<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'>Thanks Geoffrey.<br><br>Interesting. My interpretation of the documentation and aligning that with the TCP header, the "E" and "C" flags will check whether the last 2 bits of of the higher order bits of byte offset 13, i.e.: CWR and ECE. Precisely, I was attempting to address the match against the first 3 bits of the lower order bits of byte offset 12 excluding the ECN-E/NS bit, similar to what is described in RFC4413, or at least my interpretation of it.<br><br>I could be completely off here, so please correct if I am wrong.<br><br>Thanks again!<br>YM<br><br><div><hr id="stopSpelling">Date: Tue, 28 Jul 2015 13:38:29 -0400<br>Subject: Re: [Snort-sigs] TCP header reserved bits<br>From: gserrao@...253...435...<br>To: snort@...3751...<br>CC: snort-sigs@lists.sourceforge.net<br><br><div dir="ltr"><div>YM,<br><br></div>It looks like you can still use 'flags:2' to check if the low order reserved bits field in a TCP header have been set. <br><div><div><br>229             case '1': /* reserved bit flags */<br>230             case 'c':<br>231             case 'C':<br>232                 idx->tcp_flags |= R_CWR; /* Congestion Window Reduced, RFC 3168 */<br>233                 break;<br>234 <br>235             case '2': /* reserved bit flags */<br>236             case 'e':<br>237             case 'E':<br>238                 idx->tcp_flags |= R_ECE; /* ECN echo, RFC 3168 */<br>239                 break;<br><br><br><br><br>From the online snort manual under the 'flags' keyword section: <br><br>The reserved bits '1' and '2' have been replaced with 'C' and 'E', respectively, 
to match RFC 3168, "The Addition of Explicit Congestion Notification (ECN) to IP".
The old values of '1' and '2' are still valid for the <tt>flag</tt> keyword, but
are now deprecated.

<br></div></div></div><div class="ecxgmail_extra"><br><div class="ecxgmail_quote">On Tue, Jul 28, 2015 at 12:46 PM, Y M <span dir="ltr"><<a href="mailto:snort@...3751..." target="_blank">snort@...3751...</a>></span> wrote:<br><blockquote class="ecxgmail_quote" style="border-left:1px #ccc solid;padding-left:1ex;">


<div><div dir="ltr">I was wondering if there is a content modifier or some way to check whether the low order reserved bits of byte offset 12 in the TCP header is set. There is nothing I could find about this in the documentation. I also checked gid:129 rules and couldn't infer that the check/detection is available.<br><br>Any pointers or help is welcome.<br><br>Thanks.<span class="ecxHOEnZb"><font color="#888888"><br>YM<br>                                    </font></span></div></div>
<br>------------------------------------------------------------------------------<br>
<br>_______________________________________________<br>
Snort-sigs mailing list<br>
<a href="mailto:Snort-sigs@lists.sourceforge.net">Snort-sigs@...639...forge.net</a><br>
<a href="https://lists.sourceforge.net/lists/listinfo/snort-sigs" rel="noreferrer" target="_blank">https://lists.sourceforge.net/lists/listinfo/snort-sigs</a><br>
<a href="http://www.snort.org" rel="noreferrer" target="_blank">http://www.snort.org</a><br>
<br>
<br>
Please visit <a href="http://blog.snort.org" rel="noreferrer" target="_blank">http://blog.snort.org</a> for the latest news about Snort!<br></blockquote></div><br></div></div>                                     </div></body>
</html>