如果分析log自动屏蔽攻击ip？分析log的脚本有了，求自动屏蔽部分

symeteor

主要是自动分析apache的log，然后找出可能是攻击的ip，然后自动添加到ipfw的屏蔽列表里

分析log可以用下面的脚本
tail -10000 /web/log/access.log | awk '{print $1}' | sort | uniq -c | sort

输出是类似这样的结果
100 122.245.167.138
100 58.60.109.77
101 180.108.255.44
102 113.235.119.39
104 14.214.153.196
109 60.161.84.145
116 116.25.4.52
117 112.80.142.126
126 222.170.151.83
131 119.55.128.146
138 218.13.205.63
159 70.52.150.143
162 180.127.16.203
166 1.58.89.185

如果某ip超过3000，可以判断为攻击源，希望可以自动添加到ipfw的屏蔽列表
命令用
ipfw add 246 deny all from 116.114.17.182 to any

红色部分需要变化，请教这个脚本如何去写？

rdcwayx

不清楚246如何得到，先看看这个：
先不要带 |sh 运行，命令确认后，再加 |sh

1. tail -10000 /web/log/access.log | awk '{a[$1]++}END{for (i in a) if (a[i]>3000) printf "ipfw add 246 deny all from %s to any\n", i}'  |sh

复制代码

symeteor

zooyo 发表于 2012-09-04 23:22
请问 246 是怎么来的

246只是表示这个规则的顺序代码
比65535小即可

zyj19871215

source_ip=($(netstat -an |grep ..*:80|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|awk '$1>=3000 {print $2}'))
x=${source_ip[0]}
if [ -n "$x" ]
then
         for i in ${source_ip[@]}
         do
         iptables -A INPUT -s ${i} -p tcp --dport 80 -j DROP
         done
else
         exit 0
fi

zyj19871215

感觉不要从日志中提取IP，直接他们访问你80端口从netstat -an中调取，如上小脚本，加到计划任务中

cjaizss

tail -10000 /web/log/access.log | awk '{print $1}' | sort | uniq -c | awk '$1>3000{print "ipfw add 246 deny all from "$2" to any"}'|sh
可以吗