bro - 提取匹配兄弟签名的文件

Question

我已经编写了一个签名来匹配 http 响应 中的小型 iframe。

这工作正常，我在 signatures.log 和 notice.log 中得到一个条目。

我想提取任何命中此 sig 的文件，以便我可以仔细查看，如果我查看 signature_match 事件，我可以看到 http数据变量中的内容-

我应该只将这些数据输出到文件中，还是有办法使用 file_extract 功能正确提取文件。

我想用更多的 sigs 来扩展它，所以文件提取是我的首选方法。

我应该捕获 sig_match 事件然后“调用”文件提取还是捕获 file_new 事件并以某种方式匹配 sig？

Answer 1

您可以做一些简单但有警告的事情。这将仅匹配文件的前 4096 个字节，方法是使用 fa_file 记录提供的 bof_buffer(文件缓冲区开始)。我们可以使用 file_sniff 事件查看该记录，看看是否可以在那里找到您要查找的内容。

event file_sniff(f: fa_file, meta: fa_metadata)
    {
    if ( /<[iI][fF][rR][aA][mM][eE][[:blank:]]/ in f$bof_buffer )
        {
        Files::add_analyzer(f, Files::ANALYZER_EXTRACT);
        }
    }

让这个警告变得不那么重要的是，您实际上没有机会在 file_sniff 事件之后提取完整的文件。 Bro 总是以流式方式对数据进行操作，它不会永远将数据保存在内存中，因此我们只维护这个小缓冲区，以便我们在将文件刷新到分析器(例如文件提取分析器)之前对文件做出决定.

您实际上是想提取整个文件还是只是想提取 iframe 的 url？