在夏天的幫助下，寫(xiě)了一個(gè)動(dòng)態(tài)防火墻的shell（修訂版）

platinum

目的是阻斷超過(guò)閥值訪問(wèn)HTTP和FTP的IP，保護(hù)服務(wù)器
并將被阻斷的IP寫(xiě)入日志

1. 
   
2. #! /bin/bash
   
3. # fuckgo.sh
   
4. # by platinum
   
5. 
   
6. MYIP="xxx.xxx.xxx.xxx"
   
7. ftp_who()
   
8. {
   
9.         netstat -an|grep $MYIP':21 '|grep -v LISTEN|grep -v ESTABLISHED|awk '{print $5;}'|awk -F':' '{print $1;}'|sort|uniq -c|awk '{print $1"="$2;}'
   
10. }
    
11. 
    
12. http_who()
    
13. {
    
14.         netstat -an|grep $MYIP':80 '|grep -v LISTEN|awk '{print $5;}'|awk -F':' '{print $1;}'|sort|uniq -c|awk '{print $1"="$2;}'
    
15. }
    
16. 
    
17. for _un in $(ftp_who)
    
18. do
    
19.         IP=`echo $_un|gawk -F'=' '{print $2}'`
    
20.         NUM=`echo $_un|awk -F'=' '{print $1}'`
    
21.         if [ $NUM -gt 5 ] && [ -z "`iptables -vnL|grep $IP`" ]
    
22.         then
    
23.                 iptables -I INPUT -s $IP -p tcp --dport 21 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
24.                 echo "`date` FTP $IP NUM: $NUM" >> /var/log/fuck.log
    
25.         fi
    
26. done
    
27. 
    
28. for _un in $(http_who|grep -v $MYIP)
    
29. do
    
30.         IP=`echo $_un|gawk -F'=' '{print $2}'`
    
31.         NUM=`echo $_un|awk -F'=' '{print $1}'`
    
32.         if [ $NUM -gt 20 ] && [ -z "`iptables -vnL|grep $IP`" ]
    
33.         then
    
34.                 iptables -I INPUT -s $IP -p tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
35.                 echo "`date` WEB $IP NUM: $NUM" >> /var/log/fuck.log
    
36.         fi
    
37. done
    

復(fù)制代碼

下面這個(gè)用crontab執(zhí)行，時(shí)間間隔自己定，用于清除前面那個(gè)腳本設(shè)置的規(guī)則

1. 
   
2. #! /bin/bash
   
3. ftp_who()
   
4. {
   
5.         iptables -nL|grep "DROP"|grep "dpt:21"|awk '{print $4;}'
   
6. }
   
7. 
   
8. http_who()
   
9. {
   
10.         iptables -nL|grep "DROP"|grep "dpt:80"|awk '{print $4;}'
    
11. }
    
12. 
    
13. for _un in $(ftp_who)
    
14. do
    
15.         iptables -D INPUT -s $_un -p tcp --dport 21 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
16. done
    
17. 
    
18. for _un in $(http_who)
    
19. do
    
20.         iptables -D INPUT -s $_un -p tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
21. done
    

復(fù)制代碼

記錄的日志

Mon Apr 4 16:23:39 CST 2005 WEB 222.179.186.253 NUM: 52
Mon Apr 4 17:01:48 CST 2005 FTP 219.144.142.150 NUM: 6
Mon Apr 4 17:02:48 CST 2005 FTP 219.144.142.150 NUM: 6
Mon Apr 4 20:31:43 CST 2005 WEB 211.99.157.181 NUM: 60
Mon Apr 4 22:01:06 CST 2005 WEB 202.108.249.177 NUM: 57
Mon Apr 4 22:21:11 CST 2005 WEB 220.142.86.75 NUM: 51
Tue Apr 5 16:06:33 CST 2005 WEB 222.179.186.253 NUM: 66
Tue Apr 5 16:27:38 CST 2005 WEB 202.108.249.177 NUM: 59
Tue Apr 5 20:56:33 CST 2005 WEB 218.171.110.97 NUM: 51
Wed Apr 6 19:16:10 CST 2005 FTP 221.213.41.74 NUM: 7
Wed Apr 6 19:46:15 CST 2005 FTP 210.44.189.130 NUM: 6
Wed Apr 6 19:46:15 CST 2005 FTP 210.44.189.132 NUM: 7
Wed Apr 6 19:46:15 CST 2005 FTP 210.44.189.133 NUM: 8
Wed Apr 6 19:57:17 CST 2005 FTP 210.44.189.131 NUM: 6
Wed Apr 6 21:03:29 CST 2005 FTP 221.213.41.74 NUM: 8
Wed Apr 6 21:51:37 CST 2005 WEB 211.99.157.189 NUM: 60
Wed Apr 6 22:04:39 CST 2005 FTP 221.213.41.74 NUM: 6
Wed Apr 6 22:27:42 CST 2005 WEB 222.136.154.137 NUM: 113

由于水平太低，剛剛接觸shell不久，只能寫(xiě)成這樣了
請(qǐng)大家多多給予指點(diǎn)^_^

網(wǎng)中人

哇! 剛接觸就寫(xiě)成這樣了, 不簡(jiǎn)單呢!
再讓你多碰幾天, 恐怕更是不得了~~~ 呵~~~  ^_^

加油!

platinum

主要還是零二年夏天的功勞，他給我的幫助非常大
在這里我再次謝謝他^_^

寂寞烈火

原帖由 "platinum" 發(fā)表：

由于水平太低，剛剛接觸shell不久，只能寫(xiě)成這樣了
請(qǐng)大家多多給予指點(diǎn)^_^

走召弓雖口牙!!!

platinum

for _un in $(ftp_who)
do
        do something
done

用這個(gè)來(lái)處理一個(gè)輸出隊(duì)列，感覺(jué)這個(gè)想法很棒，可惜不是我想的

li2002

不錯(cuò)不錯(cuò)��！

yzjboy

謝謝樓主了，我先收藏了。

劍心通明

原帖由 "platinum" 發(fā)表：

由于水平太低，剛剛接觸shell不久，只能寫(xiě)成這樣了
請(qǐng)大家多多給予指點(diǎn)^_^

后面的crontab的shell，如果我用的freebsd的ipfilter或pf等防火墻，是不是只需要修改它就行了，前面的那個(gè)shell只是獲得哪些地址得連接數(shù)過(guò)多的？

網(wǎng)中人

我一直覺(jué)得, netfilter 應(yīng)該會(huì)出這樣的 patch 才對(duì).
不過(guò)我不確定, 樓主有沒(méi)找過(guò)呢?

waker

如果遇到DDOS
$(http_who)會(huì)不會(huì)過(guò)長(zhǎng)引起問(wèn)題？