shell脚本自动加黑恶意攻击IP

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了shell脚本自动加黑恶意攻击IP相关的知识,希望对你有一定的参考价值。

shell脚本自动加黑恶意攻击IP


系统环境:Centos 6.5 X64


如果我们对所有用户开放了SSH 22端口,那么我们就可以在/var/log/secure文件里查看,这里面全是恶意攻击的IP ,那么我们又该如何拒绝这些IP在下次攻击时直接把他拉黑,封掉呢? 或者这个IP再试图登陆4次或7次我就把他拒绝了,把他这个IP永久的封掉呢?这个时候我们就可以用这下面这个脚本来实现。


[[email protected] ssh]# vi /etc/ssh/blocksship


#!/bin/bash

#auto drop ssh failed IP address

#by authors evanli 2017-6-13

SEC_FILE=/var/log/failed.txt

ip_regex="[[:digit:]]{1,3}\.[[:digit:]]{1,3}\.[[:digit:]]{1,3}\.[[:digit:]]{1,3}"

grep -r "Failed password" /var/log/secure > /var/log/failed.txt

IP_ADDR=`tail -n 100 /var/log/failed.txt |grep "Failed password"| egrep -o  $ip_regex | sort -nr | uniq -c | awk ‘$1>=7 {print $2}‘`

IPTABLES_CONF=/etc/sysconfig/iptables

for i in `echo $IP_ADDR`

do

        cat $IPTABLES_CONF |grep $i >/dev/null

if

        [ $? -ne 0 ];then

        sed -i "5 a -A INPUT -s $i -m state --state NEW -m tcp -p tcp --dport 22 -j DROP" $IPTABLES_CONF

else

        echo "This is $i is exist in iptables,please exit ....."

fi

done



脚本说明

一、先生成带有关键字“Failed password”的文件/var/log/failed.txt

二、再查找failed.txt文件中出现次数大于7的IP地址。

三、awk ‘$1>=7 表示匹配文件中出数 次数大于等7的IP,才加入黑名单。此数字7可按自己需要更改

四、判断iptables配置文件里是否存在已拒绝的ip,如果不存在,就不再添加相应条目,如果存在就显示“This is IP is exist in iptables,please exit .....”

五、sed -i "5 a -A INPUT -s $i -m state --state NEW -m tcp -p tcp --dport 22 -j DROP" $IPTABLES_CONF

表示在iptables文件的第5行之后,新加入一行DROP策略。请一定要根据自己iptables文件,来选择在第几行插入新的DROP策略。



给执行权限,并执行

[[email protected] ssh]# chmox +x /etc/ssh/blocksship

[[email protected] ssh]# /etc/ssh/blocksship


执行后,查看iptables文件是否正常。如没问题,重起服务。

[[email protected] ssh]# vi /etc/sysconfig/iptables

[[email protected] ssh]# service iptables restart 


添加到排程任务,每1小时执行一次

[[email protected] postfix]# vi /etc/crontab

0 */1 * * * root /etc/ssh/blocksship 



以下是单条命令分开执行后的效果

生成带有关键字“Failed password”的文件

[[email protected] ssh]# grep -r "Failed password" /var/log/secure > /var/log/failed.txt


显示failed.txt文件第11列信息,即IP地址

[[email protected] ssh]# tail -n 100 /var/log/failed.txt |grep "Failed password"| awk ‘{print $11}‘

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15

219.132.35.82

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15

62.145.211.15



直接用命令统计出某个IP试图登陆的次数 

[[email protected] ssh]# tail -n 100 /var/log/failed.txt |grep "Failed password"| awk ‘{print $11}‘|sort|uniq -c |sort -nr 

     12 62.145.211.15

      1 219.132.35.82

12表示该IP出现了12次


显示大于等7次的IP

[[email protected] ssh]# tail -n 100 /var/log/failed.txt |grep "Failed password"| awk ‘{print $11}‘|sort|uniq -c |sort -nr | awk ‘$1>=7 {print $2}‘

62.145.211.15



参考文章

http://kangh.iteye.com/blog/2304836


测试成功于2017.6.13日,evan.li


本文出自 “虚拟化应用” 博客,请务必保留此出处http://liwenhn.blog.51cto.com/854522/1935129

以上是关于shell脚本自动加黑恶意攻击IP的主要内容,如果未能解决你的问题,请参考以下文章

浅谈XSS攻击与防护(跨站脚本攻击)

Shell脚本实现非法IP登陆自动报警

跨站点脚本攻击

Linux里面ddos是啥?

XSS攻击&SQL注入攻击&CSRF攻击?

阿里云ECS后台利用“安全组”屏蔽恶意攻击ip地址