<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">

<head>
<meta http-equiv=Content-Type content="text/html; charset=ks_c_5601-1987">
<meta name=Generator content="Microsoft Word 12 (filtered medium)">
<style>
<!--
 /* Font Definitions */
 @font-face
        {font-family:" ";
        panose-1:2 11 5 3 2 0 0 2 0 4;}
@font-face
        {font-family:"\@ ";
        panose-1:2 11 5 3 2 0 0 2 0 4;}
 /* Style Definitions */
 p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        text-align:justify;
        text-justify:inter-ideograph;
        text-autospace:none;
        word-break:break-hangul;
        font-size:10.0pt;
        font-family:" ";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
p.MsoAcetate, li.MsoAcetate, div.MsoAcetate
        {mso-style-priority:99;
        mso-style-link:"dz  ؽƮ Char";
        margin:0cm;
        margin-bottom:.0001pt;
        text-align:justify;
        text-justify:inter-ideograph;
        text-autospace:none;
        word-break:break-hangul;
        font-size:9.0pt;
        font-family:" ";}
span.Char
        {mso-style-name:"dz  ؽƮ Char";
        mso-style-priority:99;
        mso-style-link:"dz  ؽƮ";
        font-family:" ";}
span.EmailStyle19
        {mso-style-type:personal-compose;
        font-family:" ";
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;}
 /* Page Definitions */
 @page Section1
        {size:612.0pt 792.0pt;
        margin:3.0cm 72.0pt 72.0pt 72.0pt;}
div.Section1
        {page:Section1;}
-->
</style>
<!--[if gte mso 9]><xml>
 <o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
 <o:shapelayout v:ext="edit">
  <o:idmap v:ext="edit" data="1" />
 </o:shapelayout></xml><![endif]-->
</head>

<body lang=KO link=blue vlink=purple>

<div class=Section1>

<p class=MsoNormal><span lang=EN-US>this is description about isdataat option
in snort manual.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>isdataat<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>Verify that the payload has data at a
specified location, optionally looking for data relative to the end of<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>the previous content match.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>Format<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>isdataat:<int>[,relative];<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>Example<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>alert tcp any any -> any 111
(content:"PASS"; isdataat:50,relative; content:!"|0a|";
distance:0;)<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>This rule looks for the string PASS exists
in the packet, then verifies there is at least 50 bytes after the end<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>of the string PASS, then verifies that
there is not a newline character within 50 bytes of the end of the PASS<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>string.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>so i tested.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>my test rule is this<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>alert tcp any any -> any any
(content:"kmsjlove"; nocase; depth:8; isdataat:50, relative;
content:"|0a|"; distance:0;)<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>and i send to packet.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>1. 6b6d736a6c6f7665505050500a<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>this didn't alert.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>2.
6b6d736a6c6f7665505050505050505050505050505050505050505050505050505050505050505050505050505050505050505050500a50505050<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>there is "|0a|" on offset 46 from
first "|50|"<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>this did alert.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>3. 6b6d736a6c6f76655050505050505050505050505050505050505050505050505050505050505050505050505050505050505050505050505050505050500a<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>there is "|0a|" on offset 53 from
first "|50|"<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>this did alert.<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>what's wrong?<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>manual tell us that "verifies that
there is not a newline character within 50 bytes of the end of the PASS
string."<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>by my test, this manual will have to edited<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US>"verifies that there is not a newline
character after the end of the PASS string."<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

<p class=MsoNormal><span lang=EN-US>right? or not?<o:p></o:p></span></p>

<p class=MsoNormal><span lang=EN-US><o:p> </o:p></span></p>

</div>

</body>

</html>