☰

为什么 snort 无法警告这个 pcap？

tag-icon • tag-icon snort pcap ids
为什么 snort 无法警告这个 pcap？

规则是

alert tcp any any <> any any (sid:11111;content:"GET";)

一个名为http.pcap的文件，其中包含内容

GET /s?wd=%E7%99%BE%E5%BA%A6 HTTP/1.0

一个名为 1.conf 的配置文件

include /home/zhzhy/tmp/my.rules

然后我跑过去，哼了一声

sudo snort -c /home/zhzhy/tmp/1.conf -r pcap/http.pcap

结果是

Action Stats:
     Alerts:            0 (  0.000%)
     Logged:            0 (  0.000%)
     Passed:            0 (  0.000%)
Limits:
      Match:            0
      Queue:            0
        Log:            0
      Event:            0
      Alert:            0
Verdicts:
      Allow:           72 (100.000%)

为什么？当它检测到“GET”时不应该发出警报吗？

相关内容