  b59c8579  ed14aa7b  ac5ef971  a71348cc : ?^     y   { ^ q  H  :
  a7b705f1  fb0e162a  1bf0a78d  9a6b137f  7807e663 :        *     k  x  c :
  66448df5  beb19318  e0b8fd65  f7de4837  7b6d123e : fD         e  H7{m > :
  48a5e806  843ac94c  73e9f043  d5d61df2  3036bd62 : H    : Ls  C    06 b :
  f74141ba  962b53fa  3a5a805a  6ebe35ad  f36f95e3 :  AA  +S :Z Zn 5  o   :
  82323b55  06cdc6ff  2715cd74  0a4b6fd3  b49c0243 :  2;U    '  t Ko    C :
  586dd0d0  34f6aa18  f213ed6e  26558b58  6a00b966 : Xm  4      n&U Xj  f :
  c9511773  1372a3f4  b96c3c15  d0a617cb  498b2445 :  Q s r   l<     I $E :
  a611fcd5  2beb3b67  db71804d  cba9f0db  b8c20322 :     + ;g q M       " :
  5d524a5d  c2cdce1d  da37aa9e  334af29d  d4caa325 : ]RJ]     7  3J     % :
  cedbb9a0  9d138dcf  5b5b5c7d  ca4244ed  3e723666 :         {{\} BD >r6f :
  a9793545  564403a4  95184fec  e5e9d147  725e8f39 :  y5EVD    O    Gr^ 9 :
  f211f64a  aac84fbd  afeb26ad  24d4b20b  a122f476 :    J  O   & $    " v :
  6985ecb9  00731582  6f735313  29dc3f6e  bc1d7386 : i    s  osS ) ?n  s  :
  0ae09885  87d3fd83  e9dd39b9  d1602443  925677eb :           9  `$C Vw  :
  dc8283e5  4cf068fa  92262667  8289dc45  acbc81cd :     L h  &&g   E     :
  58a654f3  5b872f4f  0c8c121e  cf2a8d2f  91e1a13c : X T { /O     * /   < :
  e4ecd161  61d9f394  3401fbeb  55860f4b  be9b30d5 :    aa   4   U  K  0  :
  c8a03959  c5437346  ab4ce95e  f5eb29c6  0a845096 :   9Y CsF L ^  )   P  :
  a1450a75  737be5b9  52fe6067  09e9210a  92c2a3b9 :  E us{  R `g  !      :
  71bde7cf  87906c87  820e978f  7b19977e  88394fcd : q     l     {  ~ 9O  :
  63dffcc3  f70e3df9  55896849  1b486adb  aa2d04c1 : c     = U hI Hj  -   :
  43f19d88  981a670d  67a6e5f3  93b2dfab  cd940c23 : C     g g          # :
  9811e892  7fab3587  65432460  3d57248b  e53b5df8 :       5 eC$`=W$  ;]  :
  5a6b8c73  c9b78637  2e6219f8  b5448957  3bf4961a : Zk s   7.b   D W;    :
  617c9f86  a7a1f432  a8eeaeea  61bb4ca6  ff4b0ffe : a|     2    a L  K   :
  65d06d25  327d67dd  2cf7dcf3  fcdcc1ec  984fa0b5 : e m%2}g ,        O   :
  1f44f18e  88a866ca  57a75e9c  7ca52c70  17ad5c94 :  D    f W ^ | ,p  \  :
  30ad913a  a28a9bc1  f8ceceda  9e61e9ee  d0b59a80 : 0  :         a       :
  f9dbd870  f29e6bf8  f6aa90c1  6594dced  986b425c :    p  k     e    kB\ :
  111ba9e3  6ed11387  4979faa6  67e22355  afa5a7af :     n   Iy  g #U     :
  ca501bbd  095122b2  294706f0  e7caea2d  24c12bd9 :  P   Q" )G     -$ +  :
  fc01f1ba  2aff9292  e924da86  ab182909  93fb734f :     *    $    )   sO :
  031fd9f1  d905bf65  613bceb0  d2cc1286  156c0019 :        ea;       l   :
  b92faa0c  bf61f7b3  36c8d69e  1666659d  826a36ba :  /   a  6    fe  j6  :
  0ba5ce6c  78b77077  69ac1b1d  db769591  ea48ebf0 :    lx pwi    v   H   :
  3de847b9  157d7c72  a5b01735  7be0ded4  3d583e71 : = G  }|r   5{   =X>q :
  e0f5fc7f  ebd57576  4827f93a  eaa613f0  b7c11298 :       uvH' :         :
  e1668688  a2e8d911  13d679f9  f7bc90b9  27989964 :  f        y     '  d :
  19d2ce9a  957c9321  693bcc9f  a47a4ad4  f9358c03 :      | !i;   zJ  5   :
  314a5faa  e6f9de67  53368775  c0589fe0  880474d8 : 1J_    gS6 u X    t  :
  afb91deb  1c59a327  bf47772c  2cb23e42  3361ace3 :      Y ' Gw,, >B3a   :
  062d79f4  a2c0c3ef  5e7c375d  12e548d7  b7f9a3c9 :  -y     ^|7]  H      :
  351e9cd7  b65bf270  d7c6a5cb  f754135b  f6ab00d9 : 5    { p     T {     :
  63cd0a92  3eebdbb0  6f49558f  3be67cbd  b3b60fae : c   >   oIU ; |      :
  72d1dafc  9ad9202b  159180e1  56b36bcb  09f2a168 : r      +    V k    h :
  18a6bc9d  f6f64273  ad22db96  9e0f6122  2d26ae96 :       Bs "    a"-&   :
  cb028c9f  1b8f6330  218d8040  007cf047  7c5730a8 :       c0!  @ | G|W0  :
  5f214d00  b5322376  547977e2  ca5af978  51f9ee44 : _!M  2#vTyw  Z xQ  D :
  d63f837f  cbda5578  31bb3594  3e20de3a  18ef9257 :  ?    Ux1 5 >  :   W :
  85ef2a9a  46247cb9  46d21680  2fe3f251  3f0a1851 :   * F$| F   /  Q?  Q :
  df7c9a89  f84e7476  749d7bf9  0aaf29f5  80de84d5 :  |   Ntvt {   )      :
  f1611b61  37b2df14  e27f70c7  79e63ac3  9520f029 :  a a7     p y :    ) :
  1fdf21b6  049d4d58  f140ee87  5889ca1f  924e00b6 :   !   MX @  X    N   :
  bf2455bc  26b3b1ae  663bea6c  4b62d8a8  73f512ff :  $U &   f; lKb  s    :
  5b3c4479  ab4b531f  bf5a135d  00000000  00000000 : {<Dy KS  Z ]         :

==============================================================================




More information about the Snort-devel mailing list