标签：封禁 ip dict bash print 日志 openwrt

用的openwrt路由器，家里宽带申请了动态公网ip，为了方便把22 80端口映射到公网，发现经常被暴力破解，自己写了个临时封禁ip功能的脚本，实现5分钟内同一个ip登录密码错误10次就封禁这个ip 5分钟，并且进行邮件通知

使用步骤

openwrt为19.07.03版本，其他版本没有测试过

1. 安装bash msmtp

   • opkg update;opkg install bash msmtp

2. 添加脚本/root/port-security.sh,内容参考下面附件，主要修改通知的邮箱

3. 脚本增加执行权限

   • chmod a+x /root/port-security.sh

4. 添加定时任务 crontab -e，10分钟执行一次脚本，如果脚本已经在跑会自动退出当前进程

   • */10 * * * * /root/port-security.sh &

5. 修改/etc/msmtprc 文件，内容参考下面附件,封禁ip后发送邮件通知

解释

1. 通过logread查看日志确定被登录的错误次数并且提取要封禁的ip，ssh登录密码错误通过"Bad password attempt for"匹配，web登录密码错误通过"luci: failed login on"，具体可以根据实际修改，logread日志过多有用信息有可能被冲掉的可能，可以加大日志缓存或者修改日志等级减少日志
2. ip封禁是通过ipset配合iptables处理，当要封禁的ip很多的时候，比直接多条iptables性能高，封禁时间由ipset来处理，不需要另外处理封禁时间
3. 用了bash字典，脚本需要用/bin/bash,不能用/bin/sh,bash低版不支持字典
4. 内网192.168.0.0/16加入了白名单，如果要用内网来测试，需要注释iptables -I INPUT -s 192.168.0.0/16 -j ACCEPT

/root/port-security.sh

#! /bin/bash

#允许尝试错误的次数
tryErrNum=10
#允许尝试错误在多长时间范围，单位秒，与tryErrNum一起生效
tryTimeOut=300
#需要被封禁的多个ip字符串，逗号隔开,这里为空
dropIpList=""
#logread里面标识字符串，Bad password attempt for 是ssh root登录密码错误log，luci: failed login on 是登录web错误log
errStr=("Bad password attempt for" "luci: failed login on")
#查询logread 日志的时间间隔,单位秒
timesleep=30

#从根据字符串从日志里面提取要封禁的ip，追加到 dropIpList 变量
getdropip() {
    #对过滤的日志倒叙
    lines=$(logread | grep $1 | sed -n '1!G;h;$p')
    linesNum=$(echo -n "$lines" | wc -l)
    #定义字典变量
    declare -A dict
    #
    if [ "$linesNum" -gt "$tryErrNum" ];then
        while read line;
        do
            ip=$(echo -n "$line" | awk '{print $NF}' | awk -F":" '{print $1}')
            time=$(echo -n "$line" | awk '{print $4}' | awk -F":" '{sum += $1*3600 + $2*60 + $3};END {print sum}')
            ok=${dict[$ip]}
            if [ -z $ok ];then
                dict[$ip]=1
                time=$(date | awk '{print $4}' | awk -F":" '{sum += $1*3600 + $2*60+ $3};END {print sum}')
                dict[${ip}_endtime]=$time
            else
                if [ ${dict[$ip]} -lt "$tryErrNum" ];then
                    dict[$ip]=$(expr ${dict[$ip]} + 1)
                    dict[${ip}_starttime]=$time
                fi
            fi
        done < <(echo -n "$lines")

        for key in ${!dict[@]};
        do
            if ! [[ "$key" =~ "starttime" ]] && ! [[ "$key" =~ "endtime" ]];then
                if [ ${dict[$key]} -eq "$tryErrNum" ];then
                    timeDiff=$(expr ${dict[${key}_endtime]} - ${dict[${key}_starttime]})
                    if [ "$timeDiff" -gt 0 ] && [ "$timeDiff" -lt "$tryTimeOut" ];then
                        #追加需要封禁的ip到变量
                        dropIpList=$dropIpList,$key
                    fi
                fi
            fi
        done

    fi

}

#errStr 字符串遍历，分别从log里面匹配，提取要封禁ip
startGetDropIp(){
    i=0
    while :
    do
            errstr=${errStr[$i]}
            if [ -z "$errstr" ];then
                    break
            fi
            i=$(expr $i + 1)

        getdropip $errstr

    done
}

#初始化ipset iptable
intEnv(){
    ipset list BlockIpList
    if  ! [ "$?" == 0 ];
    then
        ipset create BlockIpList hash:net timeout 300
        iptables -I INPUT -m set --match-set BlockIpList src -p tcp -m tcp --dport 22 -j DROP
        iptables -I INPUT -m set --match-set BlockIpList src -p tcp -m tcp --dport 80 -j DROP
        iptables -I INPUT -s 192.168.0.0/16 -j ACCEPT
    fi
}
#把要封禁的ip添加到ipset BlockIpList集合
ipsetAddIp(){
    dropIpListNew=""
    for ip in $(echo -n "$dropIpList" | sed 's/,/ /g')
    do
        ipset add BlockIpList $ip
        if [ "$?" -eq 0 ];then
            dropIpListNew=$dropIpListNew,$ip
        fi
    done
}

sendmail(){
    if [ -n "$dropIpListNew" ];then
        #邮箱填自己常用邮箱，方便及时收到通知
        echo -e  "subject:MyOpenwrt IP封禁提醒\n\n$dropIpListNew" | msmtp 1234567@qq.com
    fi

}

#检查当前进程是否存在
PocessNum=$(ps | grep $0 | grep -v grep | wc -l)
if [ "$PocessNum" -gt 2 ];then
    #已经存在进程，直接退出当前进程
    kill -9 $$
else
    intEnv

    while :
    do
        sleep $timesleep
        dropIpList=""
        startGetDropIp
        ipsetAddIp
        sendmail
    done
fi

/etc/msmtprc 这里用的163邮箱，其他邮箱这里不列举

defaults

account 163
host smtp.163.com
port 25
from <这里填你发邮件的邮箱>
auth plain
tls on
user <这里填你发邮件的邮箱>
password <这里填你发邮件的邮箱的密码>

account default : 163

标签：封禁,ip,dict,bash,print,日志,openwrt
来源： https://www.cnblogs.com/damofeisha/p/16595953.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。