suricata http.request_body 和 http_client_body 的区别？
hack2xia 2023-01-03 16:39:29 +08:00 1373 次点击这是一个创建于 1015 天前的主题，其中的信息可能已经有所发展或是发生改变。
我现在的工作是写入侵检测规则，suricata 关于 http 协议关键字部分也好好看了，但依然有问题不太懂。 官方手册 v6.0.9 中章节 6.12.20 中指出： http.request_body replaces the previous keyword name: http_client_body. You may continue +to use the previous name, but it’s recommended that rules be converted to use +the new name. 实际上，我测试了一下，似乎不能直接替代：
# 没问题 alert http any any -> any any (msg:"Victure WR1200 系统命令执行漏洞 (CVE-2021-43283)"; flow:to_server,established; content:"password="; http_client_body; nocase; sid:650013; rev:1; gid:879013; priority:4;) # 单纯只是把上面的 http_client_body 替换成了 http.request_body 报 error：nocase needs preceding content option # 翻译过来是：nocase 需要前面的内容选项 alert http any any -> any any (msg:"Victure WR1200 系统命令执行漏洞 (CVE-2021-43283)"; flow:to_server,established; content:"password="; http.request_body; nocase; sid:650014; rev:1; gid:879014; priority:4;) # 如果把 nocase 放到 content 的后面。报 error：rule 650015 setup buffer http_client_body but didn't add matches to it # 翻译过来是：规则 650015 设置缓冲区 http_client_body 但没有添加匹配项 alert http any any -> any any (msg:"Victure WR1200 系统命令执行漏洞 (CVE-2021-43283)"; flow:to_server,established; content:"password="; nocase; http.request_body; sid:650015; rev:1; gid:879015; priority:4;) # 如果把 http.request_body 放到 content 的前面，无报错 alert http any any -> any any (msg:"Victure WR1200 系统命令执行漏洞 (CVE-2021-43283)"; flow:to_server,established; http.request_body; content:"password="; nocase; sid:650016; rev:1; gid:879016; priority:4;) 所以，我感觉 http_client_body 是 content modifier ，而 http.request_body 是 sticky buffer 。 不知道我的理解对不对？
 | 1 lambdaq 2023-01-03 17:01:13 +08:00 盲猜一个解码了一个没解码 |
 | 2 daxin945 2023-01-03 17:11:45 +08:00 抛转引玉了 我个人理解 是不同的 suricata 版本支持的 Snort 规则版本不同 本质上都是指的请求体 但是具体的细节没太抠过 在实际写 Snort 的时候 我习惯于用 http_client_body suricata 版本 6.0.4 |
 | 3 hack2xia OP 我也主要用的 http_client_body 。 但有时候可能会有点问题，比如： content:"balabala";http_client_body;pcre:/<regex>/iPR; 由于 R 的存在，它类似于 distance:0 ，pcre 这里要和前面在同一个 sticky buffer 。上面的规则会报错。 http.request_body;content:"balabala";pcre:/<regex>/iPR; 则不会报错。 当然，不写 R 应该是没问题的。 |
| 4 hack2xia OP |
| 5 hack2xia OP  1 上面链接的问题，看到有人回答： Removed 'http_client_body' because we have 'http.request_body' in Suricata 5.0. Also, if you did want to use 'http_client_body', it would come after the content in which you're hoping to match. 'http.request_body' is a sticky buffer so all content following it are considered to be part of that buffer 从他的意思来看，我的理解应该没问题 |
Select Language