No subject


Thu Nov 23 16:31:58 EST 2017


 alert tcp $EXTERNAL_NET any -> $SMTP_SERVERS 25 (msg:"SMTP rcpt to sed command attempt"; flow:to_server,established; content:"rcpt to\:"; nocase; content:"\|"; distance:0; content:"sed "; distance:0; reference:bugtraq,1; reference:arachnids,172; reference:cve,CVE-1999-0095; classtype:attempted-admin; sid:663; rev:6;)

triggers due to sed (actually the word Based) appearing in the body of the
email message.  I.e.:

52 43 50 54 20 54 6F 3A 3C XX XX XX XX 40 63 61  RCPT To:<XXXX at ...2261...
73 68 65 77 2E 46 45 49 54 48 2E 43 4F 4D 3E 0D  shew.FEITH.COM>.
0A 44 41 54 41 0D 0A 52 65 63 65 69 76 65 64 3A  .DATA..Received:
20 66 72 6F 6D 20 6D 61 69 6C 2E 61 6D 65 72 69   from mail.ameri
63 61 6E 63 68 65 6D 69 73 74 72 79 2E 63 6F 6D  canchemistry.com
20 28 6D 61 69 6C 2E 61 6D 65 72 69 63 61 6E 63   (mail.americanc
68 65 6D 69 73 74 72 79 2E 63 6F 6D 20 5B 36 33  hemistry.com [63
2E 37 32 2E 31 33 33 2E 33 33 5D 29 0D 0A 09 62  .72.133.33])...b
79 20 66 65 69 74 68 31 2E 46 45 49 54 48 2E 43  y feith1.FEITH.C
4F 4D 20 28 38 2E 31 32 2E 31 30 2B 53 75 6E 2F  OM (8.12.10+Sun/
38 2E 31 32 2E 39 29 20 77 69 74 68 20 45 53 4D  8.12.9) with ESM
54 50 20 69 64 20 68 41 49 45 50 41 68 47 30 31  TP id hAIEPAhG01
37 38 30 37 0D 0A 09 66 6F 72 20 3C XX XX XX XX  7807...for <XXXX
40 66 65 69 74 68 2E 63 6F 6D 3E 3B 20 54 75 65  @feith.com>; Tue
2C 20 31 38 20 4E 6F 76 20 32 30 30 33 20 30 39  , 18 Nov 2003 09
3A 32 35 3A 34 33 20 2D 30 35 30 30 20 28 45 53  :25:43 -0500 (ES
54 29 0D 0A 52 65 63 65 69 76 65 64 3A 20 66 72  T)..Received: fr
6F 6D 20 6D 61 69 6C 2E 61 6D 65 72 69 63 61 6E  om mail.american
63 68 65 6D 69 73 74 72 79 2E 63 6F 6D 20 28 6D  chemistry.com (m
61 69 6C 2E 61 6D 65 72 69 63 61 6E 63 68 65 6D  ail.americanchem
69 73 74 72 79 2E 63 6F 6D 20 5B 36 33 2E 37 32  istry.com [63.72
2E 31 33 33 2E 33 33 5D 29 0D 0A 09 62 79 20 66  .133.33])...by f
65 69 74 68 31 2E 46 45 49 54 48 2E 43 4F 4D 20  eith1.FEITH.COM 
28 38 2E 31 32 2E 31 30 2B 53 75 6E 2F 38 2E 31  (8.12.10+Sun/8.1
32 2E 39 29 20 77 69 74 68 20 45 53 4D 54 50 20  2.9) with ESMTP 
69 64 20 68 41 49 32 74 75 68 47 30 30 36 32 37  id hAI2tuhG00627
38 09 66 6F 72 0D 0A 20 3C XX XX XX XX 40 66 65  8.for.. <XXXX at ...2262...
69 74 68 2E 63 6F 6D 3E 3B 20 4D 6F 6E 2C 20 31  ith.com>; Mon, 1
37 20 4E 6F 76 20 32 30 30 33 20 32 31 3A 35 35  7 Nov 2003 21:55
3A 35 38 20 2D 30 35 30 30 20 28 45 53 54 29 0D  :58 -0500 (EST).
0A 58 2D 4D 61 69 6C 65 72 3A 20 4C 6F 74 75 73  .X-Mailer: Lotus
20 4E 6F 74 65 73 20 52 65 6C 65 61 73 65 20 35   Notes Release 5
2E 30 2E 38 20 20 4A 75 6E 65 20 31 38 2C 20 32  .0.8  June 18, 2
30 30 31 0D 0A 4D 49 4D 45 2D 56 65 72 73 69 6F  001..MIME-Versio
6E 3A 20 31 2E 30 0D 0A 53 75 62 6A 65 63 74 3A  n: 1.0..Subject:
20 52 65 3A 20 55 70 64 61 74 65 20 XX XX XX XX   Re: Update XXXX
XX XX XX XX XX 0D 0A 54 6F 3A 20 3C XX XX XX XX  XXXXX..To: <XXXX
40 66 65 69 74 68 2E 63 6F 6D 3E 0D 0A 4D 65 73  @feith.com>..Mes
73 61 67 65 2D 49 44 3A 20 3C 4F 46 34 39 41 38  sage-ID: <OF49A8
31 42 45 46 2E 30 46 45 42 37 34 34 41 2D 4F 4E  1BEF.0FEB744A-ON
30 35 32 35 36 44 45 32 2E 30 30 32 36 32 31 38  05256DE2.0026218
30 40 61 6D 65 72 69 63 61 6E 63 68 65 6D 69 73  0 at ...2263...
74 72 79 2E 63 6F 6D 3E 0D 0A 46 72 6F 6D 3A 20  try.com>..From: 
XX XX XX XX XX XX XX XX XX XX XX XX 40 61 6D 65  XXXXXXXXXXXX at ...2264...
72 69 63 61 6E 63 68 65 6D 69 73 74 72 79 2E 63  ricanchemistry.c
6F 6D 0D 0A 44 61 74 65 3A 20 54 75 65 2C 20 31  om..Date: Tue, 1
38 20 4E 6F 76 20 32 30 30 33 20 30 39 3A 32 32  8 Nov 2003 09:22
3A 33 32 20 2D 30 35 30 30 0D 0A 58 2D 4D 49 4D  :32 -0500..X-MIM
45 54 72 61 63 6B 3A 20 53 65 72 69 61 6C 69 7A  ETrack: Serializ
65 20 62 79 20 52 6F 75 74 65 72 20 6F 6E 20 48  e by Router on H
51 45 58 54 47 41 54 45 30 31 2F 53 52 56 2F 43  QEXTGATE01/SRV/C
4D 41 28 52 65 6C 65 61 73 65 20 35 2E 30 2E 38  MA(Release 5.0.8
20 7C 4A 75 6E 65 20 31 38 2C 20 32 30 30 31 29   |June 18, 2001)
20 61 74 0D 0A 20 31 31 2F 31 38 2F 32 30 30 33   at.. 11/18/2003
20 30 39 3A 32 33 3A 35 30 20 41 4D 0D 0A 43 6F   09:23:50 AM..Co
6E 74 65 6E 74 2D 74 79 70 65 3A 20 74 65 78 74  ntent-type: text
2F 70 6C 61 69 6E 3B 20 63 68 61 72 73 65 74 3D  /plain; charset=
75 73 2D 61 73 63 69 69 0D 0A 58 2D 44 43 43 2D  us-ascii..X-DCC-
53 64 56 2D 4D 65 74 72 69 63 73 3A 20 66 65 69  SdV-Metrics: fei
74 68 31 20 31 31 37 39 3B 20 42 6F 64 79 3D 31  th1 1179; Body=1
20 46 75 7A 31 3D 31 20 46 75 7A 32 3D 31 0D 0A   Fuz1=1 Fuz2=1..
58 2D 41 72 63 68 69 76 65 64 3A 20 63 61 73 68  X-Archived: cash
65 77 2E 46 45 49 54 48 2E 43 4F 4D 0D 0A 0D 0A  ew.FEITH.COM....
0D 0A XX XX XX XX 2C 20 49 20 6E 65 65 64 20 61  ..XXXX, I need a
20 66 65 77 20 6D 6F 72 65 20 74 68 69 6E 67 73   few more things
20 72 65 6C 61 74 65 64 20 74 6F 20 XX XX XX 20   related to XXX 
XX XX XX XX XX XX XX XX 2E 0D 0A 0D 0A 31 2E 20  XXXXXXXX.....1. 
20 XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX   XXXXXXXXXXXXXXX
20 XX XX XX XX 3A 20 20 20 42 61 73 65 64 20 6F   XXXX:   Based o

Particulars:

  System Architecture:          x86
  Operating System and version: Solaris 9
  Version of Snort:             2.0.4
  Configuration:                Stock snort.conf with HOME_NET defined as
                                192.251.93.0/24
  Command line switches:        -d -c snort.conf

-- John
-------------------------------------------------------------------------
|   Feith Systems  |   Voice: 1-215-646-8000  |  Email: john at ...2258...  |
|    John Wehle    |     Fax: 1-215-540-5495  |                         |
-------------------------------------------------------------------------





More information about the Snort-devel mailing list