取出/var/log/secure中一小时内登录失败超过三次的IP

取出/var/log/secure中一小时内登录失败超过三次的IP

前两个字段是日期，第三个字段是小时，第四个字段是IP
cat /var/log/secure | sort -i | awk -F '[ :]' '/Failed/{a[$1" "$2" "$3" "$4" "$(NF-3)]++}END{for(i in a)if(a[i]>3)print i}'
 
s="Jul 7 13:49:08"
sed -n "/$s/,$ p" /var/log/secure | awk '/Failed/{a[$(NF-3)]++}END{for(b in a){if(a[b]>2){print b}}}'
 

统计/var/log/secure日志中出现“Failed”关键词的IP地址及次数。
···
awk 是三剑客中一把利刃。

cat /var/log/secure
Jul 18 10:28:59  sshd[1377656]: Accepted password for root from 172.16.100.66 port 59750 ssh2
Jul 18 10:28:59  sshd[1377656]: pam_unix(sshd:session): session opened for user root by (uid=0)
Jul 18 10:38:20  sshd[1416681]: Accepted password for root from 172.16.100.21 port 62366 ssh2
Jul 18 10:38:20  sshd[1416681]: pam_unix(sshd:session): session opened for user root by (uid=0)
Jul 18 10:58:57  sshd[1502199]: Accepted password for root from 172.16.100.66 port 61038 ssh2
# 可以看到正常的一个访问日志记录，新建一个连接 故意输错密码，让日志记录一下
Jul 18 10:59:13  sshd[1503821]: Failed password for root from 172.16.100.21 port 63802 ssh2
#可以看到错误登陆时的日志记录是这样的。
那么就可以开始使用awk来实现二级标题中的需要了。

先给出命令再来解析

awk '/Failed/ {++ip[$(NF-3)]} END {for (i in ip) print i"="ip[i]}'
 

一、登录ssh失败次数统计

1）错误的打开方式

awk '/Failed password/ {print $(NF-3)}' secure |sort -n |uniq -c|sort -n |tail /var/log/secure

2）拷贝文件，再查看失败

cp /var/log/secure .

awk '/Failed password/ {print $(NF-3)}' secure |sort -n |uniq -c|sort -n |tail

 3）直接查看失败

$ awk '/Failed password/ {print $(NF-3)}' /var/log/secure |sort -n |uniq -c|sort -n 

4）查看最近失败的时间

less  /var/log/secure

 按G

二、对于防破解问题的处理

1）禁止密码登录方式

  vi  /etc/ssh/sshd_config

 2）禁止失败的IP登录的方式

 

#
# hosts.deny    This file contains access rules which are used to
#               deny connections to network services that either use
#               the tcp_wrappers library or that have been
#               started through a tcp_wrappers-enabled xinetd.
#
#               The rules in this file can also be set up in
#               /etc/hosts.allow with a 'deny' option instead.
#
#               See 'man 5 hosts_options' and 'man 5 hosts_access'
#               for information on rule syntax.
#               See 'man tcpd' for information on tcp_wrappers
#
sshd:192.168.2.41:deny

/etc/hosts.deny

在/etc/hosts.deny文件下面

添加 sshd:192.168.2.41:deny

重启sshd

Linux 系统SSH 登录失败的内容会记录到/var/log/secure文件，通过查找关键字 Failed，可以定位到这些异常的IP地址，比如：

[root@www.cndba.cn ~]# cat /var/log/secure|grep 36.250.229.118
Jan 10 16:54:25 iZbp15upsrdbnwnq3zksepZ sshd[10813]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:25 iZbp15upsrdbnwnq3zksepZ sshd[10813]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:27 iZbp15upsrdbnwnq3zksepZ sshd[10813]: Failed password for root from 103.152.101.235 port 59352 ssh2
Jan 10 16:54:27 iZbp15upsrdbnwnq3zksepZ sshd[10813]: Connection closed by 103.152.101.235 port 59352 [preauth]
Jan 10 16:54:29 iZbp15upsrdbnwnq3zksepZ sshd[10820]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:29 iZbp15upsrdbnwnq3zksepZ sshd[10820]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:31 iZbp15upsrdbnwnq3zksepZ sshd[10820]: Failed password for root from 103.152.101.235 port 60970 ssh2
Jan 10 16:54:31 iZbp15upsrdbnwnq3zksepZ sshd[10820]: Connection closed by 103.152.101.235 port 60970 [preauth]
Jan 10 16:54:33 iZbp15upsrdbnwnq3zksepZ sshd[10825]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:33 iZbp15upsrdbnwnq3zksepZ sshd[10825]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:35 iZbp15upsrdbnwnq3zksepZ sshd[10825]: Failed password for root from 103.152.101.235 port 34445 ssh2
Jan 10 16:54:35 iZbp15upsrdbnwnq3zksepZ sshd[10825]: Connection closed by 103.152.101.235 port 34445 [preauth]
Jan 10 16:54:37 iZbp15upsrdbnwnq3zksepZ sshd[10831]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:37 iZbp15upsrdbnwnq3zksepZ sshd[10831]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:39 iZbp15upsrdbnwnq3zksepZ sshd[10831]: Failed password for root from 103.152.101.235 port 36166 ssh2
Jan 10 16:54:39 iZbp15upsrdbnwnq3zksepZ sshd[10831]: Connection closed by 103.152.101.235 port 36166 [preauth]
Jan 10 16:54:41 iZbp15upsrdbnwnq3zksepZ sshd[10836]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:41 iZbp15upsrdbnwnq3zksepZ sshd[10836]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:43 iZbp15upsrdbnwnq3zksepZ sshd[10836]: Failed password for root from 103.152.101.235 port 37866 ssh2
Jan 10 16:54:43 iZbp15upsrdbnwnq3zksepZ sshd[10836]: Connection closed by 103.152.101.235 port 37866 [preauth]
Jan 10 16:54:45 iZbp15upsrdbnwnq3zksepZ sshd[10841]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:45 iZbp15upsrdbnwnq3zksepZ sshd[10841]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:47 iZbp15upsrdbnwnq3zksepZ sshd[10841]: Failed password for root from 103.152.101.235 port 39832 ssh2
Jan 10 16:54:47 iZbp15upsrdbnwnq3zksepZ sshd[10841]: Connection closed by 103.152.101.235 port 39832 [preauth]
Jan 10 16:54:49 iZbp15upsrdbnwnq3zksepZ sshd[10847]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.152.101.235  user=root
Jan 10 16:54:49 iZbp15upsrdbnwnq3zksepZ sshd[10847]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Jan 10 16:54:51 iZbp15upsrdbnwnq3zksepZ sshd[10847]: Failed password for root from 103.152.101.235 port 41558 ssh2
Jan 10 16:54:52 iZbp15upsrdbnwnq3zksepZ sshd[10847]: Connection closed by 103.152.101.235 port 41558 [preauth]


比如这里，明显这个IP地址在进行SSH 扫描，不断的更换端口和用户进行暴力测试。

在Linux里面有两个相关的文件：

/etc/hosts.allow： 允许哪些IP访问主机

cat /etc/hosts.allow
sshd:19.16.18.1:allow
sshd:19.16.18.2:allow
 
/etc/hosts.deny 禁止哪些IP访问主机:

cat /etc/hosts.deny
sshd:13.7.3.6:deny
sshd:92.4.0.4:deny
sshd:94.10.4.2:deny
sshd:94.4.1.6:deny
sshd:11.64.11.5:deny
 
因此，我们只需要从/var/log/secure文件中提取IP地址，如果次数达到10次则将该IP写到 /etc/hosts.deny中，禁止这些IP访问主机。

脚本如下secure_ssh.sh：

#! /bin/bash
cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' > /boss/config/black.list
for i in `cat  /boss/config/black.list`
do
  IP=`echo $i |awk -F= '{print $1}'`
  NUM=`echo $i|awk -F= '{print $2}'`
  echo $IP=$NUM
  if [ $NUM -gt 10 ]; then
    grep $IP /etc/hosts.deny > /dev/null
    if [ $? -gt 0 ];then
      echo "sshd:$IP:deny" >> /etc/hosts.deny
    fi
  fi
done

 
将secure_ssh.sh脚本放入cron计划任务，每1小时执行一次。

# crontab -e
0 */1 * * *  sh /usr/local/bin/secure_ssh.sh
 

1 CentOS7通过定时脚本阻断异常IP连接SSH（实测）_secure_ssh.sh-CSDN博客

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/817486.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

使用 Python 实现复制粘贴的功能

使用 Python 实现复制粘贴的功能

pandas 里面有一个 pd.read_clipboard 函数，可以根据你复制的内容生成DataFrame。是的，就是我们平时选中，然后 CtrlC 时拷贝的内容。所以比较神奇，那么 pandas 到底是怎么做到的，它是怎么读出我们使用 Ctrl C 复制的内…
阅读更多...
【面试题】s += 1 和 s = s + 1的区别

【面试题】s += 1 和 s = s + 1的区别

文章目录 1.问题2.发现过程3.解析 1.问题 以下两个程序真的完全等同吗？ short s 0; s 1; short s 0; s s 1; 2.发现过程 初看s 1 和 s s 1好像是等价的，没有什么区别。很长一段时间内我也是这么觉得，因为当时学习c语言的时候教科书…
阅读更多...
更优性能与性价比，从自建 ELK 迁移到 SLS 开始

更优性能与性价比，从自建 ELK 迁移到 SLS 开始

作者：荆磊 背景 ELK (Elasticsearch、Logstash、Kibana) 是当下开源领域主流的日志解决方案，在可观测场景下有比较广泛的应用。 随着数字化进程加速，机器数据日志增加，自建 ELK 在面临大规模数据、查询性能等方面有较多问题和挑…
阅读更多...
【简单讲解如何安装与配置Composer】

【简单讲解如何安装与配置Composer】

🎥博主：程序员不想YY啊 💫CSDN优质创作者，CSDN实力新星，CSDN博客专家 🤗点赞🎈收藏⭐再看💫养成习惯 ✨希望本文对您有所裨益，如有不足之处，欢迎在评论区提出…
阅读更多...
实时渲染 -- 流明（Lumen）

实时渲染 -- 流明（Lumen）

首先我们需要知道Lumen需要解决哪些问题。 很多人都会问，既然已经有了硬件的Raytracing ，我们为什么还要Lumen呢。这是由于很多硬件并不支持 Realtime Raytracing，对于支持的那些硬件， N 卡还算是勉强可以，而 A 卡支持…
阅读更多...
震动Github榜！7K Star火爆的数字人竟然开源了，拿走不谢（文末福利免费领）

震动Github榜！7K Star火爆的数字人竟然开源了，拿走不谢（文末福利免费领）

本号专注于分享Github和Gitee上的高质量开源项目，并致力于推动前沿技术的分享。 软件介绍 Fay数字人框架-带货版是一个用于构建数字人应用场景的开源项目，具有低耦合度的各功能模块。你可以轻松更换声音来源、语音识别、情绪分析、NLP处理、情绪语音合成…
阅读更多...
ES6-2:Iterator、Proxy、Promise、生成器函数...

ES6-2:Iterator、Proxy、Promise、生成器函数...

11-Iterator迭代器 打印出的是里面的内容，如果是for in打印出来的是索引，of不能遍历对象Symbol.iterator是js内置的，可以访问直接对象arr[Symbol.iterator]，()调用对象非线性一般不能迭代 后两个是伪数组，但是是真迭…
阅读更多...
Android，AMS、WMS、PKMS添加动态控制debug开关功能

Android，AMS、WMS、PKMS添加动态控制debug开关功能

问题背景 在framework源码中有很多debug开关，通常我们想要看某个模块的日志，比如说广播，就需要去修改源码，把对应的debug值改为true，但是这种方法耗时耗力，比如说我想看sendBroadcast的流程，但是BroadcastQueue中有很多debug开关，如下： 这种就需要去修改对应的源码才…
阅读更多...
腾讯客户端开发实习一面

腾讯客户端开发实习一面

听说腾讯25年5000offer，我就去了...投完简历，当天晚上做完测评，第二天下午打电话约了第三天面试，额流程很快，快到第三天就寄了... 写在这里做个记录，也可以给学习学妹们经验，文末也有大厂面经合…
阅读更多...
ssm050助学贷款+jsp

ssm050助学贷款+jsp

助学贷款管理系统设计与实现 摘 要 现代经济快节奏发展以及不断完善升级的信息化技术，让传统数据信息的管理升级为软件存储，归纳，集中处理数据信息的管理方式。本助学贷款管理系统就是在这样的大环境下诞生，其可以帮助管理者在短…
阅读更多...
Python学习笔记14 - 集合

Python学习笔记14 - 集合

什么是集合 集合的创建方式 集合的相关操作 集合间的关系 集合的数学操作 集合生成式 列表、字典、元组、集合总结
阅读更多...
代码随想录算法训练营三刷day55 | 动态规划之子序列 392.判断子序列 115.不同的子序列

代码随想录算法训练营三刷day55 | 动态规划之子序列 392.判断子序列 115.不同的子序列

day55 392.判断子序列1.确定dp数组（dp table）以及下标的含义2.确定递推公式3.dp数组如何初始化4.确定遍历顺序5.举例推导dp数组 115.不同的子序列1.确定dp数组（dp table）以及下标的含义2.确定递推公式3.dp数组如何初始化4.确定遍历…
阅读更多...
怎样关闭谷歌浏览器自动更新，亲测ok

怎样关闭谷歌浏览器自动更新，亲测ok

步骤一 在服务中禁用Google更新 步骤二 Chrome更新是利用Update文件夹里的升级程序来升级的，需要要删除里面的文件，再让Chrome没法在Update文件夹里继续自动生成更新程序。所以还要清空Update文件夹并设置权限，让Chrome没有权限修改这个文件…
阅读更多...
Confluence 插件有哪些值得推荐？分享14个

Confluence 插件有哪些值得推荐？分享14个

Confluence 是一个专业的团队协作工具，它提供了一系列引人注目的功能，但要充分发挥它们的潜力，有时需要依赖于插件的力量。在这篇文章中，我将基于自己在团队协同搭建过程中使用到的大量插件中，分享一些我个人认为比较好…
阅读更多...
web APIs总结（2）

web APIs总结（2）

1. 页面滚动事件 很多网页需要检测用户把页面滚动到某个区域后做一些处理， 比如固定导航栏、返回顶部事件名：scroll监听某个元素的内部滚动直接给某个元素加即可 获取位置 scrollLeft和scrollTop （属性） （注&#xf…
阅读更多...
文心一言 VS 讯飞星火 VS chatgpt （237）-- 算法导论17.3 3题

文心一言 VS 讯飞星火 VS chatgpt （237）-- 算法导论17.3 3题

三、考虑一个包含 n 个元素的普通二叉最小堆数据结构，它支持 INSERT 和 EXTRACT-MIN 操作、最坏情况时间均为 O(lg n) 。给出一个势数 Φ ，使得 INSERT 操作的摊还代价为 O(lg n) ，而 EXTRACT-MIN 操作的摊还代价为 O(1) ，证明它是…
阅读更多...
【电子通识】吸锡带/线的作用和替代方法

【电子通识】吸锡带/线的作用和替代方法

吸锡带简介 吸锡带(或称吸锡线、脱焊织物)是手工焊接的好助手，手焊或维修时吸锡带能够去除电路板上多余焊锡，减少了电子产品的返工和修理的时间，降低了烙铁对电路板造成过热损伤的危险，因此是一个既廉价又有效的物品。 市面上卖的最多的的吸锡带类型如下所示： 吸锡带的选型…
阅读更多...
【Qt编译】ARM环境 Qt5.14.2-QtWebEngine库编译 （完整版）

【Qt编译】ARM环境 Qt5.14.2-QtWebEngine库编译 （完整版）

ARM 编译Qt5.14.2源码 1.下载源码 下载Qt5.14.2源代码（可根据自己的需求下载不同版本） 下载网站：https://download.qt.io/new_archive/qt/5.14/5.14.2/single/ 2.相关依赖(如果需要的话) 先参考官方文档的需求进行安装： 官方…
阅读更多...
LangChain实战：从原型到生产，动手打造 LLM 应用 书籍推荐！

LangChain实战：从原型到生产，动手打造 LLM 应用 书籍推荐！

今天给大家推荐一本大模型方面的书籍<LangChain实战&#xff1a;从原型到生产&#xff0c;动手打造 LLM 应用>&#xff0c;本书将介绍大语言模型的基础理论包括语言模型、分布式模型训练以及强化学习&#xff0c;并以Deepspeed-Chat框架为例介绍实现大语言模型和类ChatGP…
阅读更多...
UE4_导入内容_FBX导入选项说明

UE4_导入内容_FBX导入选项说明

虽然将FBX文件导入到虚幻引擎4是一个相对简单的过程&#xff0c;但是有相当多的选项可以调整导入的资产。本文档将介绍这些选项。 当你使用FBX管道通过 内容浏览器 导入内容时&#xff0c;将出现 FBX导入选项&#xff08;FBX Import Options&#xff09; 对话框。导入器将自动…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023