update-常见攻击工具特征及检测分析

早些时候，B站上架了一部美剧《新闻编辑室》。第一次看的时候还是高中看的一个英语杂志的推荐，受了小编的安利，吃了快播的红利，直接可以在国内不科学上网的情况下观看。第一季第三集的时候，主人公在自己的节目里向所有观众道歉。这一段印象很深。

最近在弄NIDS的检测规则时，意外地发现我之前发布的《常见攻击工具特征及检测分析》中，发布出来的Termite工具流量特征完全错误。我没有仔细研究这个工具正确的使用方式。就把admin端连接agent端的流量作为特征。虽然公众号和文章的阅读量很低，但可能还是会对读者产生一些误导，假如说读者中也有从事流量入侵检测的人，可能还会导致漏报。在此向读过这篇文章的读者致歉。

Termite的特征检测，请参考Chris Doman的文章：https://cybersecurity.att.com/blogs/labs-research/internet-of-termites

针对Termite特征的修正已更新在雨雀文档，请查阅指正。https://www.yuque.com/safestplace/ku94do/nrxrzxv3llo3zdqu#tefe3

另，之前与攻击特征一起共享出来的pcap项目这次也同步更新了一下，新增了一些暴力破解的pcap包。

原文始发于微信公众号（Desync InfoSec）：update-常见攻击工具特征及检测分析