AGB  ·  Datenschutz  ·  Impressum  







Anmelden
Nützliche Links
Registrieren
Zurück Delphi-PRAXiS Sprachen und Entwicklungsumgebungen Die Delphi-IDE Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

Ein Thema von SusiT · begonnen am 1. Okt 2024 · letzter Beitrag vom 5. Okt 2024
Antwort Antwort
Seite 1 von 2  1 2   
SusiT

Registriert seit: 15. Mai 2014
40 Beiträge
 
#1

Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 1. Okt 2024, 12:37
Hallo liebe Community,

ich habe seit längeren einen TCPServer basierend auf den Indy10 Komponenten in Betrieb. Das funktioniert grundsätzlich, Daten von den Clients kommen und werden abgearbeitet.

In letzter Zeit bekomme ich gehäuft TCP-Connects und Content von offensichtlichen SPAM IP-Adressen.
Grundsätzlich kann ich auch am Inhalt erkennen das es sich um SPAM handelt.

In
TIdTCPServer.OnConnect wird bei mir erstmals auf die PeerIp geschaut ob diese IP-Adresse auf einer BlackList ist und entsprechend sofort ein disconnect ausgelöst:

Delphi-Quellcode:
procedure TGPRSCommModuleFM.tcpConnect(AContext: TIdContext);
begin
  try
    if
      TRegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP, 'XX.XX.XX.') OR
      TRegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP, 'XX.XX.XX.')
    then
    begin
      AContext.Connection.Disconnect;
    end;
  except on E: Exception do
  end;
end;

Nun folgendes Problem:

Mit jedem connect von einer solchen IP Adresse springt die CPU Auslastung des Programms extrem in die Höhe und verweilt dort. Das geht solange bis das Programm eine Auslastung von 100% CPU verursacht.

Es muss irgendein Thread in den Indy Komponente sein der nicht richtig beendet wird.

Gibt es eine Möglichkeit vor dem TCPconnect die IP abzugreifen und zu blockieren?

Wie kann so ein Verhalten zu erklären sein? Schicken die im TCPHeader irgendwelchen Code mit der Fehler im Indy verursacht? Ist sowas möglich?


beispielhafte SPAM IP: 147.45.112.147
Content:0300002A25E00000000000436F6F6B69653A206D73 7473686173683D546573740D0A0100080003000000

Vielen Dank
  Mit Zitat antworten Zitat
Benutzerbild von himitsu
himitsu

Registriert seit: 11. Okt 2003
Ort: Elbflorenz
43.934 Beiträge
 
Delphi 12 Athens
 
#2

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 1. Okt 2024, 13:09
Erstmal solltest du dich mit regulären Ausdrücken dringend mal beschäftigen,
denn '123456789' ~ '12.45.78.'

Weil . ist das, was im Dateisystem ein ? ist.

Da doch sowieso immer nur am Anfang geschaut werden soll, noch ein ^ mit rein,
einmal, damit nicht sinnlos nachfolgendes geprüft wird
und weil '123.45xxxx' ~ '3.45' sonst auch trifft, obwohl 123 <> 3.




if TRegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP, '^(XX\.XX\.XX\.|XX\.XX\.XX\.)') then

Delphi-Quellcode:
// irgendwo vorher einmal initialisieren
RegEx := TRegEx.Create('^(XX\.XX\.XX\.|XX.XX\.XX\.)');

// und im Event nur noch
if RegEx.IsMatch(AContext.Connection.Socket.Binding.PeerIP) then
Oder wie wäre es mit einem einfachen String-Vergleich, wenn es eh nur um einen String-Anfang geht?
Delphi-Quellcode:
if
  StartsStr('XX.XX.XX.', AContext.Connection.Socket.Binding.PeerIP) OR
  StartsStr('XX.XX.XX.', AContext.Connection.Socket.Binding.PeerIP)
Garbage Collector ... Delphianer erzeugen keinen Müll, also brauchen sie auch keinen Müllsucher.
my Delphi wish list : BugReports/FeatureRequests

Geändert von himitsu ( 1. Okt 2024 um 13:16 Uhr)
  Mit Zitat antworten Zitat
SusiT

Registriert seit: 15. Mai 2014
40 Beiträge
 
#3

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 1. Okt 2024, 13:49
Ich nutze hier die public
function Match(const Input: string): TMatch; overload;

Der Matchingteil funktioniert und ist an dieser Stelle auch nur zum schnellen Debugging und Test eingebaut.
Auch wenn deine Variante die Elegantere ist versuche ich zuerst die Ursache für die CPU Auslastung zu finden.
Anschließend fliegt das wieder raus und wird anders gestaltet.
Die eingehenden SPAM Ips sind immer identisch daher hier testweise nur auf den String gefiltert .
XX sind tatsächlich Zahlen.

Ich fange hier im laufenden Programm tatsächlich die ungewünschten IPs ein und schreibe es ins Log.
  Mit Zitat antworten Zitat
Benutzerbild von himitsu
himitsu

Registriert seit: 11. Okt 2003
Ort: Elbflorenz
43.934 Beiträge
 
Delphi 12 Athens
 
#4

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 1. Okt 2024, 20:50
X = Ziffer .... hatte ich mir fast schon selbst gedacht.
Das Problem sind aber die Punkte, im RegEx.

.
\. oder [.]



ist versuche ich zuerst die Ursache für die CPU Auslastung zu finden.
AQtime lag, bis vor ein paar Jahren, in einer Emba-Version dem Delphi bei, auf der Addon-CD von XE bis XE7, bzw. auf der Installations-CD versteckt oder gar direkt im Delphi-Setup.
Die funktionieren jetzt vermutlich aber immernoch, also als Standalone ... nicht die IDE-Integration, aber egal.

https://en.wikipedia.org/wiki/List_o...analysis_tools




Direkt in der Firewall schon sperren?

Den Port verschieben?
Garbage Collector ... Delphianer erzeugen keinen Müll, also brauchen sie auch keinen Müllsucher.
my Delphi wish list : BugReports/FeatureRequests

Geändert von himitsu ( 1. Okt 2024 um 21:00 Uhr)
  Mit Zitat antworten Zitat
SusiT

Registriert seit: 15. Mai 2014
40 Beiträge
 
#5

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 07:51
Der Sender scannt Ports und probiert es auf denen die frei sind. Ich habe das Phänomen schon auf mehreren Servern und verschiedenen Ports beobachtet.
Die IP Adressen sind zwar immer gleich allerdings kommt auch mal eine neue dazu. Ideal wäre wenn das Programm die Blacklist für sich selber generiert, was möglich ist.
Allerdings verstehe ich nicht wie es zu der hohen CPU Auslastung kommt.

Irgendwas innerhalb der Indy-Komponenten führt zu dem Verhalten.

Am besten wäre die allererste Stelle zu finden an der ein Connect stattfindet und dort gleich IP Adressen zu blockieren.

OnConnect scheint das nicht zu sein.

Irgendwas schicken die bei dem TCP-Connect mit was zu dem Verhalten führt.
  Mit Zitat antworten Zitat
Benutzerbild von Olli73
Olli73

Registriert seit: 25. Apr 2008
Ort: Neunkirchen
713 Beiträge
 
#6

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 07:53
Was passiert wenn du anstatt AContext.Connection.Disconnect ein Abort machst?
  Mit Zitat antworten Zitat
SusiT

Registriert seit: 15. Mai 2014
40 Beiträge
 
#7

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 08:37
Ich sehe hier keine Möglichkeit einen Abort aufzurufen. Wie sieht der Aufruf für einen Abort aus?
  Mit Zitat antworten Zitat
Der schöne Günther

Registriert seit: 6. Mär 2013
6.154 Beiträge
 
Delphi 10 Seattle Enterprise
 
#8

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 08:50
Ich weiß nicht, ob Indy wirklich vernünftig für so etwas ausgelegt ist.

Ich würde eher ein Tool wie nginx davorschalten, der sich um so etwas wie Rate Limitung, Blacklistung usw. kümmert.
  Mit Zitat antworten Zitat
shebang

Registriert seit: 7. Feb 2020
119 Beiträge
 
Delphi 11 Alexandria
 
#9

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 09:07
Du kannst statt einem Disconnect ja mal ein DisconnectSocket probieren.
  Mit Zitat antworten Zitat
Benutzerbild von jaenicke
jaenicke
Online

Registriert seit: 10. Jun 2003
Ort: Berlin
9.571 Beiträge
 
Delphi 11 Alexandria
 
#10

AW: Indy10 TCPServer Spam erkennen, hohe CPU Auslastung

  Alt 2. Okt 2024, 10:02
Ich sehe hier keine Möglichkeit einen Abort aufzurufen. Wie sieht der Aufruf für einen Abort aus?
Delphi-Quellcode:
Abort;
// Das löst eine stille Exception aus.
Ich würde allerdings eher mal den Stacktrace an der Stelle als Ausgangspunkt nehmen und schauen, was da vorher passiert. Sprich ein wenig debuggen und schauen, ob es einen besseren Eingriffspunkt gibt.
Sebastian Jänicke
Alle eigenen Projekte sind eingestellt, ebenso meine Homepage, Downloadlinks usw. im Forum bleiben aktiv!
  Mit Zitat antworten Zitat
Antwort Antwort
Seite 1 von 2  1 2   

Themen-Optionen Thema durchsuchen
Thema durchsuchen:

Erweiterte Suche
Ansicht

Forumregeln

Es ist dir nicht erlaubt, neue Themen zu verfassen.
Es ist dir nicht erlaubt, auf Beiträge zu antworten.
Es ist dir nicht erlaubt, Anhänge hochzuladen.
Es ist dir nicht erlaubt, deine Beiträge zu bearbeiten.

BB-Code ist an.
Smileys sind an.
[IMG] Code ist an.
HTML-Code ist aus.
Trackbacks are an
Pingbacks are an
Refbacks are aus

Gehe zu:

Impressum · AGB · Datenschutz · Nach oben
Alle Zeitangaben in WEZ +1. Es ist jetzt 22:49 Uhr.
Powered by vBulletin® Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024 by Thomas Breitkreuz