<div dir="ltr">Hi YM,<div><br></div><div>a quick grep through the ruleset shows that those that byte_extract 10 bytes all use the "string" modifier. byte_extract of hex data is limited to 4 bytes.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 29, 2016 at 3:57 PM, Y M <span dir="ltr"><<a href="mailto:snort@...3751..." target="_blank">snort@...3751...</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">




<div dir="ltr">
<div style="font-size:12pt;color:#000000;background-color:#ffffff;font-family:Calibri,Arial,Helvetica,sans-serif">
<p>Hello all,</p>
<p><br>
</p>
<p>While trying to use the byte_extract, I received an error message "byte_extract rule option cannot extract more than 4 bytes.". Looking at some existing signatures, some of the have 10 bytes to extract. I was not able to infer this from the documentation.
 Any idea what is the maximum allowed number of bytes to extract?</p>
<p><br>
</p>
<p>Thanks.</p><span class="HOEnZb"><font color="#888888">
<p>YM<br>
</p>
</font></span></div>
</div>

<br>------------------------------------------------------------------------------<br>
Transform Data into Opportunity.<br>
Accelerate data analysis in your applications with<br>
Intel Data Analytics Acceleration Library.<br>
Click to learn more.<br>
<a href="http://pubads.g.doubleclick.net/gampad/clk?id=278785471&iu=/4140" rel="noreferrer" target="_blank">http://pubads.g.doubleclick.net/gampad/clk?id=278785471&iu=/4140</a><br>_______________________________________________<br>
Snort-sigs mailing list<br>
<a href="mailto:Snort-sigs@lists.sourceforge.net">Snort-sigs@...639...forge.net</a><br>
<a href="https://lists.sourceforge.net/lists/listinfo/snort-sigs" rel="noreferrer" target="_blank">https://lists.sourceforge.net/lists/listinfo/snort-sigs</a><br>
<a href="http://www.snort.org" rel="noreferrer" target="_blank">http://www.snort.org</a><br>
<br>
<br>
Please visit <a href="http://blog.snort.org" rel="noreferrer" target="_blank">http://blog.snort.org</a> for the latest news about Snort!<br></blockquote></div><br></div>