AWK +iptables+shell实战脚本案例

news2024/11/26 20:23:11

目录

一、在Centos下安装httpd

 查看安装是否成功

 重启httpd

查看80端口是否开放

在主机上查询

查看防火墙

在浏览器中查询主机IP地址

查看日志是否生成

二、AWK +iptables+shell实战脚本案例

1、封堵扫描器

(1) 开始扫描器

特别注意:在Vim中尽量不要使用空格,否则会容易报错

 给deny_scan.sh文件夹访问权限

 查看脚本功能是否执行正常

 (2) 结束扫描器

(3)过滤单位时间内访问量最高的ip,并把它写入到一个文件中

在apache访问界面中任意请求几次,生成temp文件

 原因:时间不匹配

(4)防火墙防御扫描器shell脚本

补充知识点:

第一种执行方式:括号()

第二种执行方式:反引号 ``

2、防御SSH爆破脚本

脚本规定:当ssh登录次数超过三次,脚本直接封堵

(1) 测试代码功能是否完善

(2) 使用Windows自带命令窗口进行登录失败次数测试

(3) 基线检查shell脚本


一、在Centos下安装httpd

[root@localhost centos]# yum install httpd -y

 查看安装是否成功

 重启httpd

[root@localhost httpd]# service restart httpd
[root@localhost httpd]# systemctl restart httpd.service

查看80端口是否开放

在主机上查询

 [root@localhost httpd]# curl httpd://localhost

 由此可见在主机上访问成功

查看防火墙

[root@localhost httpd]# iptables -nvxL INPUT

在浏览器中查询主机IP地址

 由此可见httpd安装成功

查看日志是否生成

[root@localhost httpd]# cd /var/log/httpd
[root@localhost httpd]# ls -al
total 12
drwx------.  2 root root   41 Aug 11 19:59 .
drwxr-xr-x. 21 root root 4096 Aug 11 19:43 ..
-rw-r--r--.  1 root root 2037 Aug 11 20:06 access_log
-rw-r--r--.  1 root root 1307 Aug 11 20:06 error_log
[root@localhost httpd]# vim access_log

二、AWK +iptables+shell实战脚本案例

1、封堵扫描器

(1) 开始扫描器

#!/bin/bash
#找到你的日志路径

log=/var/log/httpd

#找出一分钟之内的日志,找出ip最高的十个IP

#开始时间的一分钟之前
last_minutes=1

start_time=$(date -d"$last_minutes minutes ago" +"%d/%m/%Y:%H:%M:%S")
echo $start_time

特别注意:在Vim中尽量不要使用空格,否则会容易报错

 给deny_scan.sh文件夹访问权限

[root@localhost httpd]# chmod +x deny_scan.sh

脚本执行成功

此时是2023年8月12日1:27分钟,是脚本中的一分钟前

 查看脚本功能是否执行正常

[root@localhost centos]# echo $(date -d"$1 minutes ago" +"%d/%m/%Y:%H:%M:%S")//一分钟之前
12/08/2023:01:29:28
[root@localhost centos]# echo $(date -d"$5 minutes ago" +"%d/%m/%Y:%H:%M:%S")//五分钟之前
12/08/2023:01:29:38

 (2) 结束扫描器

#!/bin/bash
#找到你的日志路径

log=/var/log/httpd

#找出一分钟之内的日志,找出ip最高的十个IP

#开始时间的一分钟之前
last_minutes=1

start_time=$(date -d"$last_minutes minutes ago" +"%d/%m/%Y:%H:%M:%S")
echo $start_time

#结束时间
end_time=$(date +"%d/%m/%Y:%H:%M:%S")
echo $end_time

~   

 执行成功:

(3)过滤单位时间内访问量最高的ip,并把它写入到一个文件中

#!/bin/bash
#找到你的日志路径

logfile=/var/log/httpd/

#找出一分钟之内的日志,找出ip最高的十个IP

#开始时间的一分钟之前
last_minutes=1

start_time=$(date -d"$last_minutes minutes ago" +"%d/%b/%Y:%H:%M:%S")
echo $start_time

#结束时间
end_time=$(date +"%d/%b/%Y:%H:%M:%S") 
echo $end_time


#通过awk进行top10的ip筛选
tac $logfile/access_log | awk -v st="$start_time" -v et="$end_time" '{t=substr($4,2);if(t>=st&&t<=et){print $1}}' | sort | uniq -c |sort -nr | head -n 10 > $logfile/log-ip-top10

 查看日志

在apache访问界面中任意请求几次,生成temp文件

 脚本执行成功

top10文件已生成  

查看top10 文件 

[root@localhost httpd]# vim log-ip-top10

发现top10 中没有内容

 原因:时间不匹配

[root@localhost centos]# cat /var/log/httpd/access_log | head -n 1

 查看帮助文档

[root@localhost centos]# date --help

 解决方法:将月份修改成如下格式:

 再次运行,此时时间ip基本吻合

 再次执行代码,在浏览器提交任意信息,然后查看top10

 由此可见,此时log-ip-top10内已经写入文件

查看log-ip-top10文件夹

[root@localhost centos]# cat /var/log/httpd/log-ip-top10

(4)防火墙防御扫描器shell脚本

#找到你的日志路径

logfile=/var/log/httpd/

#找出一分钟之内的日志,找出ip最高的十个IP

#开始时间的一分钟之前
last_minutes=1

start_time=$(date -d"$last_minutes minutes ago" +"%d/%b/%Y:%H:%M:%S")
echo $start_time

#结束时间
end_time=$(date +"%d/%b/%Y:%H:%M:%S")
echo $end_time


#通过awk进行top10的ip筛选
tac $logfile/access_log | awk -v st="$start_time" -v et="$end_time" '{t=substr($4,2);if(t>=st&&t<=et){print $1}}' | sort | uniq -c |sort -nr | head -n 10 > $logfile/log-ip-top10


#log-ip-top10————10geip
#单位时间内,只允许10次访问

ips=`cat `$logfile/log-ip-top10 | awk '{if($1 > 5)print $2}'
#由于Ip筛选了10个,因此需要循环处理
for ip in $ips
do
echo $ip >> $logfile/getip.txt
echo $ip
iptables -t filter -I INPUT -p tcp  -m multiport --dport 80,443 -s $ip -j DROP
done

主要功能:防御恶意扫描器扫描并封堵

 [root@localhost centos]# cd /var/log/httpd
[root@localhost httpd]# cat log-ip-top10
     35 192.168.17.1
[root@localhost httpd]# cat log-ip-top10 | awk '{if($1 > 10)print $2}'
192.168.17.1

 执行成功

 查看/var/log/httpd/有无getip

此时getip已经写入

再次刷新apache网页,会发现此时网页无法正常刷新,此时防火墙将恶意扫描器给封堵住

 查看防火墙状态

[root@localhost httpd]# iptables -nvvxL INPUT --line-numbers

 由此可见此时防火墙打开并防御住恶意扫描器

补充知识点:


第一种执行方式:括号()

举例:

[root@localhost httpd]# echo $(date)

 [root@localhost httpd]# echo $(id)

第二种执行方式:反引号 ``

举例

[root@localhost httpd]# echo $`date`

 [root@localhost httpd]# echo $`id`

2、防御SSH爆破脚本

 SSH爆破文件日志放在secure文件夹中

脚本规定:当ssh登录次数超过三次,脚本直接封堵

#!/bin/bash
logfile=/var/log/secure

#第一步,扫描取出IP
IP=$(awk '/Failed password/{arr[$(NF-3)++]}END{for(i in arr){if(arr[i]>=3)print i}}' $logfile)


for ip in $ips
do
#-L -n :筛选IP;tr -s:转换格式   作用:筛选曾经被封堵过的IP
tmpIP=`iptables -L -n | tr -s " " | awk '/^DROP/ && /22$/{print $4}'`

#{tmpIP[@]:shell标准语法,`@`和`*`是数组的特殊索引,表示返回数组的所有成员。
echo $ {tmpIP[@]} | grep -qw $ip
#$?——上次执行命令结果   前一次结果执行正确,输出0,否则输出1
if [ $? -ne 0]

then
iptables -t filter -I INPUT -P tcp --DPORT 22 -J DROP
fi
done
unset tmpIP


#以下可省略
# #查看防火墙是否安装
# rpm -q iptables-services & > /dev/null
# #如果没有安装,则安装防火墙,并将其添加到开机自启动
# if [ $? -ne 0]
# yum -y install iptables-services & > /dev/null
# systemctl enable --now iptables.service & > /dev/null

# fi
# #将配置保存到/etc/sysconfig/
# iptables-save > /etc/sysconfig/iptables
# #删除临时IP
# unset tmpIP
 

(1) 测试代码功能是否完善

 直接打印测试,此时打印六次,正确

[root@localhost log]# awk '/Failed password/{arr[$(NF-3)]++}END{for(i in arr){print i, arr[i]}}' secure

 for循环后直接打印测试:循环打印六次,正确

[root@localhost log]# awk '/Failed password/{arr[$(NF-3)]++}END{for(i in arr){if(arr[i]>=4)}}' secure

 执行判断条件arr[i]>=4后打印 i 测试:因为此时循环已超过三次,所以结果只打印一次

查看以下代码筛选结果,查看有无曾经封堵的IP:其中头部是DROP的则是封堵ip的关键字

[root@localhost centos]# iptables -L -n | tr -s " " 

 通过awk继续筛选DROP

[root@localhost centos]# iptables -L -n | tr -s " " awk '/^DROP/ && /22$/{print $4}'

#$?——上次执行命令结果   前一次结果执行正确,输出0,执行错误输出1
if [ $? -ne 0]

如果前一个结果输出为1,说明未曾封堵过IP,如果输出为0,说明曾封堵过IP

 `[ integer1 -ne integer2 ]`:如果`integer1`不等于`integer2`,则为`true`。

如果不是0,接下来调用iptables进行封堵

then
iptables -t filter -I INPUT -P TCP --DPORT 22 -J DROP

删除测试secure目录下保存的数据

[root@localhost centos]# echo "" > /var/log/secure

(2) 使用Windows自带命令窗口进行登录失败次数测试

当第三次输入命令出错时,ssh登录过程自动结束

查看secure保存数据时可以发现三条登录失败的数据 

 给 deny_ssh_scan.sh提权

 [root@localhost centos]# chmod +x deny_ssh_scan.sh

 [root@localhost centos]# ./deny_ssh_scan.sh

此时可以看到ssh登录已经被限制  

(3) 基线检查shell脚本

基线检查规定:

#! /bin/bash
fail=0
pass=0
manual=0
separator="------------------------------------------------------"
check_pass(){
echo -e "\033[42;30m [++]PASS \033[0m"          #成功打印绿底黑字
let pass++
}

check_fail(){
echo -e "\033[41;37m [++]FAIL \033[0m"   #失败打印红底白字
let fail++
}

check_manual(){
echo -e "\033[43;30m [++]请手动检测该项或依据实际情况判断!! \033[0m"               #未检测到文件或须手动确认打印黄底黑字
let manual++
}

echo "NO.1-检查是否设置口令生存周期"
pass_max_day=`cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'`

if [ "$pass_max_day" -lt "90" ]; then
        check_pass
elif [ "$pass_max_day" -gt "90" ]; then
    echo "口令生存周期:$pass_max_day"
        check_fail
else
        check_manual
fi
echo $separator

echo "NO.2-检查是否设置口令最小长度"
pass_min_len=`cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'`
if test -n "$pass_min_len"; then
        if [ "$pass_min_len" -lt "8" ]; then
        echo "口令最小长度:$pass_min_len"
                check_fail
        elif [ "$pass_min_len" -ge "8" ]; then
                check_pass
        else 
                check_manual
        fi
else 
        check_manual
fi
echo $separator

echo "NO.3-检查是否配置口令过期提醒"
pass_warn_age=`cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'`
if test -n "$pass_warn_age"; then
        if [ "$pass_warn_age" -lt 30 ]; then
        echo "口令过期提醒天数:$pass_warn_age"
                check_fail
        elif [ "$pass_warn_age" -ge "30" ]; then
                check_pass
        else
                check_manual
        fi
else
        check_manual
fi 
echo $separator

echo "NO.4-检查是否存在空口令账户"
empty_user=`cat /etc/shadow | awk -F : 'length($2)==0 {print $1}'`
if test -z "$empty_user"; then
        check_pass

elif test -n "$empty_user"; then
        echo "请检查空口令账户:$empty_user"
        check_fail
else
        check_manual
fi
echo $separator

echo "NO.5-检查是否存在特权账户"
root_account=`cat /etc/passwd | awk -F : '($3==0){print $1}'`
if [ $root_account=="root" ]; then
        check_pass

else
    echo "请检查uid为0的账户: $root_account"
        check_fail
fi
echo $separator


echo "NO.6-检查错误登录是否记录到日志"
FailLogin_log=`cat /etc/login.defs | grep FAILLOG_ENAB | grep -v ^# | awk '{print $2}'`
if [ $FailLogin_log=="yes" ]; then
        check_pass
elif [ $FailLogin_log=="no" ]; then
        check_fail
else
        check_manual
fi
echo $separator

echo "NO.7-检查口令复杂度"
min_class=`cat /etc/security/pwquality.conf | grep minclass | grep -v ^# | awk '{print $3}'`
if [ "$min_class" -lt "3" ]; then
    echo "口令类型少于3种!"
    check_fail
elif [ "$min_class" -ge "3" ]; then
    check_pass
else
check_manual
fi
echo $separator

echo "NO.8-检查重要文件的权限"
for i in /etc/shadow /etc/gshadow
do
    tmppe=`stat -c %a ${i}`
    if [ "$tmppe" -gt 400 ]; then
        echo "${i} 权限为$tmppe"
        check_fail
    elif [ "$tmppe" -le 400  ]; then
        echo "${i} 权限为$tmppe"
        check_pass
    else
        check_manual
    fi
done

for i in /etc/passwd /etc/group /etc/services /etc/profile
do
        tmppe=`stat -c %a ${i}`

        if [ "$tmppe" -gt 644 ]; then
                echo "${i} 权限为$tmppe" 
                check_fail
        elif [ "$tmppe" -le 644  ]; then
        echo "${i} 权限为$tmppe"
                check_pass
        else
                check_manual
        fi
done

tmppe=`stat -c %a /tmp`

if [ "$tmppe" -gt 750 ]; then
    echo "/tmp目录的权限为$tmppe"
    check_fail
elif [ "$tmppe" -le 750 ]; then
    check_pass
else
    check_manual
fi
echo $separator

echo "NO.9-检查日志服务状态"
service_status=`systemctl status rsyslog | grep Active | awk '{print $2}'`
if [ $service_status == "inactive" ]; then
    echo "日志rsyslog服务状态为:$service_status"
    check_fail
elif [ $service_status == "active" ]; then
    check_pass
else
    check_manual
fi
echo $separator

echo "NO.10-检查常见日志文件是否非任意用户读写,建议非同组用户不可写"
for f in /var/log/cron /var/log/secure /var/log/httpd /var/log/auth.log /var/log/btmp
do
    if [ -a ${f} ]; then
        log_per=`stat -c %a ${f}`
        if [ "$log_per" -ge 770 ]; then
            echo "${f} 的权限为$log_per"
            check_fail
        else
            echo "${f}的权限为$log_per"
            check_pass
        fi
    else
        echo "${f}文件不存在!"
        check_manual
    fi
done

echo $separator

echo "NO.11-检查FTP是否允许匿名登录"
ps_tmp=`ps -ef | grep ftp | grep -v grep`
if [ -z "$ps_tmp" ]; then
    echo "ftp服务未开启"
    check_pass
else
    an_login=`cat /etc/vsftpd/vsftpd.conf | grep "anonymous_enable=NO" | grep -v ^#`
    if [ -z "$an_login" ]; then
        check_fail
    else
        echo "匿名登录:$an_login"
        check_pass
    fi
fi
echo $separator

echo "NO.12-检查history命令显示的条数,建议设置5条"
echo "历史命令显示条数:`cat /etc/profile | grep "HISTSIZE" | awk -F "=" '{print $2}'`"
check_manual
echo $separator
echo " 共检测项:$((pass+fail+manual))"
echo -e "\033[32m 通过项:$pass \033[0m"
echo -e "\033[31m 失败项:$fail \033[0m"
echo -e "\033[33m 手动检查项:$manual \033[0m"
echo "已完成Linux安全基线检查"

在centos下对这个脚本进行测试

[root@localhost centos]# vim linux_base_security.sh

 给linux_base_security.sh提权

[root@localhost centos]# chmod +x linux_base_security.sh

执行该脚本

自动检查以下内容

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/881118.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

20230815在淘宝的代扫描服务【仅供参考】

20230815在淘宝的代扫描服务【仅供参考】 2023/8/15 12:35 https://item.taobao.com/item.htm?spma21n57.1.0.0.3d47523caCFZ3T&id601206116790&ns1&abbucket4#detail e邦生活服务 https://item.taobao.com/item.htm?_ufju3ku42b4&id629900806906 寄书扫描…

Java基础篇--Number(包装) Math (数学运算)类

目录 Number类 扩展小知识 Math类 实例 Number类 Java中的Number类是一个抽象类&#xff0c;它是所有包装类&#xff08;如Integer、Double、Long等&#xff09;的父类。这个类提供了将基本数据类型&#xff08;如int、double、long等&#xff09;封装为对象&#xff0c;…

小程序-uni-app:hbuildx uni-app 安装 uni-icons 及使用

一、官方文档找到uni-icons uni-app官网 二、下载插件 三、点击“打开HBuildX” 四、选择要安装的项目 五、勾选要安装的插件 六、安装后&#xff0c;项目插件目录 根目录uni_modules目录下增加uni-icons、uni-scss 七、引入组件&#xff0c;使用组件 <uni-icons type&qu…

Python | Package | Python的三种包安装方式(pip/whl/tar.gz)

文章目录 PIP 安装与卸载Source 安装与卸载Whell 安装与卸载 PIP 安装与卸载 pip install xxx pip install xxxversion_numberpip install captcha pip install captcha0.4# XXX/anaconda3/envs/py373/lib/python3.7/site-packages pip uninstall captchaSource 安装与卸载 p…

如何使用CSS实现一个纯CSS的滚动条样式?

聚沙成塔每天进步一点点 ⭐ 专栏简介⭐ 使用CSS实现自定义滚动条样式⭐ 写在最后 ⭐ 专栏简介 前端入门之旅&#xff1a;探索Web开发的奇妙世界 记得点击上方或者右侧链接订阅本专栏哦 几何带你启航前端之旅 欢迎来到前端入门之旅&#xff01;这个专栏是为那些对Web开发感兴趣…

win11右下角图标(网络,音量,电量)点击无反应问题,两分钟解决!

win11系统用的好好的&#xff0c;突然有一天任务栏右下角的常用三件套&#xff08;网络&#xff0c;音量&#xff0c;电量&#xff09;左键单击没反应&#xff0c;无法方便的调节音量和连接wifi&#xff0c;如下图所示&#xff0c;但是右键好用&#xff0c;不过不方便。网上查了…

恒运资本:ipo和上市有什么区别?

IPO和上市都是公司融资和发展的途径&#xff0c;可是它们之间存在着差异。在本篇文章中&#xff0c;我们将从多个角度分析IPO和上市的差异。 从概念上来说&#xff0c;IPO是指公司首次揭露发行股票&#xff0c;一般会在股票市场上引起很大的轰动。而上市则是指公司的股票已经被…

【双指针_有效三角形的个数_C++】

题目解析 有效三角形的个数 判断三角形&#xff1a;任意两边之和大于第三边 需要重复计算&#xff1a; 知识点 1、需要判断三次&#xff1a; 2、只需要判断一次 已经知道这三个数的大小&#xff08;先进行排序&#xff09; 只需要判断 较小的两个数之和 是否 大于最大的…

激活函数总结(九):Softmax系列激活函数补充(Softmin、Softmax2d、Logsoftmax)

激活函数总结&#xff08;九&#xff09;&#xff1a;Softmax系列激活函数补充 1 引言2 激活函数2.1 Softmin激活函数2.2 Softmax2d激活函数2.3 Logsoftmax激活函数 3. 总结 1 引言 在前面的文章中已经介绍了介绍了一系列激活函数 (Sigmoid、Tanh、ReLU、Leaky ReLU、PReLU、S…

Python中执行调用JS的多种方法汇总

1. 写在前面 做爬虫的人大家都知道&#xff0c;现在国内Web或App普遍防护都做的很好&#xff0c;且越有价值的网站这方面越强 再小再弱的网站现在或多或少都要整点反爬 JS在反爬中应用非常广泛&#xff0c;现在做爬虫工程师基本都要懂JS&#xff0c;因为各种JS加密需要逆向&…

聊聊JDK1.0到JDK20的那些事儿 | 京东云技术团队

1.前言 最近小组在开展读书角活动&#xff0c;我们小组选的是《深入理解JVM虚拟机》&#xff0c;相信这本书对于各位程序猿们都不陌生&#xff0c;我也是之前在学校准备面试期间大致读过一遍&#xff0c;emm时隔多日&#xff0c;对里面的知识也就模糊了。这次开始的时候从前面…

zookeeper未授权访问漏洞处理

方法一&#xff1a;设置指定ip访问 a、登陆zookeeper&#xff1a;./zkCli.sh -server :(ps&#xff1a;需cd到zookeeper的bin目录下执行) b、查看当前权限&#xff1a;getAcl /&#xff08;ps:默认为’world,anyone&#xff09; c、添加可访问IP&#xff1a;setAcl / ip:192.16…

HCIP-OpenStack搭建

1、OpenStack概述 OpenStack是一种云操作系统&#xff0c;OpenStack是虚拟机、裸金属和容器的云基础架构。可控制整个数据中心的大型计算、存储和网络资源池&#xff0c;所有资源都通过API或Web界面进行管理。 为什么称OpenStack是云操作系统&#xff1f; 云一般指云计算&…

中间件(二)dubbo负载均衡介绍

一、负载均衡概述 支持轮询、随机、一致性hash和最小活跃数等。 1、轮询 ① sequences&#xff1a;内部的序列计数器 ② 服务器接口方法权重一样&#xff1a;&#xff08;sequences1&#xff09;%服务器的数量&#xff08;决定调用&#xff09;哪个服务器的服务。 ③ 服务器…

C 内存分配器 mimalloc

有论文 … … https://www.microsoft.com/en-us/research/publication/mimalloc-free-list-sharding-in-action/ 可以减少内存碎片,微软研究院2019 年开源出的内存分配器 代码,适配linux

YOLOv5改进系列(21)——替换主干网络之RepViT(清华 ICCV 2023|最新开源移动端ViT)

【YOLOv5改进系列】前期回顾: YOLOv5改进系列(0)——重要性能指标与训练结果评价及分析 YOLOv5改进系列(1)——添加SE注意力机制 YOLOv5改进系列(2

AI周公解梦-在线AI解梦大师

AI周公解梦-在线AI解梦大师 废话不多啥&#xff0c;直接上效果图 展示链接https://zuowen.toolxq.com/front/ai/jiemeng/jiemeng 梦是人类心灵深处的奇妙现象&#xff0c;它们在科学、文化和心理层面都具有重要的意义和启发。以下是关于梦对个人的意义和启发的一些观点&#x…

Markdown使用笔记

Markdown使用笔记 一、段落与强调 important denotes the impossible thing to do Because your ugly appearance, you cannot have a happy ending. 使用*括起来的为斜体 使用**括起来的是粗体 使用~~括起来的是删除线 在句子后面添加<br>即可换行 二、标题 在…

HD Supply EDI 项目案例

HD Supply Inc.是一家总部位于美国的工业分销公司。该公司成立于1983年&#xff0c;总部位于佐治亚州亚特兰大市。它主要提供广泛的工业产品、设备和解决方案&#xff0c;涵盖建筑、能源、制造、设施维护等多个行业。其产品和服务包括管道、阀门、暖通空调设备、电气设备、工具…

java对象和json类型转换

fastjson参考 参考&#xff1a;http://doc.yaojieyun.com/www.runoob.com/w3cnote/java-json-instro.html 参考&#xff1a; http://doc.yaojieyun.com/www.runoob.com/w3cnote/fastjson-intro.html 序列化&#xff1a;JSON.toJSONString(person)将Java 对象转换为 JSON 字符串…