公司的網站服務器，平時訪問不大，但是每次從凌晨開始到八點多左右，網站后臺會受到很多暴力破解帳號的攻擊，造成網站到晚上了nagios頻繁報警。

處理方法:

根據access.log的訪問記錄，每個20分鐘統計一次，如果訪問次數logging.php在100次以上，封掉IP;當然awk條件匹配的時候，你可以加上錯誤代碼..

#!/bin/bash

# cron 01:00 - 08:00 / 20

#set -x

_FILE='/home/logs/access_****.log'

awk '/logging.php/{stat[$1]++}END{for(i in stat){if(stat[i] >= '100')print i}}' $_FILE >>/tmp/badip.$(date +%F).txt

for ip in `sort -u /tmp/badip.$(date +%F).txt`

do

if /sbin/iptables -nL|grep DROP|grep $ip >/dev/null 2>&1 ;then

:

else

/sbin/iptables -I INPUT 10 -s $ip -j DROP

[ $? == 0 ] && echo "Time: $(date +"%F %T") : $ip" >> /root/ycan/drop_record.txt

fi

done

2. 添加到計劃任務

*/20 00-08 * * * /root/ycan/badip.sh