一个对付ssh密码扫描的脚本

ttvast

1分钟同一个IP超过10次尝试密码出错,IPTABLES封24小时.
练练手的,应该有更强大的工具的.

1. 
   
2. #!/usr/bin/env python
   
3. import time,syslog,os,sys,re
   
4. import bsddb
   
5. pid=os.fork()
   
6. if pid>0:
   
7.         sys.exit(0)
   
8. elif pid<0:
   
9.         print "fork error"
   
10.         sys.exit(-1)
    
11. os.setsid()
    
12. os.chdir("/tmp")
    
13. os.close(0)
    
14. os.close(1)
    
15. os.close(2)
    
16. os.umask(0)
    
17. def iptables_fresh():
    
18.         ddb=bsddb.hashopen("/var/log/sshdetect.db")
    
19.         nowt=time.time()
    
20.         for ip in ddb.keys():
    
21.                 disable_time=float(ddb[ip])
    
22.                 if disable_time<nowt-86400:
    
23.                         syslog.syslog("unblock ip address %s" % ip)
    
24.                         iptables_delete(ip)
    
25.         ddb.close()
    
26. def iptables_delete(ip):
    
27.         ddb=bsddb.hashopen("/var/log/sshdetect.db")
    
28.         cmd="iptables -D INPUT -s %s -p tcp ! --syn -j DROP" % ip
    
29.         os.system(cmd)
    
30.         os.system("service iptables save")
    
31.         del(ddb[ip])
    
32.         ddb.close()
    
33. def iptables_disable(ip):
    
34.         ddb=bsddb.hashopen("/var/log/sshdetect.db")
    
35.         nowt=time.time()
    
36.         cmd="iptables -I INPUT -s %s -p tcp ! --syn -j DROP" % ip
    
37.         os.system(cmd)
    
38.         os.system("service iptables save")
    
39.         ddb[ip]=str(nowt)
    
40.         ddb.close()
    
41. cmd="tail -F /var/log/messages"
    
42. f=os.popen(cmd)
    
43. failips={}
    
44. 
    
45. while 1:
    
46.         iptables_fresh()
    
47.         try:
    
48.                 line=f.readline()
    
49.         except:
    
50.                 f.close()
    
51.                 f=os.popen(cmd)
    
52.                 continue
    
53.         rs=re.search("authentication failure.*rhost=(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})",line)
    
54.         nowt=time.time()
    
55.         if rs:
    
56.                 ip=rs.group(1)
    
57.                 if failips.has_key(ip):
    
58.                         failips[ip].append(nowt)
    
59.                         while failips[ip][0]<nowt-60:
    
60.                                 failips[ip].pop(0)
    
61.                         if len(failips[ip])>10:
    
62.                                 iptables_disable(ip)
    
63.                                 del(failips[ip])
    
64.                                 syslog.syslog("block ip address %s" % ip)
    
65.                 else:
    
66.                         failips[ip]=[nowt]
    
67. 
    

复制代码

[ 本帖最后由 ttvast 于 2007-1-20 10:37 编辑 ]