Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

[himitsu]

Erstmal solltest du dich mit regulären Ausdrücken dringend mal beschäftigen,
denn '123456789' ~ '12.45.78.'

Weil . ist das, was im Dateisystem ein ? ist.

Da doch sowieso immer nur am Anfang geschaut werden soll, noch ein ^ mit rein,
einmal, damit nicht sinnlos nachfolgendes geprüft wird
und weil '123.45xxxx' ~ '3.45' sonst auch trifft, obwohl 123 <> 3.




if TRegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP, '^(XX\.XX\.XX\.|XX\.XX\.XX\.)') then

Delphi-Quellcode:

// irgendwo vorher einmal initialisieren 
RegEx := TRegEx.Create('^(XX\.XX\.XX\.|XX.XX\.XX\.)');

// und im Event nur noch
if RegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP) then

Oder wie wäre es mit einem einfachen String-Vergleich, wenn es eh nur um einen String-Anfang geht?

Delphi-Quellcode:

if
  StartsStr('XX.XX.XX.', AContext.Connection.Socket.Binding.PeerIP) OR
  StartsStr('XX.XX.XX.', AContext.Connection.Socket.Binding.PeerIP)

[SusiT]

Ich nutze hier die public
function Match(const Input: string): TMatch; overload;

Der Matchingteil funktioniert und ist an dieser Stelle auch nur zum schnellen Debugging und Test eingebaut.
Auch wenn deine Variante die Elegantere ist versuche ich zuerst die Ursache für die CPU Auslastung zu finden.
Anschließend fliegt das wieder raus und wird anders gestaltet.
Die eingehenden SPAM Ips sind immer identisch daher hier testweise nur auf den String gefiltert .
XX sind tatsächlich Zahlen.

Ich fange hier im laufenden Programm tatsächlich die ungewünschten IPs ein und schreibe es ins Log.

[himitsu]

X = Ziffer .... hatte ich mir fast schon selbst gedacht.
Das Problem sind aber die Punkte, im RegEx.

.
\. oder [.]

Zitat von SusiT:

ist versuche ich zuerst die Ursache für die CPU Auslastung zu finden.

AQtime lag, bis vor ein paar Jahren, in einer Emba-Version dem Delphi bei, auf der Addon-CD von XE bis XE7, bzw. auf der Installations-CD versteckt oder gar direkt im Delphi-Setup.
Die funktionieren jetzt vermutlich aber immernoch, also als Standalone ... nicht die IDE-Integration, aber egal.

https://en.wikipedia.org/wiki/List_o...analysis_tools




Direkt in der Firewall schon sperren?

Den Port verschieben?

[SusiT]

Der Sender scannt Ports und probiert es auf denen die frei sind. Ich habe das Phänomen schon auf mehreren Servern und verschiedenen Ports beobachtet.
Die IP Adressen sind zwar immer gleich allerdings kommt auch mal eine neue dazu. Ideal wäre wenn das Programm die Blacklist für sich selber generiert, was möglich ist.
Allerdings verstehe ich nicht wie es zu der hohen CPU Auslastung kommt.

Irgendwas innerhalb der Indy-Komponenten führt zu dem Verhalten.

Am besten wäre die allererste Stelle zu finden an der ein Connect stattfindet und dort gleich IP Adressen zu blockieren.

OnConnect scheint das nicht zu sein.

Irgendwas schicken die bei dem TCP-Connect mit was zu dem Verhalten führt.

[Olli73]

Was passiert wenn du anstatt AContext.Connection.Disconnect ein Abort machst?

[SusiT]

Ich sehe hier keine Möglichkeit einen Abort aufzurufen. Wie sieht der Aufruf für einen Abort aus?

[Der schöne Günther]

Ich weiß nicht, ob Indy wirklich vernünftig für so etwas ausgelegt ist.

Ich würde eher ein Tool wie nginx davorschalten, der sich um so etwas wie Rate Limitung, Blacklistung usw. kümmert.

[jaenicke]

Zitat von SusiT:

Ich sehe hier keine Möglichkeit einen Abort aufzurufen. Wie sieht der Aufruf für einen Abort aus?

Delphi-Quellcode:

Abort;
// Das löst eine stille Exception aus.

Ich würde allerdings eher mal den Stacktrace an der Stelle als Ausgangspunkt nehmen und schauen, was da vorher passiert. Sprich ein wenig debuggen und schauen, ob es einen besseren Eingriffspunkt gibt.