[Snort-sigs] False positive(s) for rule Sid 2229

Richard Huffman rhuffman at ...2692...
Wed Aug 4 13:36:31 EDT 2004


#
#  Reporting a false positive.
#

Rule:   WEB-PHP viewtopic.php access

--
Sid:   2229

--
Summary:  Every time a client requests viewtopic.php the alert triggers.

This is with

SERVER: Apache/1.3.29 Ben-SSL/1.53 (Debian GNU/Linux) mod_perl/1.29
SERVER HW: Linux weyr 2.6.7 #1 SMP Tue Jun 29 19:43:13 EDT 2004 i686
Distro: Debian-testing
Snort Version 2.1.2 (Build 25)
Rules from debian package snort-rules-default 2.1.2-2

--

Example "payloads:"

1:

 length = 889

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 74   /viewtopic.php?t
020 : 3D 36 34 36 26 73 69 64 3D 30 30 63 35 37 39 64   =646&sid=00c579d
030 : 30 62 31 31 33 35 33 31 30 37 63 35 32 36 64 38   0b11353107c526d8
040 : 38 39 36 64 64 65 36 36 62 20 48 54 54 50 2F 31   896dde66b HTTP/1
050 : 2E 31 0D 0A 48 6F 73 74 3A 20 77 65 79 72 2E 61   .1..Host: weyr.a
060 : 72 67 65 6E 74 63 72 6F 73 73 2E 6F 72 67 0D 0A   rgentcross.org..
070 : 55 73 65 72 2D 41 67 65 6E 74 3A 20 4D 6F 7A 69   User-Agent: Mozi
080 : 6C 6C 61 2F 35 2E 30 20 28 57 69 6E 64 6F 77 73   lla/5.0 (Windows
090 : 3B 20 55 3B 20 57 69 6E 64 6F 77 73 20 4E 54 20   ; U; Windows NT
0a0 : 35 2E 31 3B 20 65 6E 2D 55 53 3B 20 72 76 3A 31   5.1; en-US; rv:1
0b0 : 2E 37 29 20 47 65 63 6B 6F 2F 32 30 30 34 30 36   .7) Gecko/200406
0c0 : 31 36 0D 0A 41 63 63 65 70 74 3A 20 74 65 78 74   16..Accept: text
0d0 : 2F 78 6D 6C 2C 61 70 70 6C 69 63 61 74 69 6F 6E   /xml,application
0e0 : 2F 78 6D 6C 2C 61 70 70 6C 69 63 61 74 69 6F 6E   /xml,application
0f0 : 2F 78 68 74 6D 6C 2B 78 6D 6C 2C 74 65 78 74 2F   /xhtml+xml,text/
100 : 68 74 6D 6C 3B 71 3D 30 2E 39 2C 74 65 78 74 2F   html;q=0.9,text/
110 : 70 6C 61 69 6E 3B 71 3D 30 2E 38 2C 76 69 64 65   plain;q=0.8,vide
120 : 6F 2F 78 2D 6D 6E 67 2C 69 6D 61 67 65 2F 70 6E   o/x-mng,image/pn
130 : 67 2C 69 6D 61 67 65 2F 6A 70 65 67 2C 69 6D 61   g,image/jpeg,ima
140 : 67 65 2F 67 69 66 3B 71 3D 30 2E 32 2C 2A 2F 2A   ge/gif;q=0.2,*/*
150 : 3B 71 3D 30 2E 31 0D 0A 41 63 63 65 70 74 2D 4C   ;q=0.1..Accept-L
160 : 61 6E 67 75 61 67 65 3A 20 65 6E 2D 75 73 2C 65   anguage: en-us,e
170 : 6E 3B 71 3D 30 2E 35 0D 0A 41 63 63 65 70 74 2D   n;q=0.5..Accept-
180 : 45 6E 63 6F 64 69 6E 67 3A 20 67 7A 69 70 2C 64   Encoding: gzip,d
190 : 65 66 6C 61 74 65 2C 63 6F 6D 70 72 65 73 73 3B   eflate,compress;
1a0 : 71 3D 30 2E 39 0D 0A 41 63 63 65 70 74 2D 43 68   q=0.9..Accept-Ch
1b0 : 61 72 73 65 74 3A 20 49 53 4F 2D 38 38 35 39 2D   arset: ISO-8859-
1c0 : 31 2C 75 74 66 2D 38 3B 71 3D 30 2E 37 2C 2A 3B   1,utf-8;q=0.7,*;
1d0 : 71 3D 30 2E 37 0D 0A 4B 65 65 70 2D 41 6C 69 76   q=0.7..Keep-Aliv
1e0 : 65 3A 20 33 30 30 0D 0A 43 6F 6E 6E 65 63 74 69   e: 300..Connecti
1f0 : 6F 6E 3A 20 6B 65 65 70 2D 61 6C 69 76 65 0D 0A   on: keep-alive..
200 : 52 65 66 65 72 65 72 3A 20 68 74 74 70 3A 2F 2F   Referer: http://
210 : 77 65 79 72 2E 61 72 67 65 6E 74 63 72 6F 73 73   weyr.argentcross
220 : 2E 6F 72 67 2F 73 69 6C 76 65 72 73 63 61 6C 65   .org/silverscale
230 : 2F 76 69 65 77 66 6F 72 75 6D 2E 70 68 70 3F 66   /viewforum.php?f
240 : 3D 31 38 0D 0A 43 6F 6F 6B 69 65 3A 20 70 68 70   =18..Cookie: php
250 : 62 62 32 6D 79 73 71 6C 5F 64 61 74 61 3D 61 25   bb2mysql_data=a%
260 : 33 41 32 25 33 41 25 37 42 73 25 33 41 31 31 25   3A2%3A%7Bs%3A11%
270 : 33 41 25 32 32 61 75 74 6F 6C 6F 67 69 6E 69 64   3A%22autologinid
280 : 25 32 32 25 33 42 73 25 33 41 30 25 33 41 25 32   %22%3Bs%3A0%3A%2
290 : 32 25 32 32 25 33 42 73 25 33 41 36 25 33 41 25   2%22%3Bs%3A6%3A%
2a0 : 32 32 75 73 65 72 69 64 25 32 32 25 33 42 73 25   22userid%22%3Bs%
2b0 : 33 41 31 25 33 41 25 32 32 31 25 32 32 25 33 42   3A1%3A%221%22%3B
2c0 : 25 37 44 3B 20 70 68 70 62 62 32 6D 79 73 71 6C   %7D; phpbb2mysql
2d0 : 5F 73 69 64 3D 30 30 63 35 37 39 64 30 62 31 31   _sid=00c579d0b11
2e0 : 33 35 33 31 30 37 63 35 32 36 64 38 38 39 36 64   353107c526d8896d
2f0 : 64 65 36 36 62 3B 20 70 68 70 62 62 32 6D 79 73   de66b; phpbb2mys
300 : 71 6C 5F 74 3D 61 25 33 41 32 25 33 41 25 37 42   ql_t=a%3A2%3A%7B
310 : 69 25 33 41 36 34 30 25 33 42 69 25 33 41 31 30   i%3A640%3Bi%3A10
320 : 38 39 32 33 38 32 39 31 25 33 42 69 25 33 41 36   89238291%3Bi%3A6
330 : 34 36 25 33 42 69 25 33 41 31 30 38 39 34 33 31   46%3Bi%3A1089431
340 : 36 39 37 25 33 42 25 37 44 3B 20 53 51 4D 53 45   697%3B%7D; SQMSE
350 : 53 53 49 44 3D 32 66 66 33 65 34 61 36 38 38 34   SSID=2ff3e4a6884
360 : 39 33 32 65 39 39 61 33 33 32 62 30 65 37 38 61   932e99a332b0e78a
370 : 36 65 38 38 64 0D 0A 0D 0A                        6e88d....

----

2:

 length = 784

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 70   /viewtopic.php?p
020 : 3D 33 33 37 38 20 48 54 54 50 2F 31 2E 31 0D 0A   =3378 HTTP/1.1..
030 : 48 6F 73 74 3A 20 77 65 79 72 2E 61 72 67 65 6E   Host: weyr.argen
040 : 74 63 72 6F 73 73 2E 6F 72 67 0D 0A 55 73 65 72   tcross.org..User
050 : 2D 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C 61 2F   -Agent: Mozilla/
060 : 35 2E 30 20 28 57 69 6E 64 6F 77 73 3B 20 55 3B   5.0 (Windows; U;
070 : 20 57 69 6E 64 6F 77 73 20 4E 54 20 35 2E 31 3B    Windows NT 5.1;
080 : 20 65 6E 2D 55 53 3B 20 72 76 3A 31 2E 37 29 20    en-US; rv:1.7)
090 : 47 65 63 6B 6F 2F 32 30 30 34 30 36 31 36 0D 0A   Gecko/20040616..
0a0 : 41 63 63 65 70 74 3A 20 74 65 78 74 2F 78 6D 6C   Accept: text/xml
0b0 : 2C 61 70 70 6C 69 63 61 74 69 6F 6E 2F 78 6D 6C   ,application/xml
0c0 : 2C 61 70 70 6C 69 63 61 74 69 6F 6E 2F 78 68 74   ,application/xht
0d0 : 6D 6C 2B 78 6D 6C 2C 74 65 78 74 2F 68 74 6D 6C   ml+xml,text/html
0e0 : 3B 71 3D 30 2E 39 2C 74 65 78 74 2F 70 6C 61 69   ;q=0.9,text/plai
0f0 : 6E 3B 71 3D 30 2E 38 2C 76 69 64 65 6F 2F 78 2D   n;q=0.8,video/x-
100 : 6D 6E 67 2C 69 6D 61 67 65 2F 70 6E 67 2C 69 6D   mng,image/png,im
110 : 61 67 65 2F 6A 70 65 67 2C 69 6D 61 67 65 2F 67   age/jpeg,image/g
120 : 69 66 3B 71 3D 30 2E 32 2C 2A 2F 2A 3B 71 3D 30   if;q=0.2,*/*;q=0
130 : 2E 31 0D 0A 41 63 63 65 70 74 2D 4C 61 6E 67 75   .1..Accept-Langu
140 : 61 67 65 3A 20 65 6E 2D 75 73 2C 65 6E 3B 71 3D   age: en-us,en;q=
150 : 30 2E 35 0D 0A 41 63 63 65 70 74 2D 45 6E 63 6F   0.5..Accept-Enco
160 : 64 69 6E 67 3A 20 67 7A 69 70 2C 64 65 66 6C 61   ding: gzip,defla
170 : 74 65 2C 63 6F 6D 70 72 65 73 73 3B 71 3D 30 2E   te,compress;q=0.
180 : 39 0D 0A 41 63 63 65 70 74 2D 43 68 61 72 73 65   9..Accept-Charse
190 : 74 3A 20 49 53 4F 2D 38 38 35 39 2D 31 2C 75 74   t: ISO-8859-1,ut
1a0 : 66 2D 38 3B 71 3D 30 2E 37 2C 2A 3B 71 3D 30 2E   f-8;q=0.7,*;q=0.
1b0 : 37 0D 0A 4B 65 65 70 2D 41 6C 69 76 65 3A 20 33   7..Keep-Alive: 3
1c0 : 30 30 0D 0A 43 6F 6E 6E 65 63 74 69 6F 6E 3A 20   00..Connection:
1d0 : 6B 65 65 70 2D 61 6C 69 76 65 0D 0A 43 6F 6F 6B   keep-alive..Cook
1e0 : 69 65 3A 20 70 68 70 62 62 32 6D 79 73 71 6C 5F   ie: phpbb2mysql_
1f0 : 64 61 74 61 3D 61 25 33 41 32 25 33 41 25 37 42   data=a%3A2%3A%7B
200 : 73 25 33 41 31 31 25 33 41 25 32 32 61 75 74 6F   s%3A11%3A%22auto
210 : 6C 6F 67 69 6E 69 64 25 32 32 25 33 42 73 25 33   loginid%22%3Bs%3
220 : 41 30 25 33 41 25 32 32 25 32 32 25 33 42 73 25   A0%3A%22%22%3Bs%
230 : 33 41 36 25 33 41 25 32 32 75 73 65 72 69 64 25   3A6%3A%22userid%
240 : 32 32 25 33 42 73 25 33 41 31 25 33 41 25 32 32   22%3Bs%3A1%3A%22
250 : 31 25 32 32 25 33 42 25 37 44 3B 20 70 68 70 62   1%22%3B%7D; phpb
260 : 62 32 6D 79 73 71 6C 5F 73 69 64 3D 30 30 63 35   b2mysql_sid=00c5
270 : 37 39 64 30 62 31 31 33 35 33 31 30 37 63 35 32   79d0b11353107c52
280 : 36 64 38 38 39 36 64 64 65 36 36 62 3B 20 70 68   6d8896dde66b; ph
290 : 70 62 62 32 6D 79 73 71 6C 5F 74 3D 61 25 33 41   pbb2mysql_t=a%3A
2a0 : 32 25 33 41 25 37 42 69 25 33 41 36 34 30 25 33   2%3A%7Bi%3A640%3
2b0 : 42 69 25 33 41 31 30 38 39 32 33 38 32 39 31 25   Bi%3A1089238291%
2c0 : 33 42 69 25 33 41 36 34 36 25 33 42 69 25 33 41   3Bi%3A646%3Bi%3A
2d0 : 31 30 38 39 34 36 31 36 36 36 25 33 42 25 37 44   1089461666%3B%7D
2e0 : 3B 20 53 51 4D 53 45 53 53 49 44 3D 32 66 66 33   ; SQMSESSID=2ff3
2f0 : 65 34 61 36 38 38 34 39 33 32 65 39 39 61 33 33   e4a6884932e99a33
300 : 32 62 30 65 37 38 61 36 65 38 38 64 0D 0A 0D 0A   2b0e78a6e88d....

--

3:

 length = 536

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 74   /viewtopic.php?t
020 : 3D 36 34 35 20 48 54 54 50 2F 31 2E 31 0D 0A 48   =645 HTTP/1.1..H
030 : 6F 73 74 3A 20 77 65 79 72 2E 61 72 67 65 6E 74   ost: weyr.argent
040 : 63 72 6F 73 73 2E 6F 72 67 0D 0A 55 73 65 72 2D   cross.org..User-
050 : 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C 61 2F 35   Agent: Mozilla/5
060 : 2E 30 20 28 57 69 6E 64 6F 77 73 3B 20 55 3B 20   .0 (Windows; U;
070 : 57 69 6E 20 39 78 20 34 2E 39 30 3B 20 65 6E 2D   Win 9x 4.90; en-
080 : 55 53 3B 20 72 76 3A 31 2E 34 29 20 47 65 63 6B   US; rv:1.4) Geck
090 : 6F 2F 32 30 30 33 30 36 32 34 20 4E 65 74 73 63   o/20030624 Netsc
0a0 : 61 70 65 2F 37 2E 31 20 28 61 78 29 0D 0A 41 63   ape/7.1 (ax)..Ac
0b0 : 63 65 70 74 3A 20 74 65 78 74 2F 78 6D 6C 2C 61   cept: text/xml,a
0c0 : 70 70 6C 69 63 61 74 69 6F 6E 2F 78 6D 6C 2C 61   pplication/xml,a
0d0 : 70 70 6C 69 63 61 74 69 6F 6E 2F 78 68 74 6D 6C   pplication/xhtml
0e0 : 2B 78 6D 6C 2C 74 65 78 74 2F 68 74 6D 6C 3B 71   +xml,text/html;q
0f0 : 3D 30 2E 39 2C 74 65 78 74 2F 70 6C 61 69 6E 3B   =0.9,text/plain;
100 : 71 3D 30 2E 38 2C 76 69 64 65 6F 2F 78 2D 6D 6E   q=0.8,video/x-mn
110 : 67 2C 69 6D 61 67 65 2F 70 6E 67 2C 69 6D 61 67   g,image/png,imag
120 : 65 2F 6A 70 65 67 2C 69 6D 61 67 65 2F 67 69 66   e/jpeg,image/gif
130 : 3B 71 3D 30 2E 32 2C 2A 2F 2A 3B 71 3D 30 2E 31   ;q=0.2,*/*;q=0.1
140 : 0D 0A 41 63 63 65 70 74 2D 4C 61 6E 67 75 61 67   ..Accept-Languag
150 : 65 3A 20 65 6E 2D 75 73 2C 65 6E 3B 71 3D 30 2E   e: en-us,en;q=0.
160 : 35 0D 0A 41 63 63 65 70 74 2D 45 6E 63 6F 64 69   5..Accept-Encodi
170 : 6E 67 3A 20 67 7A 69 70 2C 64 65 66 6C 61 74 65   ng: gzip,deflate
180 : 0D 0A 41 63 63 65 70 74 2D 43 68 61 72 73 65 74   ..Accept-Charset
190 : 3A 20 49 53 4F 2D 38 38 35 39 2D 31 2C 75 74 66   : ISO-8859-1,utf
1a0 : 2D 38 3B 71 3D 30 2E 37 2C 2A 3B 71 3D 30 2E 37   -8;q=0.7,*;q=0.7
1b0 : 0D 0A 4B 65 65 70 2D 41 6C 69 76 65 3A 20 33 30   ..Keep-Alive: 30
1c0 : 30 0D 0A 43 6F 6E 6E 65 63 74 69 6F 6E 3A 20 6B   0..Connection: k
1d0 : 65 65 70 2D 61 6C 69 76 65 0D 0A 52 65 66 65 72   eep-alive..Refer
1e0 : 65 72 3A 20 68 74 74 70 3A 2F 2F 77 65 79 72 2E   er: http://weyr.
1f0 : 61 72 67 65 6E 74 63 72 6F 73 73 2E 6F 72 67 2F   argentcross.org/
200 : 73 69 6C 76 65 72 73 63 61 6C 65 2F 76 69 65 77   silverscale/view
210 : 66 6F 72 75 6D 2E 70 68                           forum.ph

----

4:

 length = 787

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 74   /viewtopic.php?t
020 : 3D 36 34 33 20 48 54 54 50 2F 31 2E 31 0D 0A 48   =643 HTTP/1.1..H
030 : 6F 73 74 3A 20 77 65 79 72 2E 61 72 67 65 6E 74   ost: weyr.argent
040 : 63 72 6F 73 73 2E 6F 72 67 0D 0A 55 73 65 72 2D   cross.org..User-
050 : 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C 61 2F 35   Agent: Mozilla/5
060 : 2E 30 20 28 57 69 6E 64 6F 77 73 3B 20 55 3B 20   .0 (Windows; U;
070 : 57 69 6E 64 6F 77 73 20 4E 54 20 35 2E 31 3B 20   Windows NT 5.1;
080 : 65 6E 2D 55 53 3B 20 72 76 3A 31 2E 36 29 20 47   en-US; rv:1.6) G
090 : 65 63 6B 6F 2F 32 30 30 34 30 31 31 33 0D 0A 41   ecko/20040113..A
0a0 : 63 63 65 70 74 3A 20 61 70 70 6C 69 63 61 74 69   ccept: applicati
0b0 : 6F 6E 2F 78 2D 73 68 6F 63 6B 77 61 76 65 2D 66   on/x-shockwave-f
0c0 : 6C 61 73 68 2C 74 65 78 74 2F 78 6D 6C 2C 61 70   lash,text/xml,ap
0d0 : 70 6C 69 63 61 74 69 6F 6E 2F 78 6D 6C 2C 61 70   plication/xml,ap
0e0 : 70 6C 69 63 61 74 69 6F 6E 2F 78 68 74 6D 6C 2B   plication/xhtml+
0f0 : 78 6D 6C 2C 74 65 78 74 2F 68 74 6D 6C 3B 71 3D   xml,text/html;q=
100 : 30 2E 39 2C 74 65 78 74 2F 70 6C 61 69 6E 3B 71   0.9,text/plain;q
110 : 3D 30 2E 38 2C 69 6D 61 67 65 2F 70 6E 67 2C 69   =0.8,image/png,i
120 : 6D 61 67 65 2F 6A 70 65 67 2C 69 6D 61 67 65 2F   mage/jpeg,image/
130 : 67 69 66 3B 71 3D 30 2E 32 2C 2A 2F 2A 3B 71 3D   gif;q=0.2,*/*;q=
140 : 30 2E 31 0D 0A 41 63 63 65 70 74 2D 4C 61 6E 67   0.1..Accept-Lang
150 : 75 61 67 65 3A 20 65 6E 2D 75 73 2C 65 6E 3B 71   uage: en-us,en;q
160 : 3D 30 2E 35 0D 0A 41 63 63 65 70 74 2D 45 6E 63   =0.5..Accept-Enc
170 : 6F 64 69 6E 67 3A 20 67 7A 69 70 2C 64 65 66 6C   oding: gzip,defl
180 : 61 74 65 0D 0A 41 63 63 65 70 74 2D 43 68 61 72   ate..Accept-Char
190 : 73 65 74 3A 20 49 53 4F 2D 38 38 35 39 2D 31 2C   set: ISO-8859-1,
1a0 : 75 74 66 2D 38 3B 71 3D 30 2E 37 2C 2A 3B 71 3D   utf-8;q=0.7,*;q=
1b0 : 30 2E 37 0D 0A 4B 65 65 70 2D 41 6C 69 76 65 3A   0.7..Keep-Alive:
1c0 : 20 33 30 30 0D 0A 43 6F 6E 6E 65 63 74 69 6F 6E    300..Connection
1d0 : 3A 20 6B 65 65 70 2D 61 6C 69 76 65 0D 0A 52 65   : keep-alive..Re
1e0 : 66 65 72 65 72 3A 20 68 74 74 70 3A 2F 2F 77 65   ferer: http://we
1f0 : 79 72 2E 61 72 67 65 6E 74 63 72 6F 73 73 2E 6F   yr.argentcross.o
200 : 72 67 2F 73 69 6C 76 65 72 73 63 61 6C 65 2F 76   rg/silverscale/v
210 : 69 65 77 66 6F 72 75 6D 2E 70 68 70 3F 66 3D 34   iewforum.php?f=4
220 : 26 73 69 64 3D 37 36 32 35 39 34 37 61 64 63 34   &sid=7625947adc4
230 : 62 61 65 37 36 64 31 33 33 32 64 38 62 38 35 61   bae76d1332d8b85a
240 : 31 33 39 66 61 0D 0A 43 6F 6F 6B 69 65 3A 20 70   139fa..Cookie: p
250 : 68 70 62 62 32 6D 79 73 71 6C 5F 73 69 64 3D 37   hpbb2mysql_sid=7
260 : 36 32 35 39 34 37 61 64 63 34 62 61 65 37 36 64   625947adc4bae76d
270 : 31 33 33 32 64 38 62 38 35 61 31 33 39 66 61 3B   1332d8b85a139fa;
280 : 20 70 68 70 62 62 32 6D 79 73 71 6C 5F 64 61 74    phpbb2mysql_dat
290 : 61 3D 61 25 33 41 32 25 33 41 25 37 42 73 25 33   a=a%3A2%3A%7Bs%3
2a0 : 41 31 31 25 33 41 25 32 32 61 75 74 6F 6C 6F 67   A11%3A%22autolog
2b0 : 69 6E 69 64 25 32 32 25 33 42 73 25 33 41 33 32   inid%22%3Bs%3A32
2c0 : 25 33 41 25 32 32 35 32 30 66 38 30 34 33 66 31   %3A%22520f8043f1
2d0 : 32 32 39 33 34 62 36 62 64 36 35 63 33 35 63 63   22934b6bd65c35cc
2e0 : 64 34 39 38 37 33 25 32 32 25 33 42 73 25 33 41   d49873%22%3Bs%3A
2f0 : 36 25 33 41 25 32 32 75 73 65 72 69 64 25 32 32   6%3A%22userid%22
300 : 25 33 42 69 25 33 41 34 30 25 33 42 25 37 44 0D   %3Bi%3A40%3B%7D.
310 : 0A 0D 0A                                          ...

--

5:

 length = 259

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 70   /viewtopic.php?p
020 : 3D 33 33 36 30 26 73 69 64 3D 38 64 35 65 39 35   =3360&sid=8d5e95
030 : 38 37 63 30 39 33 61 36 33 35 64 65 62 33 63 65   87c093a635deb3ce
040 : 33 30 32 38 64 64 36 36 39 33 20 48 54 54 50 2F   3028dd6693 HTTP/
050 : 31 2E 30 0D 0A 48 6F 73 74 3A 20 77 65 79 72 2E   1.0..Host: weyr.
060 : 61 72 67 65 6E 74 63 72 6F 73 73 2E 6F 72 67 0D   argentcross.org.
070 : 0A 55 73 65 72 2D 41 67 65 6E 74 3A 20 6D 73 6E   .User-Agent: msn
080 : 62 6F 74 2F 30 2E 31 31 20 28 2B 68 74 74 70 3A   bot/0.11 (+http:
090 : 2F 2F 73 65 61 72 63 68 2E 6D 73 6E 2E 63 6F 6D   //search.msn.com
0a0 : 2F 6D 73 6E 62 6F 74 2E 68 74 6D 29 0D 0A 41 63   /msnbot.htm)..Ac
0b0 : 63 65 70 74 3A 20 74 65 78 74 2F 68 74 6D 6C 0D   cept: text/html.
0c0 : 0A 41 63 63 65 70 74 2D 45 6E 63 6F 64 69 6E 67   .Accept-Encoding
0d0 : 3A 20 69 64 65 6E 74 69 74 79 3B 71 3D 31 2E 30   : identity;q=1.0
0e0 : 0D 0A 46 72 6F 6D 3A 20 6D 73 6E 62 6F 74 28 61   ..From: msnbot(a
0f0 : 74 29 6D 69 63 72 6F 73 6F 66 74 2E 63 6F 6D 0D   t)microsoft.com.
100 : 0A 0D 0A                                          ...

----

6:

 length = 151

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 70   /viewtopic.php?p
020 : 3D 32 39 39 39 26 61 6D 70 20 48 54 54 50 2F 31   =2999&amp HTTP/1
030 : 2E 30 0D 0A 43 6F 6E 6E 65 63 74 69 6F 6E 3A 20   .0..Connection:
040 : 63 6C 6F 73 65 0D 0A 48 6F 73 74 3A 20 77 65 79   close..Host: wey
050 : 72 2E 61 72 67 65 6E 74 63 72 6F 73 73 2E 6F 72   r.argentcross.or
060 : 67 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A 20 69   g..User-Agent: i
070 : 61 5F 61 72 63 68 69 76 65 72 0D 0A 46 72 6F 6D   a_archiver..From
080 : 3A 20 63 72 61 77 6C 65 72 40 61 6C 65 78 61 2E   : crawler at ...2693...
090 : 63 6F 6D 0D 0A 0D 0A                              com....

7:

 length = 770

000 : 47 45 54 20 2F 73 69 6C 76 65 72 73 63 61 6C 65   GET /silverscale
010 : 2F 76 69 65 77 74 6F 70 69 63 2E 70 68 70 3F 74   /viewtopic.php?t
020 : 3D 36 34 34 20 48 54 54 50 2F 31 2E 31 0D 0A 41   =644 HTTP/1.1..A
030 : 63 63 65 70 74 3A 20 69 6D 61 67 65 2F 67 69 66   ccept: image/gif
040 : 2C 20 69 6D 61 67 65 2F 78 2D 78 62 69 74 6D 61   , image/x-xbitma
050 : 70 2C 20 69 6D 61 67 65 2F 6A 70 65 67 2C 20 69   p, image/jpeg, i
060 : 6D 61 67 65 2F 70 6A 70 65 67 2C 20 61 70 70 6C   mage/pjpeg, appl
070 : 69 63 61 74 69 6F 6E 2F 78 2D 73 68 6F 63 6B 77   ication/x-shockw
080 : 61 76 65 2D 66 6C 61 73 68 2C 20 61 70 70 6C 69   ave-flash, appli
090 : 63 61 74 69 6F 6E 2F 76 6E 64 2E 6D 73 2D 70 6F   cation/vnd.ms-po
0a0 : 77 65 72 70 6F 69 6E 74 2C 20 61 70 70 6C 69 63   werpoint, applic
0b0 : 61 74 69 6F 6E 2F 76 6E 64 2E 6D 73 2D 65 78 63   ation/vnd.ms-exc
0c0 : 65 6C 2C 20 61 70 70 6C 69 63 61 74 69 6F 6E 2F   el, application/
0d0 : 6D 73 77 6F 72 64 2C 20 2A 2F 2A 0D 0A 52 65 66   msword, */*..Ref
0e0 : 65 72 65 72 3A 20 68 74 74 70 3A 2F 2F 77 77 77   erer: http://www
0f0 : 2E 61 72 67 65 6E 74 63 72 6F 73 73 2E 6F 72 67   .argentcross.org
100 : 2F 7E 62 61 64 67 65 72 2F 6D 75 74 74 65 72 69   /~badger/mutteri
110 : 6E 67 73 2F 64 69 6B 61 73 74 69 73 2E 68 74 6D   ngs/dikastis.htm
120 : 6C 0D 0A 41 63 63 65 70 74 2D 4C 61 6E 67 75 61   l..Accept-Langua
130 : 67 65 3A 20 65 6E 2D 75 73 0D 0A 2D 2D 2D 2D 2D   ge: en-us..-----
140 : 2D 2D 2D 2D 2D 2D 2D 2D 2D 2D 3A 20 2D 2D 2D 2D   ----------: ----
150 : 2D 20 2D 2D 2D 2D 2D 2D 2D 0D 0A 55 73 65 72 2D   - -------..User-
160 : 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C 61 2F 34   Agent: Mozilla/4
170 : 2E 30 20 28 63 6F 6D 70 61 74 69 62 6C 65 3B 20   .0 (compatible;
180 : 4D 53 49 45 20 36 2E 30 3B 20 57 69 6E 64 6F 77   MSIE 6.0; Window
190 : 73 20 4E 54 20 35 2E 31 3B 20 2E 4E 45 54 20 43   s NT 5.1; .NET C
1a0 : 4C 52 20 31 2E 31 2E 34 33 32 32 29 0D 0A 48 6F   LR 1.1.4322)..Ho
1b0 : 73 74 3A 20 77 65 79 72 2E 61 72 67 65 6E 74 63   st: weyr.argentc
1c0 : 72 6F 73 73 2E 6F 72 67 0D 0A 43 6F 6E 6E 65 63   ross.org..Connec
1d0 : 74 69 6F 6E 3A 20 4B 65 65 70 2D 41 6C 69 76 65   tion: Keep-Alive
1e0 : 0D 0A 43 6F 6F 6B 69 65 3A 20 70 68 70 62 62 32   ..Cookie: phpbb2
1f0 : 6D 79 73 71 6C 5F 64 61 74 61 3D 61 25 33 41 32   mysql_data=a%3A2
200 : 25 33 41 25 37 42 73 25 33 41 31 31 25 33 41 25   %3A%7Bs%3A11%3A%
210 : 32 32 61 75 74 6F 6C 6F 67 69 6E 69 64 25 32 32   22autologinid%22
220 : 25 33 42 73 25 33 41 33 32 25 33 41 25 32 32 38   %3Bs%3A32%3A%228
230 : 38 62 35 37 36 30 63 35 39 32 65 37 64 36 34 35   8b5760c592e7d645
240 : 38 30 37 38 63 61 36 35 32 66 63 34 65 36 38 25   8078ca652fc4e68%
250 : 32 32 25 33 42 73 25 33 41 36 25 33 41 25 32 32   22%3Bs%3A6%3A%22
260 : 75 73 65 72 69 64 25 32 32 25 33 42 69 25 33 41   userid%22%3Bi%3A
270 : 34 34 25 33 42 25 37 44 3B 20 70 68 70 62 62 32   44%3B%7D; phpbb2
280 : 6D 79 73 71 6C 5F 73 69 64 3D 34 63 34 63 38 65   mysql_sid=4c4c8e
290 : 66 38 30 31 64 33 35 30 66 33 39 39 33 39 64 65   f801d350f39939de
2a0 : 65 61 30 35 63 32 36 36 39 65 3B 20 70 68 70 62   ea05c2669e; phpb
2b0 : 62 32 6D 79 73 71 6C 5F 74 3D 61 25 33 41 32 25   b2mysql_t=a%3A2%
2c0 : 33 41 25 37 42 69 25 33 41 36 34 33 25 33 42 69   3A%7Bi%3A643%3Bi
2d0 : 25 33 41 31 30 38 39 38 36 39 36 33 33 25 33 42   %3A1089869633%3B
2e0 : 69 25 33 41 36 34 34 25 33 42 69 25 33 41 31 30   i%3A644%3Bi%3A10
2f0 : 38 39 38 36 39 36 37 36 25 33 42 25 37 44 0D 0A   89869676%3B%7D..
300 : 0D 0A                                             ..





More information about the Snort-sigs mailing list