正則問(wèn)題

jean2e

匹配日志中的ip，假設(shè)一種極端情況，日志中有類似于999.168.92.132 這樣的ip，請(qǐng)問(wèn)如何過(guò)濾掉？只保留正常ip。
Feb 18 20:56:34 localhost sshd[2633]: Failed password for root from 999.168.92.132 port 2427 ssh2

在awk中我的寫法如下，不知道錯(cuò)在哪了

1. awk '{for (count=1;count<=NF;count++){if ($count ~ /(2[0-4][0-9]|25[0-5]|[01]?[0-9][0-9]?)\.(2[0-4][0-9]|25[0-5]|[01]?[0-9][0-9]?)\.(2[0-4][0-9]|25[0-5]|[01]?[0-9][0-9]?)\.(2[0-4][0-9]|25[0-5]|[01]?[0-9][0-9]?))/) {print $count}}}'

復(fù)制代碼

liaosnet

如果是正常連接,可能出現(xiàn)這樣的IP嗎？?~?

jean2e

肯定不能，這是自己胡思亂想的問(wèn)題 挑戰(zhàn)下正則水平

infernor

也不一定要用正則來(lái)判斷，大約的提取出來(lái)后，可以再判斷是否小于255之類的

longmans163

有點(diǎn)亂，如果格式固定的話可以考慮以下實(shí)現(xiàn)方法：
#!/bin/sh
#Feb 18 20:56:34 localhost sshd[2633]: Failed password for root from 999.168.92.132 port 2427 ssh2
string='Feb 18 20:56:34 localhost sshd[2633]: Failed password for root from 999.168.92.132 port 2427 ssh2'
ip_part=${string#*from}
ip=${ip_part% port*ssh2}
echo $ip

ynchnluiti

原帖由 longmans163 于 2009-2-21 22:07 發(fā)表
有點(diǎn)亂，如果格式固定的話可以考慮以下實(shí)現(xiàn)方法：
#!/bin/sh
#Feb 18 20:56:34 localhost sshd[2633]: Failed password for root from 999.168.92.132 port 2427 ssh2
string='Feb 18 20:56:34 localhost ss ...

這只是提取了from和port之間的內(nèi)容

donggua0713

突然不記得正則中（）和\1怎么用了，只有用笨寫法：


more test | egrep "(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)"

\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\> 這個(gè)嚴(yán)格匹配從1－255，重復(fù)4次。但第二次，第三次，第四次需要把第一個(gè)[1-9]換為【0－9】，以匹配0

[ 本帖最后由 donggua0713 于 2009-2-23 14:49 編輯 ]

donggua0713

(2[0-4][0-9]|25[0-5]|[01]?[0-9][0-9]?)

你這一段中，后面[01]?[0-9][0-9]?有問(wèn)題，你這寫法，可以匹配000，001，002等等0開(kāi)頭的數(shù)字。

HH106

原帖由 donggua0713 于 2009-2-23 14:01 發(fā)表
突然不記得正則中（）和\1怎么用了，只有用笨寫法：


more test | egrep "(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)\.(\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\>)"

\<(([1-9]|[1-9][0-9])|1[0-9][0-9]|2([0-4][0-9]|5[0-5]))\> 這個(gè)嚴(yán)格匹配從1－255，重復(fù)4次。但第二次，第三次，第四次需要把第一個(gè)[1-9]換為【0－9】，以匹配0

簡(jiǎn)化下
egrep "(\<([0-9]{1,2}|1[0-9]{2}|2[0-4][0-9]|25[0-5]\>)\.){3}\<([0-9]{1,2}|1[0-9]{2}|2[0-4]\d|25[0-5])\>" urfile

donggua0713

原帖由 HH106 于 2009-2-23 16:13 發(fā)表

簡(jiǎn)化下
egrep "(\)\.){3}\" urfile

不能這樣改，第一個(gè)判斷1－255的那部分正則，和后面三部分不同的，因?yàn)镮P地址不能以0開(kāi)頭，但在其它部分可以使用0，所以第一段和后面三段是不能一樣的，