搜索

[15418] 2020-05-26_CC攻击应急：自动拉黑IP的Shell脚本

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-26_CC攻击应急：自动拉黑IP的Shell脚本 C C 攻 击 应 急 ： 自 动 拉 黑 I P 的 S h e l l 脚 本 m o z i l i   F r e e B u f   2 0 2 0 - 0 5 - 2 6 前 言 前 言 前 两 天 参 加 面 试 ， 面 试 官 问 我 ： 如 果 攻 击 方 采 用 代 理 前 两 天 参 加 面 试 ， 面 试 官 问 我 ： 如 果 攻 击 方 采 用 代 理 i p 进 行 进 行 c c 攻 击 ， 我 们 应 该 如 何 应 急 ？ 攻 击 ， 我 们 应 该 如 何 应 急 ？ 由 这 个 问 题 ， 引 发 了 我 的 一 些 思 考 。 他 假 定 的 场 景 是 网 站 没 有 任 何 防 护 措 施 （ 就 是 在 互 联 网 上 裸 奔 ） ， 好 吧 ， 既 然 没 有 任 何 的 防 护 ， 在 应 急 的 时 候 ， 能 不 能 通 过 脚 本 自 动 分 析 w e b 日 志 ， 根 据 访 问 量 自 动 拉 黑 i p ? 脚 本 介 绍 脚 本 介 绍 脚 本 设 计 思 路 ： 通 过 计 划 任 务 统 计 单 位 时 间 内 的 I P 访 问 量 ， 设 定 一 个 阀 值 ， 访 问 量 超 过 阀 值 就 自 动 拉 黑 。 脚 本 测 试 脚 本 测 试 一 台 c e n t o s 7 虚 拟 机 ， 搭 建 有 h t t p 服 务 1 . W e b 可 以 正 常 访 问 # ! / b i n / b a s h # 该 脚 本 可 以 根 据 w e b 日 志 的 访 问 量 ， 自 动 拉 黑 I P （ 加 入 计 划 任 务 ， 结 合 计 划 任 务 在 固 定 时 间 段 内 执 行 ， 并 根 据 该 时 间 段 内 产 生 的 日 志 进 行 分 析 ） # 首 先 把 日 志 保 存 到 根 目 录 一 份 ， 计 算 日 志 有 多 少 行 l i n e 1 = ` w c   - l   / a c c e s s _ l o g | a w k   ' { p r i n t $ 1 } ' ` c p   / v a r / l o g / h t t p d / a c c e s s _ l o g   / # 计 算 现 有 的 日 志 有 多 少 行 l i n e 2 = ` w c   - l   / v a r / l o g / h t t p d / a c c e s s _ l o g   | a w k   ' { p r i n t $ 1 } ' ` # 根 据 上 一 次 备 份 的 日 志 和 现 在 拥 有 的 行 数 差 值 ， 作 为 单 位 时 间 内 分 析 日 志 访 问 量 t a i l   - n   $ ( ( l i n e 2 - l i n e 1 ) )   / v a r / l o g / h t t p d / a c c e s s _ l o g | a w k   ' { p r i n t $ 1 } ' | s o r t   - n | u n i q   - c | s o r t   > / 1 . t x t c a t   / 1 . t x t | w h i l e   r e a d   l i n e d o   e c h o   $ l i n e   > / l i n e n u m = ` a w k   ' { p r i n t $ 1 } '   / l i n e ` # 设 定 阀 值 n u m ， 单 位 时 间 内 操 作 这 个 访 问 量 的 i p 会 被 自 动 拉 黑 i f   ( ( $ n u m > 1 2 ) ) t h e n         i p = ` a w k   ' { p r i n t $ 2 } '   / l i n e `         f i r e w a l l - c m d   - - a d d - r i c h - r u l e = " r u l e   f a m i l y = i p v 4   s o u r c e   a d d r e s s = ' $ { i p } '   p o r t   p o r t = 8 0   p r o t o c o l = t c p   r e j e c t "   - - p e r m a n e n t         f i r e w a l l - c m d   - - r e l o a d f i d o n e
2 . 启 动 虚 拟 机 c e n t o s 的 防 火 墙 3 . 把 脚 本 加 入 计 划 任 务 4 . 用 n i k t o 模 拟 大 量 的 访 问 5 . 再 访 问 可 以 看 到 本 地 的 I P 已 经 无 法 访 问 网 页
6 . 通 过 f i r e w a l l - c m d   — l i s t - a l l   可 以 看 到 自 己 本 地 的 i p 地 址 已 经 被 拉 黑 7 . 我 们 也 可 以 对 在 / e t c / f i r e w a l l d / z o n e s / p u b l i c . x m l 文 件 中 对 防 火 墙 的 规 则 进 行 直 接 操 作 ， 方 便 我 们 后 期 对 拉 黑 的 i p 进 行 移 除 ， 修 改 等 操 作 总 结 ： 总 结 ： 这 个 脚 本 只 是 给 出 一 个 样 例 , 里 面 的 阀 值 n u m 需 要 根 据 自 己 网 站 的 访 问 量 自 行 调 整 。 也 可 以 根 据 这 个 脚 本 来 演 化 ， 比 如 基 于 访 问 特 征 拉 黑 i p , 有 兴 趣 的 可 以 自 己 研 究 。 * 本 文 作 者 ： 本 文 作 者 ： m o z i l i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理