<div dir="ltr"><div class="gmail_extra">Hello.  OH thanks 2 u rmkl, you see the problem that I do!  Snort 2.9.4.1 and previous could have issue and then it is not just me.  Are these versions supported and can we get a patch?  IF the fix is to upgrade to a later version then that is not trival and could delay many months or up to a year or more or never on embedded devices (eps military ones).  Hopefully supported versions get attention since vendors such as Apple release updates for their software even if newer versions are available (for an example, a bug in OS X Lions doesn't make me get suggested to upgrade to the Mavaricks', it just gets fixed b/c is is still supported),<br>
<br>Cheers,<br><br>Lord C.<br><br><div class="gmail_quote">On Wed, Dec 4, 2013 at 4:08 PM, rmkml <span dir="ltr"><<a href="mailto:rmkml@...2543...19..." target="_blank">rmkml@...2519...</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
Hi L0rd,<br>
<br>
ok my testing with your pcap: (in this test, all snort use same config)<br>
<br>
-v2.9.5.6 all sigs fire<br>
<br>
-v2.9.4.6 all sigs fire<br>
<br>
-v2.9.4.5 all sigs fire<br>
<br>
-v2.9.4.1 sig three only fire<br>
<br>
-v2.9.3.1 sig three only fire<br>
<br>
Regards<span class=""><font color="#888888"><br>
@Rmkml</font></span><div class=""><div class="h5"><br>
<br>
<br>
On Wed, 4 Dec 2013, L0rd Ch0de1m0rt wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
Thanks Bhagya,<br>
<br>
I looked again and the sensor is SNORT v2.9.3.1 (we have a number of different versions and I access multiples on different consoles so I think I saw the wrong one when I said 2.9.5.3).  Hopefully v2.9.3.1<br>
is supported still too :) If no, could there be issues with supported version?<br>
<br>
The issue is a problem with holistic recursion on the http_uri buffer.  The engine when looking in the http_uri buffer detects on a content match that comes before a subsequent relative content match.  But<br>
the enginge does not properly recurse to find all the (initial) content matches and attempt to match them using the subsequent relative content match.<br>
<br>
I have attached a simple pcap.  I do not have a config readily available but (althou as you can see below), the info below shows that the HTTP_INSPECT pre-processor is enabled, working, and inspecting data<br>
for the ports and data in the packets.  Here is the datum:<br>
<br>
These rules do *NOT* alert:<br>
<br>
alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; http_uri; content:"|3A|"; http_uri; distance:1;<br>

within:20;)<br>
<br>
alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; http_uri; content:"|3A|"; http_uri; distance:1;<br>

within:48;)<br>
<br>
Howevers, this one *DOES ALERT*!:<br>
<br>
alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; http_uri; content:"|3A|"; http_uri; distance:1;<br>

within:49;)<br>
<br>
If you count bytes in the packet you can see that clearly the proper recursion for detection is not taking place.<br>
<br>
Pls let me know if you have any question.<br>
<br>
Tks & Cheers,<br>
<br>
Lord C.<br>
<br>
<br>
On Fri, Nov 22, 2013 at 11:58 AM, Bhagya Bantwal <<a href="mailto:bbantwal@...402..." target="_blank">bbantwal@...402...</a>> wrote:<br>
<br>
<br>
<br>
      On Thu, Nov 7, 2013 at 4:42 PM, L0rd Ch0de1m0rt <<a href="mailto:l0rdch0de1m0rt@...2499..." target="_blank">l0rdch0de1m0rt@...3035.....</a>> wrote:<br>
            Hello.<br>
<br>
@Bad Horse: I tried http_raw_uri and it still does not work.  That is good point about the colon in the uri.  The funny thing is that if I increase the distance, it WILL work so it seems that<br>
maybe the parser it getting "stuck" on the first content match (0x2F) and not evaluating everything in full.  To test, I tried this rule and it DID work! :<br>
<br>
alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; http_uri; content:"|3A|"; http_uri;<br>

distance:1; within:50;)<br>
<br>
@Baggy: I tried a number of versions and the latest was 2.9.5.3 I believe, is that still supported?<br>
<br>
<br>
Yes. It is supported. Can you please send your conf and pcap for further debugging?<br>
<br>
Thanks<br>
B <br>
<br>
Thanks for everyones' help.<br>
<br>
Cheers,<br>
<br>
Lord C.<br>
<br>
<br>
On Thu, Nov 7, 2013 at 12:31 PM, Bhagya Bantwal <<a href="mailto:bbantwal@...402..." target="_blank">bbantwal@...402...</a>> wrote:<br>
      Hello,<br>
<br>
Have you tested with snort version snort 2.9.5.5? With this snort version I see the alert as expected.<br>
<br>
If it still doesn't work, you can send me your pcap & conf and I will take a look.<br>
<br>
Thanks!<br>
B<br>
<br>
<br>
On Wed, Nov 6, 2013 at 2:01 PM, L0rd Ch0de1m0rt <<a href="mailto:l0rdch0de1m0rt@...2499..." target="_blank">l0rdch0de1m0rt@...2499...</a>> wrote:<br>
      Hello,<br>
<br>
      Previously I posted on this list with an email subject of, "distance, within, and negated matches".  Today I bring another issue that I am having that I believes could be<br>
      related and is non-trivial and super serious.<br>
<br>
      When I analyze it I believe that relative (1 byte?) content matches are not being properly applied in the http_uri buffer.  Other buffers for the http preprocessor may be<br>
      affected as well but I have not tested them but I won't be suprised if they are also infected by this bug.<br>
<br>
      This is an example of the rule Im using:<br>
       <br>
      alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; http_uri;<br>
      content:"|3A|"; http_uri; distance:1; within:20;)<br>
<br>
      Using a simple pcap ("Follow TCP stream" output from Ethereal is here:)<br>
<br>
      GET /iused/2/trust/the.http_<u></u>preprocessor/sad1/cr1090hs:SN-<u></u>IF-FF- HTTP/1.1<br>
<br>
      The rule does not alert even though the Snort output shows that the HTTP data is being properly recognized and processed by the http_inspect preprocessor. The Snort output shows<br>
      that the specific GET request is being recognized as a HTTP "GET" request.<br>
<br>
      When I remove the http_inspect directives, the rule starts to work, this is an example:<br>
<br>
      alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg:"Dont Cry 4 Me Trojanina"; flow:established, to_server; content:"GET"; http_method; content:"|2F|"; content:"|3A|";<br>

      distance:1; within:20;)<br>
<br>
      Is this (still?) a known issue?  I have tested this on multiple different versions of Snort 2.9.<br>
<br>
      Cheers,<br>
<br>
      Lord C.</blockquote>
</div></div></blockquote></div><br></div></div>