SSH禁止10分鐘內(nèi)登陸失敗次數(shù)多的IP地址

cnscn2008

.程序
#!/bin/bash
# Script: /usr/local/cron/ssh_scan.sh
# Author cnscn <http://www.redlinux.org>
# Date: 2012-05-11

export LC_ALL=UTC

#掃描10分鐘內(nèi)的登陸失敗的IP
SCANNER=$( tm=$(date -d '10 minutes ago' +"%h %d %H") && \
             awk -v tm="$tm" ' $0 ~ tm &&  /Failed password/ && /ssh2/ { print $(NF-3) ; } ' /var/log/secure \
           | sort \
           | uniq -c \
           | awk '{print $1"="$2;}' \
        )

for i in $SCANNER
do
    #截取IP與數(shù)量
     IP=`echo $i|awk -F= '{print $2}'`
    NUM=`echo $i|awk -F= '{print $1}'`

    #數(shù)量大于8次，則使用iptables禁止IP
    if [ $NUM -gt 8 ]
    then
        iptables -vnL | grep DROP | grep $IP &>/dev/null
        [ $? -eq 0 ] || /sbin/iptables -I INPUT -s $IP -j DROP
        echo "`date` $IP($NUM)" >> /var/log/scanner.log
    fi
done
#End of Script

.[root@vps ~]# crontab -l
*/10 * * * * /usr/local/crontab/ssh_scan.sh

dooros

謝謝分享！

cnscn2008

cnscn2008

時間匹配這一塊有點問題,不過影響不大,可以修改一下 date -d '10 minutes ago' +"%h %d %H"

DiDeCrouse

思路很好！謝謝分享

realmon

實用腳本,謝謝分享!

hq22

很多人一直在掃描ssh 22端口的，這個很好。不過更改端口或許更方便

cnscn2008

改端口別人也可以查出來是開的ssh吧

coralzd

不錯的腳本。

marsaber

貌似沒有解禁？