!/bin/bash
#
根据web访问日志，封禁请求量异常的IP，如IP在半小时后恢复正常，则解除封禁
#
logfile=/data/log/access.log
显示一分钟前的小时和分钟
d1=date -d "-1 minute" +%H%M
d2=date +%M
ipt=/sbin/iptables
ips=/tmp/ips.txt
block()
{
将一分钟前的日志全部过滤出来并提取IP以及统计访问次数
grep '$d1:' $logfile|awk '{print $1}'|sort -n|uniq -c|sort -n > $ips
利用for循环将次数超过100的IP依次遍历出来并予以封禁
for i in awk '$1>100 {print $2}' $ips
do
$ipt -I INPUT -p tcp --dport 80 -s $i -j REJECT
echo "date +%F-%T $i" >> /tmp/badip.log
done
}
unblock()
{
将封禁后所产生的pkts数量小于10的IP依次遍历予以解封
for a in $ipt -nvL INPUT --line-numbers |grep '0.0.0.0/0'|awk '$2<10 {print $1}'|sort -nr
do
$ipt -D INPUT $a
done
$ipt -Z
}
当时间在00分以及30分时执行解封函数
if [ $d2 -eq "00" ] || [ $d2 -eq "30" ]
then
要先解再封，因为刚刚封禁时产生的pkts数量很少
unblock
block
else
block
fi
