Forum

#!/bin/sh

BLACKLIST=/var/log/blacklist.log

#on commence par récupérer l'ip des mécréants a partir du log, et création de la blacklist



cat /var/log/auth.log | grep "Failed" | awk -F "from" '{ print $2 }' | awk '{ print $1 }' | sort -u >/var/log/blacklist.log

cat /var/log/auth.log | grep "Illegal" | awk -F "from" '{ print $2 }' | awk '{ print $1 }' | sort -u >>/var/log/blacklist.log

cat /var/log/messages | grep "Shorewall:net2fwROP:IN" | awk -F "SRC=" '{ print $2 }' | awk '{ print $1 }' | sort -u >>/var/log/blacklist.log



#pour chaque ip on compte combien il y a eu d'erreurs d'authentification

for i in `cat /var/log/blacklist.log` ; do

nberreurs1=`cat /var/log/auth.log | grep "Failed" | grep $i | wc -l`

nberreurs2=`cat /var/log/auth.log | grep "Illegal" | grep $i | wc -l`

nberreurs3=`cat /var/log/messages | grep "Shorewall:net2fwROP:IN" | grep $i | wc -l`

let nberreurs=$nberreurs1+$nberreurs2+$nberreurs3



#s'il y a eu plus de 3 erreurs et que l'ip n'est pas déjà blacklistée et bien on la blackliste !

if [ "$nberreurs" -ge "3" ]

then

if [ "`cat /var/log/blacklist.log | grep $i`" = "" ]

then

echo "Blocage de $i..."

iptables -A INPUT -t filter -s $i -j DROP

fi

fi

done