Linux定时检测并屏蔽SSH暴力攻击源IP-技术学堂

近期发现很多IP尝试暴力破解我的主机密码，为了降低主机风险，特写了一个脚本，用于自动将风险源IP地址加入系统屏蔽文件中。

如果通过固定IP登录主机，可参照Linux操作系统防SSH暴力破解常见方法的0x03部分，如果您的终端IP是随机的，为了防止把自己列入黑名单，就可以参考如下代码：

#!/bin/bash

#待检测日志文件

LOGS_FNAME="/var/log/secure"

#每小时检测一次

#CHECK_TIME=$((`date +%s`-3600))

#CHECK_FREQ=`date -d@${CHECK_TIME} +%d\ %H:`

#每分钟检测一次

CHECK_TIME=$((`date +%s`-60))

CHECK_FREQ=`date -d@${CHECK_TIME} +%d\ %H:%M:`

#检测关键字

RISK_WORDS="Failed password"

#关键字出现次数

RISK_TIMES=3

#IP白名单

HOSTS_ALOW="/etc/hosts.allow"

#IP黑名单

HOSTS_DENY="/etc/hosts.deny"

#备份目录

WEB_FOLDER="/download/folder/"

#备份标识

COPIED_TAG=0

IPLIST=`grep -E "${CHECK_FREQ}" "$LOGS_FNAME" | grep -E "${RISK_WORDS}" | awk -F 'from' '{print $2}' | awk '{print $1}' | sort|uniq`

[ -z "${IPLIST}" ] && exit 0

IFSBAK=$IFS

IFS=$'\n'

for RISK in ${IPLIST}

IP_ALOWED=`grep -E "${RISK}" "${HOSTS_ALOW}"`

IP_DENIED=`grep -E "${RISK}" "${HOSTS_DENY}"`

[ -n "${IP_ALOWED}" ] || [ -n "${IP_DENIED}" ] && continue

CONN_TIMES=`grep -E "${RISK}" "${LOGS_FNAME}" | wc -l`

[ ${CONN_TIMES} -gt ${RISK_TIMES} ] && echo "sshd: ${RISK}" >> "${HOSTS_DENY}" && COPIED_TAG=1

done

IFS=$IFSBAK

[ ${COPIED_TAG} == 1 ] && cp -r "${HOSTS_DENY}" "${WEB_FOLDER}" && COPIED_TAG=0

最后，将脚本加执行权限并设置定时任务。

Linux定时检测并屏蔽SSH暴力攻击源IP