home *** CD-ROM | disk | FTP | other *** search
/ PC Plus SuperCD (UK) 1999 October / pcp156a.iso / linux / snort / snort-lib < prev    next >
Encoding:
Text File  |  1999-08-04  |  19.4 KB  |  282 lines
  1. # These rules are trying to log data to "sensitive" ports, plus alert on truly
  2. # suspicious activity.  Note that you must change the addresses to reflect
  3. # your local network, these rules are currently setup for an RFC 1918 address
  4. # space.
  5.  
  6. # Some of these rules may not be suspicious in your network environment, and
  7. # using all of the rules at the same time may lead to serious packet loss
  8. # on slower machines.  YMMV, use with caution, standard disclaimers apply. :)
  9.  
  10. # If you need help writing a specific rule, feel free to drop me a line!
  11.  
  12. #  -Marty (roesch@clark.net) 
  13.  
  14. # Credits:
  15.  
  16. # Ron Gula <support@network-defense.com> of Network Security Wizards
  17.  
  18. # Martin Markgraf <martin@mail.du.gtn.com>  
  19.  
  20. ##################################
  21. # alert on interesting packets
  22. ##################################
  23.  
  24.  
  25. # this library is for hostile scans and protocol pokes
  26.  
  27. # Fragmentation Attacks
  28. alert tcp any any -> any any (msg:"Tiny Fragments, possible hostile activity"; MinFrag: 128;)
  29.  
  30. # look for stealth port scans/sweeps
  31. alert tcp any any -> 192.168.1.0/24 any (msg:"SYN FIN Scan"; flags: SF;)
  32. alert tcp any any -> 192.168.1.0/24 any (msg:"FIN Scan"; flags: F;)
  33. alert tcp any any -> 192.168.1.0/24 any (msg:"NULL Scan"; flags: 0;)
  34. alert tcp any any -> 192.168.1.0/24 any (msg:"XMAS Scan"; flags: FPU;)
  35. alert tcp any any -> 192.168.1.0/24 any (msg:"Full XMAS Scan"; flags: SRAFPU;)
  36. alert tcp any any -> 192.168.1.0/24 any (flags: A; ack: 0; msg:"NMAP TCP ping!";)
  37.  
  38. # detect fingerprinting attempts
  39. alert tcp any any -> 192.168.1.0/24 any (msg:"Possible NMAP Fingerprint attempt"; flags: SFPU;)
  40. alert tcp any any -> 192.168.1.0/24 any (msg:"Possible Queso Fingerprint attempt"; flags: S12;)
  41.  
  42. # Windows Traceroutes
  43. alert icmp any any -> 192.168.1.0/24 any (msg:"Windows Traceroute"; TTL: 1; itype: 8;)
  44.  
  45. # Standard Traceroutes
  46. alert icmp any any -> 192.168.1.0/24 any (msg:"Traceroute"; TTL: 1;)
  47.  
  48. # Watch for WinGate Scans
  49. alert tcp any any -> 192.168.1.0/24 1080 (msg:"WinGate 1080 Attempt";)
  50. alert udp any any -> 192.168.1.0/24 1080 (msg:"WinGate 1080 Attempt";)
  51. alert tcp any any -> 192.168.1.0/24 8080 (msg:"WinGate 8080 Attempt";)
  52. alert udp any any -> 192.168.1.0/24 8080 (msg:"WinGate 8080 Attempt";)
  53.  
  54. # submitted by Nick Rogness and Jim Forster
  55.  
  56. # Backdoor Default Ports (not useful on networks with outgoing traffic)
  57. alert udp any any -> 192.168.1.0/24 31 (msg:"Hackers Paradise";)
  58. alert udp any any -> 192.168.1.0/24 456 (msg:"Hackers Paradise";)
  59. alert udp any any -> 192.168.1.0/24 555 (msg:"iNi Killer/Phase Zero/Stealth Spy";)
  60. alert udp any any -> 192.168.1.0/24 666 (msg:"Satanz Backdoor";)
  61. alert udp any any -> 192.168.1.0/24 1001 (msg:"Silencer, WebEX";)
  62. alert udp any any -> 192.168.1.0/24 1170 (msg:"Psyber Stream";)
  63. alert udp any any -> 192.168.1.0/24 1234 (msg:"Ultors Trojan";)
  64. alert udp any any -> 192.168.1.0/24 1245 (msg:"VooDoo Doll";)
  65. alert udp any any -> 192.168.1.0/24 1492 (msg:"FTP99cmp";)
  66. alert udp any any -> 192.168.1.0/24 1600 (msg:"Shivka-Burka";)
  67. alert udp any any -> 192.168.1.0/24 1807 (msg:"Spy Sender";)
  68. alert udp any any -> 192.168.1.0/24 1981 (msg:"ShockRave";)
  69. alert udp any any -> 192.168.1.0/24 1999 (msg:"Back Door";)
  70. alert udp any any -> 192.168.1.0/24 2001 (msg:"Trojan Cow";)
  71. alert udp any any -> 192.168.1.0/24 2023 (msg:"Ripper Pro";)
  72. alert udp any any -> 192.168.1.0/24 2115 (msg:"Bugs";)
  73. alert udp any any -> 192.168.1.0/24 2140 (msg:"Deep Throat/Invasor";)
  74. alert udp any any -> 192.168.1.0/24 2565 (msg:"Striker";)
  75. alert udp any any -> 192.168.1.0/24 2801 (msg:"Phineas Phucker";)
  76. alert udp any any -> 192.168.1.0/24 2989 (msg:"Rat backdoor";)
  77. alert udp any any -> 192.168.1.0/24 3024 (msg:"WinCrash";)
  78. alert udp any any -> 192.168.1.0/24 3150 (msg:"Deep Throat/Invasor";)
  79. alert udp any any -> 192.168.1.0/24 3700 (msg:"Portal Of Doom";)
  80. alert udp any any -> 192.168.1.0/24 4092 (msg:"WinCrash";)
  81. alert udp any any -> 192.168.1.0/24 4950 (msg:"ICQ Trojan";)
  82. alert udp any any -> 192.168.1.0/24 5000 (msg:"Sockets De Troie";)
  83. alert udp any any -> 192.168.1.0/24 5001 (msg:"Sockets De Troie";)
  84. alert udp any any -> 192.168.1.0/24 5321 (msg:"FireHotcker";)
  85. alert udp any any -> 192.168.1.0/24 5400 (msg:"Blade Runner";)
  86. alert udp any any -> 192.168.1.0/24 5401 (msg:"Blade Runner";)
  87. alert udp any any -> 192.168.1.0/24 5402 (msg:"Blade Runner";)
  88. alert udp any any -> 192.168.1.0/24 5569 (msg:"Robo-Hack";)
  89. alert udp any any -> 192.168.1.0/24 5742 (msg:"WinCrash";)
  90. alert udp any any -> 192.168.1.0/24 6670 (msg:"Deep Throat";)
  91. alert udp any any -> 192.168.1.0/24 6711 (msg:"Deep Throat/SubSeven";)
  92. alert udp any any -> 192.168.1.0/24 7000 (msg:"Remote Grab";)
  93. alert udp any any -> 192.168.1.0/24 7300 (msg:"Net Monitor";)
  94. alert udp any any -> 192.168.1.0/24 7301 (msg:"Net Monitor";)
  95. alert udp any any -> 192.168.1.0/24 7302 (msg:"Net Monitor";)
  96. alert udp any any -> 192.168.1.0/24 7303 (msg:"Net Monitor";)
  97. alert udp any any -> 192.168.1.0/24 7304 (msg:"Net Monitor";)
  98. alert udp any any -> 192.168.1.0/24 7305 (msg:"Net Monitor";)
  99. alert udp any any -> 192.168.1.0/24 7306 (msg:"Net Monitor";)
  100. alert udp any any -> 192.168.1.0/24 7307 (msg:"Net Monitor";)
  101. alert udp any any -> 192.168.1.0/24 7308 (msg:"Net Monitor";)
  102. alert udp any any -> 192.168.1.0/24 7789 (msg:"ICKiller";)
  103. alert udp any any -> 192.168.1.0/24 9872 (msg:"Portal Of Doom";)
  104. alert udp any any -> 192.168.1.0/24 10067 (msg:"Portal Of Doom";)
  105. alert tcp any any -> 192.168.1.0/24 10752 (msg:"Linux mountd backdoor";)
  106. alert udp any any -> 192.168.1.0/24 11223 (msg:"Progenic Trojan";)
  107. alert udp any any -> 192.168.1.0/24 12223 (msg:"Hack99-Keylogger";)
  108. alert tcp any any -> 192.168.1.0/24 12345 (msg:"Netbus/GabanBus";)
  109. alert tcp any any -> 192.168.1.0/24 12346 (msg:"Netbus/GabanBus";)
  110. alert tcp any any -> 192.168.1.0/24 12361 (msg:"Whack-a-mole";)
  111. alert tcp any any -> 192.168.1.0/24 12362 (msg:"Whack-a-mole";)
  112. alert udp any any -> 192.168.1.0/24 16969 (msg:"Portal Of Doom/Priority";)
  113. alert udp any any -> 192.168.1.0/24 20000 (msg:"Millenium";)
  114. alert udp any any -> 192.168.1.0/24 20001 (msg:"Millenium";)
  115. alert udp any any -> 192.168.1.0/24 20034 (msg:"NetBus PRO";)
  116. alert udp any any -> 192.168.1.0/24 21544 (msg:"Girlfriend";)
  117. alert udp any any -> 192.168.1.0/24 22222 (msg:"Prosiak";)
  118. alert udp any any -> 192.168.1.0/24 26274 (msg:"Delta";)
  119. alert udp any any -> 192.168.1.0/24 31337 (msg:"Back Orifice";)
  120. alert udp any any -> 192.168.1.0/24 31338 (msg:"Deep Back Orifice";)
  121. alert udp any any -> 192.168.1.0/24 31339 (msg:"NetSpy";)
  122. alert udp any any -> 192.168.1.0/24 31666 (msg:"BOWhack";)
  123. alert udp any any -> 192.168.1.0/24 33333 (msg:"Prosiak";)
  124. alert udp any any -> 192.168.1.0/24 34324 (msg:"Big Gluck/TelnetSrv";)
  125. alert udp any any -> 192.168.1.0/24 40412 (msg:"The Spy";)
  126. alert udp any any -> 192.168.1.0/24 40421 (msg:"Masters Paradise";)
  127. alert udp any any -> 192.168.1.0/24 40422 (msg:"Masters Paradise";)
  128. alert udp any any -> 192.168.1.0/24 40423 (msg:"Masters Paradise";)
  129. alert udp any any -> 192.168.1.0/24 40426 (msg:"Masters Paradise";)
  130. alert udp any any -> 192.168.1.0/24 47262 (msg:"Delta";)
  131. alert udp any any -> 192.168.1.0/24 50505 (msg:"Sockets de Troie";)
  132. alert udp any any -> 192.168.1.0/24 50776 (msg:"Fore";)
  133. alert udp any any -> 192.168.1.0/24 53001 (msg:"Remote Win Shutdown";)
  134. alert udp any any -> 192.168.1.0/24 61446 (msg:"TeleCommando";)
  135. alert udp any any -> 192.168.1.0/24 65000 (msg:"Devil";)
  136. alert tcp any any -> 192.168.1.0/24 31337 (msg:"BIND Shell";)
  137. alert udp any any -> 192.168.1.0/24 5632 (msg:"PCAnywhere"; content:"ST";)
  138. alert udp any any -> 192.168.1.0/24 22 (msg:"PCAnywhere"; content:"ST";)
  139. alert udp any any -> 192.168.1.0/24 22 (msg:"PCAnywhere"; content:"NQ";)
  140.  
  141. # New backdoors from Martin Markgraf
  142.  
  143. alert udp 192.168.1.0/24 2140 -> any any (content:"hhh My Mouth Is Open"; msg:"Deep Throat access";)
  144. alert udp any any -> 192.168.1.0/24 10067 (msg:"Possible Portal of Doom access";)
  145. alert udp any any -> 192.168.1.0/24 10167 (msg:"Possible Portal of Doom access";)
  146. alert udp 192.168.1.0/24 10167 -> any any (content:"KeepAliveee"; msg:"Portal of Doom access";)
  147. alert udp any any -> 192.168.1.0/24 31789 (msg:"Possible Hack a Tack access";)
  148. alert udp any any -> 192.168.1.0/24 31791 (msg:"Possible Hack a Tack access";)
  149. alert tcp any any -> 192.168.1.0/24 31785 (msg:"Possible Hack a Tack access";)
  150. alert tcp any any -> 192.168.1.0/24 30100 (msg:"Possible NetSphere access";)
  151. alert tcp 192.168.1.0/24 30100 -> any any (content:"<NetSphere"; msg:"NetSphere access"; flags: PA;)
  152. alert tcp any any -> 192.168.1.0/24 30102 (msg:"Possible NetSphere FTP acces";)
  153. alert tcp 192.168.1.0/24 30102 -> any any (content:"NetSphere Capture FTP"; msg:"NetSphere FTP acces"; flags: PA;)
  154. alert tcp any any -> 192.168.1.0/24 6969 (msg:"Possible GateCrasher access";)
  155. alert tcp 192.168.1.0/24 6969 -> any any (content:"GateCrasher"; msg:"GateCrasher access"; flags: PA;)
  156. alert tcp any any -> 192.168.1.0/24 21554 (msg:"Possible GirlFriend access";)
  157. alert tcp 192.168.1.0/24 21554 -> any any (content:"GirlFriend Server"; msg:"GirlFriend access"; flags: PA;)
  158. alert tcp any any -> 192.168.1.0/24 23456 (msg:"Possible EvilFTP access";)
  159. alert tcp 192.168.1.0/24 23456 -> any any (content:"EvilFTP"; msg:"EvilFTP access"; flags: PA;)
  160. alert tcp any any -> 192.168.1.0/24 1243 (msg:"Possible SubSeven access";)
  161. alert tcp any any -> 192.168.1.0/24 6776 (msg:"Possible SubSeven access";)
  162.  
  163. # you can uncomment this rule if you like, but every TCP packet 
  164. # with the PUSH and ACK flags set will have to do a 
  165. # payload pattern match, which is bad for performance!
  166. #alert tcp any any -> any any (content:"phAse Zero server"; msg:"Possible phAse Zero access"; flags: PA;)
  167. #alert tcp any any -> any any (content:"connected. time/date" msg:"Possible SubSeven access"; flags: PA;)
  168.  
  169. # CGI probes submitted by Martin Markgraf
  170. alert tcp any any -> 192.168.1.0/24 80 (content:"/cgi-bin/test-cgi"; msg:"TEST-CGI probe!"; flags: PA;)
  171. alert tcp any any -> 192.168.1.0/24 80 (content:"/cgi-bin/handler"; msg:"HANDLER probe!"; flags: PA;)
  172. alert tcp any any -> 192.168.1.0/24 80 (content:"/cgi-bin/Count.cgi"; msg:"COUNT.cgi probe!"; flags: PA;)
  173. alert tcp any any -> 192.168.1.0/24 80 (content:"/cgi-bin/faxsurvey"; msg:"FAXSURVEY probe!"; flags: PA;)
  174.  
  175. # CGI Probes
  176. alert tcp any any -> 192.168.1.0/24 80 (msg:"PHF CGI access attempt"; content:"/cgi-bin/phf"; flags: PA;)
  177. alert tcp any any -> 192.168.1.0/24 80 (msg:"PHP CGI access attempt"; content:"/cgi-bin/php.cgi"; flags: PA;)
  178. alert tcp any any -> 192.168.1.0/24 80 (msg:"Webgais CGI access attempt"; content:"/cgi-bin/webgais"; flags: PA;)
  179. alert tcp any any -> 192.168.1.0/24 80 (msg:"Websendmail CGI access attempt"; content:"/cgi-bin/websendmail"; flags: PA;)
  180. alert tcp any any -> 192.168.1.0/24 80 (msg:"Webdist CGI access attempt"; content:"/cgi-bin/webdist.cgi"; flags: PA;)
  181. alert tcp any any -> 192.168.1.0/24 80 (msg:"Htmlscript CGI access attempt"; content:"/cgi-bin/htmlscript"; flags: PA;)
  182. alert tcp any any -> 192.168.1.0/24 80 (msg:"CGI pfdisplay access attempt"; content:"/cgi-bin/pfdisplay.cgi"; flags: PA;)
  183. alert tcp any any -> 192.168.1.0/24 80 (msg:"Cgichk Pfdispaly (sic) access attempt"; content:"/cgi-bin/pfdispaly.cgi"; flags: PA;)
  184. alert tcp any any -> 192.168.1.0/24 80 (msg:"CGI Perl access attempt"; content:"/cgi-bin/perl.exe"; flags: PA;)
  185. alert tcp any any -> 192.168.1.0/24 80 (msg:"Wwwboard CGI access attempt"; content:"/cgi-bin/wwwboard.cgi"; flags: PA;)
  186. alert tcp any any -> 192.168.1.0/24 80 (msg:"WWW-SQL CGI access attempt"; content:"/cgi-bin/www-sql"; flags: PA;)
  187. alert tcp any any -> 192.168.1.0/24 80 (msg:"Guestbook CGI access attempt"; content:"/cgi-bin/guestbook.cgi"; flags: PA;)
  188. alert tcp any any -> 192.168.1.0/24 80 (msg:"CGI Man access attempt"; content:"/cgi-bin/man.sh"; flags: PA;)
  189. alert tcp any any -> 192.168.1.0/24 80 (msg:"CGI view-source access attempt"; content:"/cgi-bin/view-source?../../../../../../../etc/passwd"; flags: PA;)
  190. alert tcp any any -> 192.168.1.0/24 80 (msg:"Finger CGI access attempt"; content:"/cgi-bin/finger"; flags: PA;)
  191. alert tcp any any -> 192.168.1.0/24 80 (msg:"Campas CGI access attempt"; content:"/cgi-bin/campas"; flags: PA;)
  192. alert tcp any any -> 192.168.1.0/24 80 (msg:"NPH CGI access attempt"; content:"/cgi-bin/nph-test-cgi"; flags: PA;)
  193. alert tcp any any -> 192.168.1.0/24 80 (msg:"rwwwshell CGI access attempt"; content:"/cgi-bin/rwwwshell.pl"; flags: PA;)
  194. alert tcp any any -> 192.168.1.0/24 80 (msg:"NPH-publish CGI access attempt"; content:"/cgi-bin/nph-publish"; flags: PA;)
  195. alert tcp any any -> 192.168.1.0/24 80 (msg:"Aglimpse CGI access attempt"; content:"/cgi-bin/aglimpse"; flags: PA;)
  196. alert tcp any any -> 192.168.1.0/24 80 (msg:"Glimpse CGI access attempt"; content:"/cgi-bin/glimpse"; flags: PA;)
  197. alert tcp any any -> 192.168.1.0/24 80 (msg:"AT-admin CGI access attempt"; content:"/cgi-bin/AT-admin.cgi"; flags: PA;)
  198. alert tcp any any -> 192.168.1.0/24 80 (msg:"Filemail CGI access attempt"; content:"/cgi-bin/filemail.pl"; flags: PA;)
  199. alert tcp any any -> 192.168.1.0/24 80 (msg:"JJ CGI access attempt"; content:"/cgi-bin/jj"; flags: PA;)
  200. alert tcp any any -> 192.168.1.0/24 80 (msg:"Maillist CGI access attempt"; content:"/cgi-bin/maillist.pl"; flags: PA;)
  201. alert tcp any any -> 192.168.1.0/24 80 (msg:"Info2www CGI access attempt"; content:"/cgi-bin/info2www"; flags: PA;)
  202. alert tcp any any -> 192.168.1.0/24 80 (msg:"Files CGI access attempt"; content:"/cgi-bin/files.pl"; flags: PA;)
  203. alert tcp any any -> 192.168.1.0/24 80 (msg:"Bnbform CGI access attempt"; content:"/cgi-bin/bnbform.cgi"; flags: PA;)
  204. alert tcp any any -> 192.168.1.0/24 80 (msg:"Survey CGI access attempt"; content:"/cgi-bin/survey.cgi"; flags: PA;)
  205. alert tcp any any -> 192.168.1.0/24 80 (msg:"AnyForm CGI access attempt"; content:"/cgi-bin/AnForm2"; flags: PA;)
  206. alert tcp any any -> 192.168.1.0/24 80 (msg:"Textcounter CGI access attempt"; content:"/cgi-bin/textcounter.pl"; flags: PA;)
  207. alert tcp any any -> 192.168.1.0/24 80 (msg:"Classifieds CGI access attempt"; content:"/cgi-bin/classifieds.cgi"; flags: PA;)
  208. alert tcp any any -> 192.168.1.0/24 80 (msg:"Environ CGI access attempt"; content:"/cgi-bin/environ.cgi"; flags: PA;)
  209. alert tcp any any -> 192.168.1.0/24 80 (msg:"Wrap CGI access attempt"; content:"/cgi-bin/wrap"; flags: PA;)
  210. alert tcp any any -> 192.168.1.0/24 80 (msg:"Cgiwrap CGI access attempt"; content:"/cgi-bin/cgiwrap"; flags: PA;)
  211. alert tcp any any -> 192.168.1.0/24 80 (msg:"Edit CGI access attempt"; content:"/cgi-bin/edit.pl"; flags: PA;)
  212. alert tcp any any -> 192.168.1.0/24 80 (msg:"Perlshop CGI access attempt"; content:"/cgi-bin/perlshop.cgi"; flags: PA;)
  213. alert tcp any any -> 192.168.1.0/24 80 (msg:"Args CGI access attempt"; content:"/cgi-dos/args.bat"; flags: PA;)
  214. alert tcp any any -> 192.168.1.0/24 80 (msg:"Upload CGI access attempt"; content:"/cgi-win/uploader.exe"; flags: PA;)
  215. alert tcp any any -> 192.168.1.0/24 80 (msg:"Rguest CGI access attempt"; content:"/cgi-bin/rguest.exe"; flags: PA;)
  216. alert tcp any any -> 192.168.1.0/24 80 (msg:"Wguest CGI access attempt"; content:"/cgi-bin/wguest.exe"; flags: PA;)
  217.  
  218. # IIS probes
  219. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS vti_inf access attempt"; content:"/_vti_inf.html"; flags: PA;)
  220. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Codebrowser access attempt"; content:"/iissamples/exair/howitworks/codebrws.asp"; flags: PA;)
  221. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Codebrowser access attempt"; content:"/iissamples/sdk/asp/docs/codebrws.asp"; flags: PA;)
  222. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Showcode access attempt"; content:"/msads/Samples/SELECTOR/showcode.asp"; flags: PA;)
  223. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Bdir access attempt"; content:"/scripts/iisadmin/bdir.htr"; flags: PA;)
  224. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS CGImail access attempt"; content:"/scripts/CGImail.exe"; flags: PA;)
  225. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS NewDSN access attempt"; content:"/scripts/tools/newdsn.exe"; flags: PA;)
  226. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Fpcount access attempt"; content:"/scripts/fpcount.exe"; flags: PA;)
  227. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Search97 access attempt"; content:"/search97.vts"; flags: PA;)
  228. alert tcp any any -> 192.168.1.0/24 80 (msg:"IIS Carbo.dll access attempt"; content:"/carbo.dll"; flags: PA;)
  229.  
  230. # IIS stuff from Nick Rogness and Jim Forster
  231. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage Service PWD Scan"; content:"/_vti_pvt/service.pwd"; flags: PA;)
  232. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage User PWD Scan"; content:"/_vti_pvt/users.pwd"; flags: PA;)
  233. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage Author PWD Scan"; content:"/_vti_pvt/authors.pwd"; flags: PA;)
  234. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage Admin PWD Scan"; content:"/_vti_pvt/administrators.pwd"; flags: PA;)
  235. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage shtml.dll Scan"; content:"/_vti_pvt/shtml.dll"; flags: PA;)
  236. alert tcp any any -> 192.168.1.0/24 80 (msg:"FrontPage shtml.exe Scan"; content:"/_vti_pvt/shtml.exe"; flags: PA;)
  237. alert tcp any any -> 192.168.1.0/24 80 (msg:"cgi-dos/args.bat Scan"; content:"/cgi-dos/args.bat"; flags: PA;)
  238. alert tcp any any -> 192.168.1.0/24 80 (msg:"Colf Fusion openfile Scan"; content:"/cfdocs/expelval/openfile.cfm"; flags: PA;)
  239. alert tcp any any -> 192.168.1.0/24 80 (msg:"Cold Fusion exprcalc Scan"; content:"/cfdocs/expelval/exprcalc.cfm"; flags: PA;)
  240. alert tcp any any -> 192.168.1.0/24 80 (msg:"Cold Fusion display Scan"; content:"/cfdocs/expelval/displayopenedfile.cfm"; flags: PA;)
  241. alert tcp any any -> 192.168.1.0/24 80 (msg:"Cold Fusion sendmail Scan"; content:"/cfdocs/expelval/sendmail.cfm"; flags: PA;)
  242.  
  243.  
  244. # IMAP buffer overflow
  245. alert tcp any any -> 192.168.1.0/24 143 (msg:"IMAP Buffer Overflow!"; content:"|E8 C0FF FFFF|/bin/sh"; flags: PA;)
  246.  
  247. # x86 named buffer overflow
  248. alert tcp any any -> 192.168.1.0/24 53 (msg:"named Buffer Overflow!"; content:"|CD80 E8D7 FFFF FF|/bin/sh"; flags: PA;)
  249.  
  250. # New buffer overflows submitted by Martin Markgraf
  251. alert tcp any any -> 192.168.1.0/24 110 (msg:"QPOP Buffer Overflow!"; content:"|E8 D9FF FFFF|/bin/sh";  flags: PA;)
  252. alert tcp any any -> 192.168.1.0/24 21 (msg:"FTP Buffer Overflow-1!"; content:"|5057 440A 2F69|"; flags: PA;)
  253. alert tcp any any -> 192.168.1.0/24 21 (msg:"FTP Buffer Overflow-2!"; content:"|5858 5858 582F|"; flags: PA;)
  254.  
  255.  
  256. # Happy 99 Virus checking from Scott McIntyre
  257. alert tcp any any -> 192.168.1.0/24 25 (msg:"Happy 99 Virus"; content:"X-Spanska\: Yes"; flags: PA;)
  258.  
  259. # SNMP attempts from Ron Gula
  260. alert udp any any -> 192.168.1.0/24 161 (msg:"SNMP NT User List"; content:"|2b06 0104 014d 0102 19|";)
  261.  
  262. # netbios probes from Ron Gula
  263. alert udp any any -> 192.168.1.0/24 137 (msg:"SMB Name Wildcard"; content:"CKAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA|0000|";)
  264. alert tcp any any -> 192.168.1.0/24 139 (msg:"Samba client access"; content:"|00|Unix|00|Samba";)
  265. alert tcp any any -> 192.168.1.0/24 139 (msg:"SMB CD..."; content:"\...|00 00 00|";)
  266. alert tcp any any -> 192.168.1.0/24 139 (msg:"SMB CD.."; content:"\..|2f 00 00 00|";)
  267. alert tcp any any -> 192.168.1.0/24 139 (msg:"SMB C$ access"; content:"\C$|00 41 3a 00|";)
  268. alert tcp any any -> 192.168.1.0/24 139 (msg:"SMB D$ access"; content:"\D$|00 41 3a 00|";)
  269. alert tcp any any -> 192.168.1.0/24 139 (msg:"SMB ADMIN$ access"; content:"\ADMIN$|00 41 3a 00|";)
  270.  
  271. # alert on stuff going where it probably shouldn't be
  272. # note that the port range specification is inclusive, so we're keying on ports 0-1023
  273. alert tcp any 53 -> 192.168.1.0/24 :1023 (msg:"Source Port traffic";)
  274. alert udp any 53 -> 192.168.1.0/24 :1023 (msg:"Source Port traffic";)
  275. alert tcp any 25 -> 192.168.1.0/24 :1023 (msg:"Source Port traffic";)
  276.  
  277. alert tcp any any -> 192.168.1.0/24 32771 (msg: "Attempted Sun RPC high port access";)
  278. alert udp any any -> 192.168.1.0/24 32771 (msg: "Attempted Sun RPC high port access";)
  279.  
  280. alert udp any any -> 192.168.1.0/24 161 (msg: "SNMP access, public"; content:"public";)
  281.  
  282.