2004-09-17 MS04-028 id:tessyさんの日記に、0xFF 0xFE 0x00 0x00 or 0xFF 0xFE 0x00 0x01 で引っかけられるんじゃ?とあったのでsnotのruleにして試してみると、0x01の方がヒット。