DDOS op Exim regex.custom wil niet

[Bart L]

Goedemorgen,

We hebben een server die al een dag of 5 wordt lastiggevallen, Exim heeft er weinig last van, maar wil toch van de requests af (zijn een stuk op 1000 bron IP's).

Bron:



2013-10-30 09:33:33 SMTP protocol synchronization error (input sent without waiting for greeting): rejected connection from H=host81-149-83-207.in-addr.btopenworld.com [81.149.83.207] input="˜F¢ŽCå\002üØ ÈLŒ£0#=§×L˜\037™¨«"Y÷ &±/s²þÈg´BXɶ\030OùL\021*¼Õ:ñ¾Ú.æÁ7õ `Ä"


Dus regex.custom.pm ingevuld met:



if (($lgfile eq $config{CUSTOM1_LOG}) and ($line =~ /^\d+\D+\d+\D+\d+ \d+\D+\d+\D+\d+ SMTP protocol synchronization .*\[(\d+\.\d+\.\d+\.\d+)\].*/)) {
return ("Failed exim syntax from","$1","eximdosmatch","1","25,143","1");
}


Custom1 op zowel reject als mainlog geprobeerd. Maar hij wil niet, iemand enig idee?

[SebastiaanStok]

Het begin van de regex matched gewoon, en het restant matched vanwege de '.*' alles of niets en de "\[(\d+\.\d+\.\d+\.\d+)\]" matched het IP-adres en wat daarna komt word gemached door .*

Dus als je de input="" wilt matched of error zul je de regex veel strenger moeten maken.

.* is eigenlijk alleen handig als je de invoer al weet maar geen uitdrukkelijke match kan maken, meestal doet het meer fout dan goed.

En test je regex ook los, niet alleen bij het uitvoeren :smartass: scheelt ook weer tijd.

http://www.freeformatter.com/regex-tester.html
'http://regexpal.com/
http://www.regexbuddy.com/test.html (30 dagen gratis proberen)