SSH禁止10分钟内登陆失败次数多的IP地址

cnscn2008

.程序
#!/bin/bash
# Script: /usr/local/cron/ssh_scan.sh
# Author cnscn <http://www.redlinux.org>
# Date: 2012-05-11

export LC_ALL=UTC

#扫描10分钟内的登陆失败的IP
SCANNER=$( tm=$(date -d '10 minutes ago' +"%h %d %H") && \
             awk -v tm="$tm" ' $0 ~ tm &&  /Failed password/ && /ssh2/ { print $(NF-3) ; } ' /var/log/secure \
           | sort \
           | uniq -c \
           | awk '{print $1"="$2;}' \
        )

for i in $SCANNER
do
    #截取IP与数量
     IP=`echo $i|awk -F= '{print $2}'`
    NUM=`echo $i|awk -F= '{print $1}'`

    #数量大于8次，则使用iptables禁止IP
    if [ $NUM -gt 8 ]
    then
        iptables -vnL | grep DROP | grep $IP &>/dev/null
        [ $? -eq 0 ] || /sbin/iptables -I INPUT -s $IP -j DROP
        echo "`date` $IP($NUM)" >> /var/log/scanner.log
    fi
done
#End of Script

.[root@vps ~]# crontab -l
*/10 * * * * /usr/local/crontab/ssh_scan.sh

dooros

谢谢分享！

cnscn2008

cnscn2008

时间匹配这一块有点问题,不过影响不大,可以修改一下 date -d '10 minutes ago' +"%h %d %H"

DiDeCrouse

思路很好！谢谢分享

realmon

实用脚本,谢谢分享!

hq22

很多人一直在扫描ssh 22端口的，这个很好。不过更改端口或许更方便

cnscn2008

改端口别人也可以查出来是开的ssh吧

coralzd

不错的脚本。

marsaber

貌似没有解禁？