+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

фильтр контента по hex

фильтр контента по hex, RouterOS

dw5304

Guest

28.04.2014 18:08:00

Я пытаюсь создать правило для защиты от грубых атак на MS SQL, которое автоматически блокировало бы их. У меня есть содержимое пакета, но никак не получается сделать правило на основе шестнадцатеричного кода... там написано «Login Failed» — 4C 00 6F 00 67 00 69 00 6E 00 20 00 66 00 61 00 69 00 6C 00 65 00 64. Как мне взять этот шестнадцатеричный код и создать фильтр содержимого, который бы его находил? Я уже пытался использовать nth для каждых двух пакетов, но, кажется, это не работает. Буду признателен за помощь, спасибо.

/ip firewall mangle> print
0 chain=prerouting action=log content=\4C\00\6F\00\67\00\69\00\6E\00\20\00\66\00\61\00\69\00\6C\00\65\00\64 log-prefix=“failed”

Скриншот созданного пакета.

dw5304 Guest	#2 0 14.05.2014 19:08:00 поднимаю тему.

DmitriiP Guest	#3 0 14.05.2014 22:09:00 попробуйте с L7 /ip firewall layer7-protocol add comment="" name=LoginFailed regexp="\x4C\x00\x6F\x00\x67\x00\x69\x00\x6E\x00\x20\x00\x66\x00\x61\x00\x69\x00\x6C\x00\x65\x00\x64"

dw5304 Guest	#4 0 15.05.2014 20:42:00 При попытке добавить /ip firewall layer7-protocol add comment=“track sql login failures” name=sqlloginfailed regexp=“\x4C\x00\x6F\x00\x67\x00\x69\x00\x6E\x00\x20\x00\x66\x00\x61\x00\x69\x00\x6C\x00\x65\x00\x64” я получаю ошибку: “failure: null (\x00) in regexp. A null terminates the regexp string!”

DmitriiP

Guest

15.05.2014 23:14:00

Не знаю, попробуй разные варианты:
add /ip firewall layer7-protocol add comment=“track sql login failures” name=sqlloginfailed regexp=“\x4C\0\x6F\0\x67\0\x69\0\x6E\0\x20\0\x66\0\x61\0\x69\0\x6C\0\x65\0\x64”
или
add /ip firewall layer7-protocol add comment=“track sql login failures” name=sqlloginfailed regexp=“\x4C\u0000\x6F\u0000\x67\u0000\x69\u0000\x6E\u0000\x20\u0000\x66\u0000\x61\u0000\x69\u0000\x6C\u0000\x65\u0000\x64”
или
add /ip firewall layer7-protocol add comment=“track sql login failures” name=sqlloginfailed regexp=“\x4C[^.]\x6F[^.]\x67[^.]\x69[^.]\x6E[^.]\x20[^.]\x66[^.]\x61[^.]\x69[^.]\x6C[^.]\x65[^.]\x64”
или
add /ip firewall layer7-protocol add comment=“track sql login failures” name=sqlloginfailed regexp=“\x4C.\x6F.\x67.\x69.\x6E.\x20.\x66.\x61.\x69.\x6C.\x65.\x64”

dw5304 Guest	#6 0 16.05.2014 00:30:00 Спасибо, удалось ввести правило, теперь нужно разобраться, почему, кажется, оно не срабатывает.

dw5304 Guest	#7 0 22.07.2014 19:25:00 Пока не удаётся заставить правило фильтра записывать какие-либо результаты с указанными выше настройками. У кого-нибудь есть идеи?

rextended

Guest

22.07.2014 19:29:00

Ммммм… Зачем усложнять простые вещи? /ip firewall layer7-protocol add comment="track sql login failures" name=sqlloginfailed regexp="L.o.g.i.n. .f.a.i.l.e.d." — точка «.» в regexp означает «любой» символ. Проблема в другом: эти ошибки появляются в первых 10 пакетах или в первых 2 КБ соединения? Должны появляться в этом ограничении для каждого соединения, иначе совпадений не будет.

dw5304 Guest	#9 0 22.07.2014 20:12:00 ах, вот оно что… пакет номер 13… и ещё 4,7k

rextended

Guest

#10

22.07.2014 20:17:00

Хорошая идея, но работает не так, как ожидалось. Думаю, при сбое ссылки sql закрывает соединение? Попробуй посчитать байты соединения. Если их (для гипотезы) 14/16 пакетов всего по 4,5/5,1 КБ — скорее всего, это перебор методом грубой силы? Или лучше: ты не знаешь IP вызывающих клиентов? Просто разреши этот IP и замедляй все остальные подключения…

dw5304

Guest

#11

22.07.2014 20:26:00

Да, это правильно. Как только происходит недопустимая авторизация, соединение с SQL закрывается. Что касается пакетов 14/16, не совсем понимаю, что вы имеете в виду. К сожалению, «разрешённые» IP-адреса неизвестны — несколько WAN-адресов от разных компаний.

peterzaher Guest	#12 0 15.12.2014 01:10:00 Ты решил эту проблему? У меня такая же, и я не знаю, как исправить.

dw5304 Guest	#13 0 17.12.2014 21:51:00 Проблема пока не решена. У меня пока не было возможности вернуться к этому.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры