自动屏蔽一些恶意IP

本文最后更新于2014年7月5日，已超过 1 年没有更新，如果文章内容失效，还请反馈给我，谢谢！

之前看到过一篇文章：VPS 屏蔽扫描网站的IP 里面讲了一些VPS如何屏蔽恶意IP的访问的方法和技巧，比较受用，但是其中提到的那个Perl脚本不知道是不是我对Perl不够熟悉导致不会配置的原因，在我这儿没什么效果{当然也和我这blog本来就没什么人会来恶意攻击有关，因为不值得浪费攻击资源在我这小blog上，o(╯□╰)o}，而我自己也一直想写个脚本实现和之前的屏蔽指定国家的IP的功能，不过一直没找到切入点和方法，后来在我经常使用的用awk统计命令top10的时候想到了方法，再加上慢慢搜索awk的一些编程范例，折腾了一下就出了个大概的方案，感觉还行，但现在没这条件测试（没攻击流量过来，当然我也不希望有，感谢大家也不这么做），先放脚本上来吧：

#!/bin/bash

IPTABLES=/sbin/iptables
log_file = "/path/to/access.log"
error_block = 10
expire_time = 7200

#tail --follow=$log_file
awk '/ 404 /{status404[$1]++}; END {for (IP in status404) print status404[IP]"t", IP}' $log_file | sort -nr | awk '{if($1>$error_block) {print $2}}' | tee 404_ipList.txt

for ip in 404_ipList.txt
do
	echo "blocking $ip"
	$IPTABLES -A INPUT -s $ip -j DROP
done

# after $expire_time seconds, you can empty the 404_ipList.txt

#---------------------------#
#awk '{if($9 ~ /404/){status404[$1]++}} END {for (IP in status404) print status404[IP]"t", IP}' $log_file | sort -nr | awk '{if($1>$error_block) {print $2}}' | tee 404_ipList.txt

#awk '{if($9==404){status404[$1]++}} END {for (IP in status404) print status404[IP]"t", IP}' $log_file | sort -nr | awk '{if($1>$error_block) {print $2}}' | tee 404_ipList.txt

过程中出现的一些问题：

awk ‘if($9==404){status404[$1]++}; END {for (IP in status404) print status404[IP]”t”, IP}’ /path/to/access.log | sort -nr | awk ‘{if($1>10) {print $2}}’ | tee 404_ipList.txt

在执行上面的命令时总是报错：
awk: ^ syntax error

后来我到处找awk的if语句的语法，对比了一下也没发现明显的错误(当然也和别处没有直接对应的例子有关)，然后我试着对这个if判断语句及后面的操作这一整体添加大括号，果然就没事了，看来良好的编程习惯真的是有助于减少错误的概率啊！
awk ‘{if($9==404){status404[$1]++}} END {for (IP in status404) print status404[IP]”t”, IP}’ /path/to/access.log | sort -nr | awk ‘{if($1>10) {print $2}}’ | tee 404_ipList.txt

====

改进了之后的一个版本（添加了一个白名单）：

#!/bin/bash

IPTABLES=/sbin/iptables
log_file = "/path/to/access.log"
error_block = 10

#tail --follow=$log_file
awk '/ 404 /{status404[$1]++}; END {for (IP in status404) print status404[IP]"t", IP}' $log_file | sort -nr | awk '{if($1>$error_block) {print $2}}' | tee 404_ipList.txt

whitelist=$(last | grep -Ev '^$|mosh|reboot|wtmp' | awk '{print $3}' | sort | uniq | xargs)

for ip in 404_ipList.txt
do
	if ! $(echo ${whitelist} | grep -wq ${ip}); then
		echo "blocking ${ip}"
		$IPTABLES -I INPUT -s ${ip}/32 -p tcp -m tcp --dport 80 -j DROP
	fi
done

一些参考资料：

Shell编程-awk – perlman – 博客园 http://www.cnblogs.com/softwaretesting/archive/2012/02/02/2335332.html
AWK 简明教程 | 酷壳 – CoolShell.cn http://coolshell.cn/articles/9070.html
linux shell awk 流程控制语句（if,for,while,do)详细介绍http://www.cnblogs.com/chengmo/archive/2010/10/04/1842073.html
linux awk 内置函数详细介绍（实例）http://www.cnblogs.com/chengmo/archive/2010/10/08/1845913.html