 |
hack2xia |
| 信息安全 • hack2xia suricata http.request_body 和 http_client_body 的区别？ 2023 年 1 月 3 日 • 最后回复来自 hack2xia | 5 |
hack2xia 最近回复了
| 回复了 chenxiankong 创建的主题 › 统计一下 v 友们目前用的手机2023 年 1 月 3 日 |
目前在用 redmi k30pro ，计划明年 618 入手小米 13 或小米 12s ，小屏党还是比较推荐这两款的
| 回复了 hack2xia 创建的主题 › suricata http.request_body 和 http_client_body 的区别？2023 年 1 月 3 日 |
上面链接的问题，看到有人回答：
Removed 'http_client_body' because we have 'http.request_body' in Suricata 5.0. Also, if you did want to use 'http_client_body', it would come after the content in which you're hoping to match. 'http.request_body' is a sticky buffer so all content following it are considered to be part of that buffer
从他的意思来看，我的理解应该没问题
Removed 'http_client_body' because we have 'http.request_body' in Suricata 5.0. Also, if you did want to use 'http_client_body', it would come after the content in which you're hoping to match. 'http.request_body' is a sticky buffer so all content following it are considered to be part of that buffer
从他的意思来看，我的理解应该没问题
| 回复了 hack2xia 创建的主题 › suricata http.request_body 和 http_client_body 的区别？2023 年 1 月 3 日 |
| 回复了 hack2xia 创建的主题 › suricata http.request_body 和 http_client_body 的区别？2023 年 1 月 3 日 |
我也主要用的 http_client_body 。
但有时候可能会有点问题，比如：
content:"balabala";http_client_body;pcre:/<regex>/iPR;
由于 R 的存在，它类似于 distance:0 ，pcre 这里要和前面在同一个 sticky buffer 。上面的规则会报错。
http.request_body;content:"balabala";pcre:/<regex>/iPR;
则不会报错。
当然，不写 R 应该是没问题的。
但有时候可能会有点问题，比如：
content:"balabala";http_client_body;pcre:/<regex>/iPR;
由于 R 的存在，它类似于 distance:0 ，pcre 这里要和前面在同一个 sticky buffer 。上面的规则会报错。
http.request_body;content:"balabala";pcre:/<regex>/iPR;
则不会报错。
当然，不写 R 应该是没问题的。