<html>
Try this   Not sure what the sid is but it will help<br><br>
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 3052 (msg:"WEB-MISC
APC Network dot dot Bug";
urlcontent:"/\../\../\../\..\/\../WINNT/repair/"; flags: A+;
classtype:attempted-admin; sid:  ; rev:1;) <br><br>
At 11:44 AM 9/25/2001 -0400, cdowns wrote:<br>
<blockquote type=cite class=cite cite>I have created this rule for one of
my IDS boxses but there is something wrong does anyone see what could be
wrong with this ? im overlooking something simple im sure. <br><br>
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 3052 (msg:WEB-MISC APC
Network dot dot Bug";
uricontent:"/\../\../\../\..\/\../WINNT/repair/"; flags:A+;
class <br>
type:attempted-admin;) <br><br>
thanks <br>
-D <br>
<pre>-- 
--------------------------------
 Network Security Administrator
     Christopher M Downs
    Skillsoft Corporation
  <a href="http://www.skillsoft.com">http://www.skillsoft.com</a>
"you can't point and click your 
 way to super cracker status -" 
--------------------------------</pre><font face="Courier New, Courier"></font> 
</blockquote>
<x-sigsep><p></x-sigsep>
<b>Wayne T Work<br>
Manager of Information Systems Security<br>
Cybergnostic.net, Inc.<br>
(O) 203-331-4417<br>
(C) 203-217-5004<br>
<a href="http://www.cybergnostic.com/">www.cybergnostic.</a><a href="http://www.cybergnostic.com/">com</a></b></html>