开发Shell脚本解决DOS安全Linux服务器生产案例
根据web日志或者或者网络连接数，监控当某个IP并发连接数或者短时内PV达到100，即调用防火墙命令封掉对应的IP，监控频率每隔3分钟。防火墙命令为：iptables -I INPUT -s 10.0.0.10 -j DROP。解答：（一）先来Web日志：开发思路分析：
1、分析出IP地址，然后去重，搞定各个IP的访问次数，可以放到文件里。
# awk '{print $1}' access_2010-12-8.log|sort|uniq -c|sort -rn|head 35 59.33.26.105 23 123.122.65.226 8 124.115.4.18# awk '{S[$1]++}END{for(k in S) print S,k}' access_2010-12-8.log|sort -rn|head35 59.33.26.10523 123.122.65.2268 124.115.4.18
2、IP的访问次数到100，就封掉
需要if条件句
3、读1的去重结果文件，可用while，
4、最终答案
# cat exam05.sh#!/bin/bash############################################################### File Name: exam05.sh# Version: V1.0# Author: oldboy# Organization: www.oldboyedu.com##############################################################while truedo awk '{S[$1]++}END{for(k in S) print S,k}' access_2010-12-8.log|sort -rn|head >/tmp/ip.log while read line do ip=`echo $line|awk '{print $2}'` count=`echo $line|awk '{print $1}'` if [ $count -ge 36 -a `grep -w "$ip" /tmp/drop_$(date +%F).ip|wc -l` -lt 1 ] then iptables -I INPUT -s $ip -j DROP &&\ echo -e "$ip\t `date +%F`" >>/tmp/drop_$(date +%F).ip fi done</tmp/ip.log sleep 5done
（二）如果是网络日志：
从生产环境拉取netstat.log测试
# awk -F "[ :]+" '/EST.*$/{print $(NF-3)}' netstat.log |awk '{S[$1]++}END{for(k in S)print S,k}'|sort -rn|head4 118.242.18.1773 123.6.8.2233 114.250.252.1272 123.244.104.422 121.204.108.1601 59.53.166.1651 58.45.107.1891 42.95.73.1521 42.196.246.1801 36.46.160.100
如果是工作中可以netstat -an|awk -F "[ :]+" '/EST.*$/{print $(NF-3)}'分析
最终答案：
# cat exam05.sh#!/bin/bash############################################################### File Name: exam05.sh# Version: V1.0# Author: oldboy# Organization: www.oldboyedu.com##############################################################while truedo awk -F "[ :]+" '/EST.*$/{print $(NF-3)}' netstat.log |awk '{S[$1]++}END{for(k in S)print S,k}'|sort -rn|head >/tmp/ip.log while read line do ip=`echo $line|awk '{print $2}'` count=`echo $line|awk '{print $1}'` if [ $count -ge 36 -a `grep -w "$ip" /tmp/drop_$(date +%F).ip|wc -l` -lt 1 ] then iptables -I INPUT -s $ip -j DROP &&\ echo -e "$ip\t `date +%F`" >>/tmp/drop_$(date +%F).ip fi done</tmp/ip.log sleep 5done
页:
[1]