email - 我将如何编写规则来检测具有随机名称、.xls 和特定文件大小的电子邮件附件？

Question

尝试编写一个规则来检测进入网络的电子邮件流量:

1. 发送到特定域(例如 gmail.com)

2. 是.xls文件

3. 文件名的名称长度最多为 75 个字节

4. 是一个电子邮件附件，这个附件是已知的并且永远不会改变的特定大小(例如，附件大小为 100000 字节)

请注意，我是 snort 的初学者。顺便说一句，到目前为止我只做到了这一点:

content:"|05|gmail|03|com|00|"; nocase; pcre:"/([a-zA-Z0-9] {1,75}\.xls)";

不确定如何在那里进行文件大小附件检测，或者即使用于检测文件名和类型的 pcre 位是否正确。感谢您的帮助。

Answer 1

我从来没有使用过snort，但是从我在文档中收集到的信息来看，您的模式似乎可以这样写:

• 如果文件名中只允许字母和数字:

  pcre:"/\/[a-zA-Z0-9]{1,75}\.xls$/"
  

• 否则(允许任何类型的文件名字符):

  pcre:"/\/[^\/]{1,75}\.xls$/"
  

请注意，根据文档中的示例，模式需要包含在分隔符 (此处为斜杠) 之间。因此，必须在模式中转义所有文字斜杠。