http://mikrotik.moscow Новое в теме --algo kmp --hex-string форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 12:49:41 -0400 --algo kmp --hex-string RouterOS в форуме RouterOS.
К сожалению, не всё, что можно настроить с помощью iptables, доступно в Mikrotik, и наоборот. Например, для списков адресов в netfilter нужен дополнительный модуль, и я не знаю такого модуля для netfilter, который поддерживал бы сопоставление с регулярными выражениями по содержимому пакета — я знаю, как это сделать только отправляя пакет в очередь пользователей. В RouterOS, в свою очередь, насколько мне известно, нет возможности проверить конкретное значение байта на определённом смещении в пакете.
21.10.2018 18:11:00, sindy.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387485 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387485 Sun, 21 Oct 2018 18:11:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
Я думаю, что пакет приходит с контрольной суммой. Потому что другие пакеты приходят с контрольной суммой. Только этот пакет приходит без контрольной суммы. К тому же правило iptables ловит пакеты с пустой контрольной суммой. Если iptables с этим справляется, то, думаю, и Mikrotik тоже сможет. Я ошибаюсь?
21.10.2018 17:39:00, scap.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387484 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387484 Sun, 21 Oct 2018 17:39:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
Хорошо, значит, это один случай с невычисленной контрольной суммой, но из-за того, что я написал выше о нулевых байтах и сопоставлении с помощью регулярных выражений, невозможно обнаружить такой пакет, используя правила layer7-protocol.
21.10.2018 17:33:00, sindy.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387483 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387483 Sun, 21 Oct 2018 17:33:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
https://prnt.sc/l8odz8 Я пытаюсь поймать этот пакет.
21.10.2018 17:29:00, scap.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387482 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387482 Sun, 21 Oct 2018 17:29:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
Боюсь, таких нет, потому что байты \x00 удаляются до проверки по регулярному выражению, так что ни найти их через regex, ни понять, сколько их там, если указать что-то вроде .{24}\x00\x00, не получится. При этом «неправильная контрольная сумма» — это совсем другое дело, нежели «некалькулированная контрольная сумма (0x0000)». Чтобы отследить неправильную контрольную сумму, нужно посчитать её самостоятельно и сравнить с полученной, то есть даже в iptables понадобится специальный match target, который сделает вычисление (а это заметно замедлит обработку пакетов).
21.10.2018 17:25:00, sindy.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387481 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387481 Sun, 21 Oct 2018 17:25:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
Какой правильный layer7 Regex для поиска пакетов с «bad checksum» или «empty checksum» в правиле Mikrotik? Для пустой контрольной суммы я нашёл вот это: -m u32 --u32 “24&0xffff=0x0000”. И как установить 00 00? 0000ffffffff54
21.10.2018 17:07:00, scap.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387480 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387480 Sun, 21 Oct 2018 17:07:00 -0400 RouterOS --algo kmp --hex-string RouterOS в форуме RouterOS.
Как мне задать правило для проверки также и hex-строки, как в linux iptables? Я хочу написать правило, чтобы поймать этот пакет -m string --algo kmp --hex-string “|55ffffffff|”
03.09.2018 01:33:00, scap.]]> http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387479 http://mikrotik.moscow/forum/forum57/84528-_algo-kmp-_hex_string/message387479 Mon, 03 Sep 2018 01:33:00 -0400 RouterOS