Log acessos SSH

danniel-lara
(usa Fedora)

Enviado em 21/11/2011 - 10:32h

removido
(usa Nenhuma)

Enviado em 21/11/2011 - 10:58h

#!/bin/sh



##########

#

# Este script le os logs do sshd, verifica se houveram mais de MAX_TRIES 

# erros de tentativas de login vindos do mesmo IP e o coloca na lista

# de IP's nao permitidos para logar por ssh.

######

# Passo 1: Salva no arquivo list.txt como no exemplo

# 15 10.0.0.1

# 9 172.0.0.9

# (15 tentativas para 10.0.0.1, 9 para 172.0.0.9)

######

# Passo 2: Le as linhas de list.txt. Os IP's que tem numero de tentativas

# maior do que MAX_TRIES serao comparados com os que ja existem em

# /etc/hosts.deny.

#  Se ja existe no arquivo, pula. Se nao encontrou ate o final, salva no

#  arquivo blacklist.txt como no exemplo

#  sshd: 10.0.0.1

###### 

# Passo 3: Redireciona o arquivo blacklist.txt para o final do /etc/hosts

###### 

######

# Parametro: Arquivo de log do sshd

######

# Marangon 20110520

#

##########



MAX_TRIES=15



awk 'gsub(".*sshd.*Failed password for (invalid user )?", "") {print $3}' \

 $1 | sort | uniq -c | sort -rn > list.txt

while read tries ip; do

  if [ "$tries" -gt "$MAX_TRIES" ]; then

    while read service deniedip; do

    line_already_exists=0

      if [ X"$ip" = X"$deniedip" ]; then

        line_already_exists=1

        break

      fi

    done < /etc/hosts.deny

    if [ "$line_already_exists" -eq "0" ]; then

      echo sshd: $ip >> blacklist.txt

    fi

    if [ -s blacklist.txt ]; then

      cat blacklist.txt >> /etc/hosts.deny

      rm blacklist.txt

    fi

  fi

done < list.txt

rm list.txt

exit 0



 

danniel-lara
(usa Fedora)

Enviado em 21/11/2011 - 11:03h

s.s.junior
(usa Ubuntu)

Enviado em 21/11/2011 - 11:17h

andrecanhadas
(usa Debian)

Enviado em 04/09/2012 - 23:23h

viniciustavares
(usa Kali)

Enviado em 04/10/2016 - 10:29h

wellington_lenk_
(usa Debian)

Enviado em 13/01/2017 - 05:28h