防止SSH/ftp暴力检测的脚本

stevenkoh

总是有一些非常讨厌的人扫描我的服务器 只能屏蔽了之。研究了下，虽然有fail2ban这个工具，但好像搞得太大了些。自己写了一个，给大家共享

原贴发于 http://blog.csdn.net/stevenkoh/article/details/7686155

如有疑问,请CSDN提问,这里不定期更新


1.IPMonitor.sh

这个东西，每隔10分钟跑一次，如果有人多次攻击，自动屏蔽。屏蔽的IP超过了15分钟自动解锁。

1. #!/bin/bash
   
2. export PATH=$PATH:/sbin:/usr/sbin
   
3. 
   
4. curbanIP=/tmp/curBanInputIps.txt
   
5. curLog=/tmp/curlogIn20mins.txt
   
6. 
   
7. taillines=2000
   
8. expiredMins=15
   
9. #15Mins
   
10. 
    
11. MaxRetries=20
    
12. 
    
13. IDWORD="IPMT10"
    
14. 
    
15. #Check expired rules
    
16. iptables -L INPUT -n --line-number  | grep $IDWORD | awk '{print $1,$5,substr($8,8)}' | tac > $curbanIP
    
17. 
    
18. num=`cat $curbanIP | wc -l`
    
19. if [ $num -gt 0 ] ;then
    
20.         #>0
    
21.         exipredTMSTAMP=`date -d "$expiredMins min ago" +%s`
    
22.        
    
23.         cat $curbanIP | while read idx IP TMSTMP
    
24.         do       
    
25.                 if [ $TMSTMP -gt $exipredTMSTAMP ] ;then
    
26.                         iptables -D INPUT $idx
    
27.                         #removed
    
28.                 fi
    
29.         done
    
30. fi
    
31. 
    
32. 
    
33. #check the attacking IP
    
34. 
    
35. min1=`date -d '10 mins ago' '+%b %e %T'|cut -c1-11`
    
36. min2=`date '+%b %e %T'|cut -c1-11`
    
37. 
    
38. cat /var/log/secure | egrep "$min1|$min2" |grep 'authentication failure' | awk -F'rhost=' '{print $2}' | cut -d' ' -f1 | sort | uniq -c | awk '{if (length($2)>0) print $1,$2}' > $curLog
    
39. num=`cat $curLog | wc -l`
    
40. if [ $num -gt 0 ] ;then
    
41.         #>0
    
42.        
    
43.         cat $curLog | while read failtimes IP
    
44.         do       
    
45.                 if [ $failtimes -gt $MaxRetries ] ;then
    
46.                         if ! [[ $IP =~ '^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}]] ; then
    
47.                                 tmpIP=`ping -c1 -W1 $IP | head -n1 | cut -d'(' -f2 | cut -d')' -f1`
    
48.                                 IP=$tmpIP
    
49.                         fi
    
50.                        
    
51.                         if ! iptables -L INPUT -n|grep $IP ; then
    
52.                                 tmpStr=`date '+%F %T'`
    
53.                                 tmpStmp=`date +%s`
    
54.                                 iptables -A INPUT -s $IP -j DROP  -m comment --comment "tmstmp:$tmpStmp ,add at $tmpStr,baned by $IDWORD"
    
55.                         fi                       
    
56.                 fi
    
57.         done
    
58. fi
    
59. 
    
60. 
    
61. rm -f $curbanIP $curLog

复制代码

2. IPMonitorDaily.sh

跑了几天，发现几个变态IP，每隔45分钟折腾一次，持续了好几天。算下来折腾了2000多次，简直就是神经病，偷窥狂。只能再折腾一次

1. #!/bin/bash
   
2. 
   
3. export PATH=$PATH:/sbin:/usr/sbin
   
4. 
   
5. curbanIP=/tmp/curBanInputIps.txt
   
6. curLog=/tmp/curPermanentIPS.txt
   
7. 
   
8. attacktimes=20
   
9. 
   
10. IDWORD="IPMTPERMANENT"
    
11. 
    
12. #Check expired rules
    
13. iptables -L INPUT -n --line-number  | grep $IDWORD | awk '{print $1,$5,substr($8,8)}' | tac > $curbanIP
    
14. 
    
15. num=`cat $curbanIP | wc -l`
    
16. if [ $num -gt 0 ] ;then
    
17.         #>0       
    
18.         cat $curbanIP | while read idx IP TMSTMP
    
19.         do       
    
20.                 if ! grep $IP /var/log/secure > /dev/null ;then
    
21.                         iptables -D INPUT $idx
    
22.                         #removed
    
23.                 fi
    
24.         done
    
25. fi
    
26. 
    
27. 
    
28. #check the attacking IP
    
29. 
    
30. cat /var/log/secure | grep 'authentication failure' | awk -F'rhost=' '{print $2}' | cut -d' ' -f1 | sort | uniq -c | awk '{if ($1>100) print $2}' > $curLog
    
31. 
    
32. num=`cat $curLog | wc -l`
    
33. if [ $num -gt 0 ] ;then
    
34.         #>0       
    
35.         cat $curLog | while read IP
    
36.         do
    
37.                 attackdays=`cat /var/log/secure | grep $IP | cut -c1-6 | uniq -c | wc -l`
    
38.                 if [ $attackdays -gt 1 ] ;then
    
39. 
    
40.                         if ! iptables -L INPUT -n|grep $IP > /dev/null ; then
    
41.                                 tmpStr=`date '+%F %T'`
    
42.                                 tmpStmp=`date +%s`
    
43.                                 iptables -A INPUT -s $IP -j DROP  -m comment --comment "tmstmp:$tmpStmp ,add at $tmpStr,baned by $IDWORD"
    
44.                         fi                       
    
45.                        
    
46.                 fi
    
47.         done
    
48. fi
    
49. 
    
50. rm -f $curbanIP $curLog
    
51. 
    
52. 
    

复制代码

把以上两个放到crontab 里面，效果很好，一个10分钟跑一次。一个每天23:30跑一次 。终于都杀掉了

平时可以看看 iptables -L INPUT -n 看看效果。讨厌的IP都在里面。

以上脚本在CentOS 5.x 通过,转发请注明出处



希望大家有用处

zhangjiang

留做备用

ulovko

感谢分享 ！ ^_^

mengchang

你联系方式吗，以后常交流.问下$IDWORD的值，从哪里得到的