Changeset 471

Show
Ignore:
Timestamp:
04/04/06 17:03:33 (3 years ago)
Author:
common
Message:

shellcode-signatures
- s/sc_pcre/sc_decoder/g including mapping

Files:

Legend:

Unmodified
Added
Removed
Modified
Copied
Moved

  • nepenthes/trunk/modules/shellcode-signatures/parser.h

    r448 r471  
    3030        sc_command, 
    3131        sc_uri, 
    32         sc_pcre, 
     32        sc_decoder, 
    3333        sc_pre, 
    3434        sc_post, 

  • nepenthes/trunk/modules/shellcode-signatures/parser.l

    r464 r471  
    6666"command"                                                       { return SC_COMMAND; } 
    6767"uri"                                                           { return SC_URI; } 
    68 "pcre"                        { return SC_PCRE; } 
     68"decoder"                        { return SC_DECODER; } 
    6969"pre"                         { return SC_PRELOAD; } 
    7070"post"                        { return SC_POSTLOAD; } 

  • nepenthes/trunk/modules/shellcode-signatures/parser.y

    r470 r471  
    4444SC_KEY SC_SUBKEY SC_SIZE SC_SIZEINVERT SC_HOST SC_PORT SC_COMMAND 
    4545SC_URI 
    46 SC_PCRE SC_PRELOAD SC_POSTLOAD 
     46SC_DECODER SC_PRELOAD SC_POSTLOAD 
    4747SC_HOSTKEY SC_PORTKEY 
    4848 
    …… 
    228228                $$ = sc_uri; 
    229229        } 
    230         | SC_PCRE 
    231         { 
    232                 $$ = sc_pcre; 
     230        | SC_DECODER 
     231        { 
     232                $$ = sc_decoder; 
    233233        } 
    234234        | SC_PRELOAD 
    …… 
    356356                "command", 
    357357                "uri", 
    358                 "pcre", 
     358                "decoder", 
    359359                "pre", 
    360360                "post", 

  • nepenthes/trunk/modules/shellcode-signatures/sch_namespace_xor.cpp

    r445 r471  
    117117                                break; 
    118118 
    119                         case sc_pcre: 
     119                        case sc_decoder: 
    120120                                decoderMatch = match; 
    121121                                decoderSize = matchSize; 

  • nepenthes/trunk/modules/shellcode-signatures/shellcode-signatures.sc

    r456 r471  
    4444        "(.*)(\\xEB\\x02\\xEB\\x05\\xE8\\xF9\\xFF\\xFF\\xFF\\x5B\\x31\\xC9\\x66\\xB9(.)" 
    4545        "\\xFF\\x80\\x73\\x0E(.)\\x43\\xE2\\xF9)(.*)$"; 
    46         mapping (none,pre,pcre,size,key,post); 
     46        mapping (none,pre,decoder,size,key,post); 
    4747}; 
    4848 
    …… 
    5454        "(.*)(\\xEB\\x02\\xEB\\x05\\xE8\\xF9\\xFF\\xFF\\xFF\\x5B\\x31\\xC9\\xB1(.)\\x80" 
    5555        "\\x73\\x0C(.)\\x43\\xE2\\xF9)(.*)$"; 
    56         mapping (none,pre,pcre,size,key,post); 
     56        mapping (none,pre,decoder,size,key,post); 
    5757}; 
    5858 
    …… 
    6262        "(.*)(\\xEB\\x10\\x5A\\x4A\\x33\\xC9\\x66\\xB9(..)\\x80\\x34\\x0A(.)\\xE2\\xFA" 
    6363        "\\xEB\\x05\\xE8\\xEB\\xFF\\xFF\\xFF)(.*)$"; 
    64         mapping (none,pre,pcre,size,key,post); 
     64        mapping (none,pre,decoder,size,key,post); 
    6565}; 
    6666 
    …… 
    7070        "(.*)(\\xEB\\x02\\xEB\\x05\\xE8\\xF9\\xFF\\xFF\\xFF\\x5B\\x31\\xC9\\x66\\xB9(..)" 
    7171        "\\x80\\x73\\x0E(.)\\x43\\xE2\\xF9)(.*)$"; 
    72         mapping (none,pre,pcre,size,key,post); 
     72        mapping (none,pre,decoder,size,key,post); 
    7373}; 
    7474 
    …… 
    7979        "(.*)(\\xEB\\x19\\x5E\\x31\\xC9\\x81\\xE9(....)\\x81\\x36(....)\\x81\\xEE\\xFC" 
    8080        "\\xFF\\xFF\\xFF\\xE2\\xF2\\xEB\\x05\\xE8\\xE2\\xFF\\xFF\\xFF)(.*)$"; 
    81         mapping (none,pre,pcre,sizeinvert,key,post); 
     81        mapping (none,pre,decoder,sizeinvert,key,post); 
    8282}; 
    8383 
    …… 
    8989        "(.*)(\\xEB\\x03\\x5D\\xEB\\x05\\xE8\\xF8\\xFF\\xFF\\xFF\\x8B\\xC5\\x83\\xC0\\x11" 
    9090        "\\x33\\xC9\\x66\\xB9(..)\\x80\\x30(.)\\x40\\xE2\\xFA)(.*)$"; 
    91         mapping (none,pre,pcre,size,key,post); 
     91        mapping (none,pre,decoder,size,key,post); 
    9292}; 
    9393 
    …… 
    9797        "(.*)(\\xEB\\x10\\x5A\\x4A\\x31\\xC9\\x66\\xB9\(..)\\x80\\x34\\x0A(.)\\xE2\\xFA" 
    9898        "\\xEB\\x05\\xE8\\xEB\\xFF\\xFF\\xFF)(.*)$"; 
    99         mapping (none,pre,pcre,size,key,post);  
     99        mapping (none,pre,decoder,size,key,post);  
    100100}; 
    101101 
    …… 
    106106        "(.*)(\\xEB\\x0F\\x5B\\x33\\xC9\\x66\\xB9(..)\\x80\\x33(.)\\x43\\xE2\\xFA\\xEB" 
    107107        "\\x05\\xE8\\xEC\\xFF\\xFF\\xFF)(.*)$"; 
    108         mapping (none,pre,pcre,size,key,post);      
     108        mapping (none,pre,decoder,size,key,post);      
    109109}; 
    110110 
    …… 
    114114        "(.*)(\\xEB\\x03\\x5D\\xEB\\x05\\xE8\\xF8\\xFF\\xFF\\xFF\\x83\\xC5\\x15\\x90\\x90" 
    115115        "\\x90\\x8B\\xC5\\x33\\xC9\\x66\\xB9(..)\\x50\\x80\\x30(.)\\x40\\xE2\\xFA)(.*)$"; 
    116         mapping (none,pre,pcre,size,key,post); 
     116        mapping (none,pre,decoder,size,key,post); 
    117117};   
    118118 
    …… 
    122122        "(.*)(\\x31\\xC9\\x83\\xE9(.)\\xD9\\xEE\\xD9\\x74\\x24\\xF4\\x5B\\x81\\x73\\x13(....)" 
    123123        "\\x83\\xEB\\xFC\\xE2\\xF4)(.*)$"; 
    124         mapping (none,pre,pcre,sizeinvert,key,post); 
     124        mapping (none,pre,decoder,sizeinvert,key,post); 
    125125}; 
    126126 
    …… 
    130130        "(.*)(\\x33\\xC0\\xF7\\xD0\\x8B\\xFC\\xF2\\xAF\\x57\\x33\\xC9\\xB1(.)\\x90\\x90\\x90" 
    131131        "\\x90\\x80\\x37(.)\\x47\\xE2\\xFA.*\\xFF\\xFF\\xFF\\xFF)(.*)$"; 
    132         mapping (none,pre,pcre,size,key,post); 
     132        mapping (none,pre,decoder,size,key,post); 
    133133}; 
    134134 
    …… 
    138138        "(.*)(\\xEB\\x0F\\x8B\\x34\\x24\\x33\\xC9\\x80\\xC1(.)\\x80\\x36(.)\\x46\\xE2\\xFA" 
    139139        "\\xC3\\xE8\\xEC\\xFF\\xFF\\xFF)(.*)$"; 
    140         mapping (none,pre,pcre,size,key,post);  
     140        mapping (none,pre,decoder,size,key,post);  
    141141}; 
    142142 
    …… 
    148148        "\\x01\\xFC\\xFF\\xFF\\x83\\xE4\\xFC\\x8B\\xEC\\x33\\xC9\\x66\\xB9(..)\\x80\\x30(.)" 
    149149        "\\x40\\xE2\\xFA)(.*)$"; 
    150         mapping (none,pre,pcre,size,key,post);  
     150        mapping (none,pre,decoder,size,key,post);  
    151151}; 
    152152 
    …… 
    157157        "(.*)(\\xC9\\x83\\xE9(.)\\xD9\\xEE\\xD9\\x74\\x24\\xF4\\x5B\\x81\\x73\\x13(....)\\x83" 
    158158        "\\xEB\\xFC\\xE2\\xF4)(.*)$"; 
    159         mapping (none,pre,pcre,sizeinvert,key,post); 
     159        mapping (none,pre,decoder,sizeinvert,key,post); 
    160160}; 
    161161 
    …… 
    167167        "(.*)(\\x2B\\xC9\\x83\\xE9(.)\\xE8\\xFF\\xFF\\xFF\\xFF\\xC0\\x5E\\x81\\x76\\x0E(....)" 
    168168        "\\x83\\xEE\\xFC\\xE2\\xF4)(.*)$"; 
    169         mapping (none,pre,pcre,sizeinvert,key,post); 
     169        mapping (none,pre,decoder,sizeinvert,key,post); 
    170170}; 
    171171 
    …… 
    176176        "(.*)(\\xEB\\x0E\\x5B\\x4B\\x33\\xC9\\xB1(.)\\x80\\x34\\x0B(.)\\xE2\\xFA\\xEB\\x05\\xE8" 
    177177        "\\xED\\xFF\\xFF\\xFF)(.*)$"; 
    178         mapping (none,pre,pcre,size,key,post);  
     178        mapping (none,pre,decoder,size,key,post);  
    179179}; 
    180180 
    …… 
    186186        pattern 
    187187        "(.*)(\\xEB.\\xEB.\\xE8.*\\xB1(.).*\\x80..(.).*\\xE2.)(.*)$"; 
    188         mapping (none,pre,pcre,size,key,post); 
     188        mapping (none,pre,decoder,size,key,post); 
    189189}; 
    190190*/ 
    …… 
    195195        "(.*)(\\xEB\\x10\\x5B\\x4B\\x33\\xC9\\x66\\xB9(..)\\x80\\x34\\x0B(.)\\xE2\\xFA\\xEB\\x05\\xE8\\xEB\\xFF\\xFF\\xFF)(.*)$"; 
    196196         
    197         mapping (none,pre,pcre,size,key,post); 
     197        mapping (none,pre,decoder,size,key,post); 
    198198}; 
    199199         
    …… 
    209209        "\\x06\\x3C(.)\\x75\\x05\\x46\\x8A\\x06\\x2C(.)\\x46\\x34(.)\\x88\\x07\\x47\\xE2\\xED\\xEB\\x0A\\xE8" 
    210210        "\\xDA\\xFF\\xFF\\xFF)(.*)$"; 
    211         mapping (none,pre,pcre,size,key,subkey,none,post); 
     211        mapping (none,pre,decoder,size,key,subkey,none,post); 
    212212}; 
    213213*/