Parker Falcon :: Grooving on the paper

regex python version

for torstatus.blutmagie.de

http://regex101.com/r/eM5jN6/1

<tr class='(.)'><td class='TR(.)'><a href='http://www\.openstreetmap\.org\/\?mlon=([-\d\.]+)&mlat=([-\d\.]+)&zoom=\d+' target='_blank'><img src='img\/flags\/(\w+)\.gif' class='flag' width='\d+px' title='(.+)' alt='\w+' border='0'><\/a>&nbsp;<a href='router_detail\.php\?FP=([a-zA-Z0-9]+)' target='_blank'>([^\<]+)<\/a><\/td><td class='TDb'><table cellspacing='0' cellpadding='0' class='bwb'><tr title='([^']+)'><td class='bwr.?'><img src='img/bar/\d+.png' width='\d+px' height='15px' alt='\d+'></td><td>&nbsp;<small>&nbsp;\d+</small></td></tr></table></td><td class='TDc.?'>([^<]+)</td><td class='TDS'><table class='iT'><tr><td class='iT'>([^\[]+)\[<a class='who' href='/cgi\-bin/whois.pl\?ip=[\d\.]+' target='_blank'>([\d\.]+)</a>\]</td>(<td><img src='img/status/Fast.png' title='Fast Server' alt='Fast Server'></td>)?(<td><img src='img/status/Exit.png' title='Exit Server' alt='Exit Server'></td>)?(<td><img src='img/status/Dir.png' title='Directory Server' alt='Directory Server'></td>)?(<td><img src='img/status/Guard.png' title='Guard Server' alt='Guard Server'></td>)?(<td><img src='img/status/Stable.png' title='Stable Server' alt='Stable Server'></td>)?(<td><img src='img/status/Authority.png' title='Authority Server' alt='Authority Server'/></td>)?<td><img src='[^']+' title='([^']+)' alt='[^']+'></td>(<td><img src='[^']+' title='([^']*)' alt='[^']*'></td>)?</tr></table></td><td class='TDc'>(<b>)?(\d*)(</b>)?</td><td class='TDc'>(<b>)?([None\d]*)(</b>)?</td><td class='(F\d)'></td></tr>

상황: 특정 룰을 추가했더니 한 번 테스트 할 때는 잘 감지가 되었으나, 정작 실제 공격 시도에서 감지가 안되었다. 

분석: 일정 회수 이상으로 접근을 한 결과 서비서 거부 정책에서 특정 시간에 몇 회 이상 TCP PORT SWEEP 같은 형태로 필터를 한 것으로 추정

결론: 업체에 물어보니 원래 그렇다고. 

느낀 점: 잘못 파악한건가 싶기도 하고, 무슨 시스템이 이렇게 작동할 리가 없잖아 :(