update

Author: Cooooing

source/_posts/编程记录/云服日常被攻击（三）.md

@@ -45,59 +45,54 @@ bash脚本我就不是很熟了，连夜和gpt一起写了个脚本，检测ftp
 #!/bin/bash
 
 # 配置参数
-LOG_FILE="/home/ubuntu/frp/frp_0.56.0_linux_amd64/frps.log"  # 日志文件路径
-THRESHOLD=20                         # 黑名单阈值
+LOG_FILE="/home/ubuntu/frp/frps.log"        # 日志文件路径
+THRESHOLD=100                                # 黑名单阈值
 BLACKLIST_FILE="/home/ubuntu/frp/blacklist.txt"  # 黑名单文件路径
-CHAIN_NAME="FTP-BLACKLIST"        # 自定义防火墙链名称
-
+CHAIN_NAME="FTP-BLACKLIST"                  # 自定义防火墙链名称
+LOG_LINES=5000                             # 只处理最近多少行日志
 
 # 创建自定义防火墙链（如果不存在）
 iptables -L $CHAIN_NAME &> /dev/null
 if [[ $? -ne 0 ]]; then
   echo "创建自定义链: $CHAIN_NAME"
   iptables -N $CHAIN_NAME
-  # 确保 INPUT 链引用自定义链
   iptables -I INPUT -j $CHAIN_NAME
 fi
 
-# 提取日志中的 IP 地址并统计
-echo "解析日志文件：$LOG_FILE"
-declare -A ip_counts
-while read -r line; do
-  # 从日志中提取 IP
-  ip=$(echo "$line" | grep -oP '\b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b')
-  if [[ -n "$ip" ]]; then
-    ip_counts["$ip"]=$((ip_counts["$ip"] + 1))
-  fi
-done < "$LOG_FILE"
-
-# 遍历统计结果，筛选频率超过 $THRESHOLD 的 IP
-echo "筛选频率超过 $THRESHOLD 的 IP"
-blacklist_ips=()
-for ip in "${!ip_counts[@]}"; do
-  if [[ ${ip_counts["$ip"]} -gt $THRESHOLD ]]; then
-    blacklist_ips+=("$ip")
-  fi
-done
+# 提取日志中的 IP 地址并统计（只读最后 LOG_LINES 行）
+echo "解析日志文件最后 $LOG_LINES 行：$LOG_FILE"
+blacklist_ips=$(tail -n "$LOG_LINES" "$LOG_FILE" \
+  | grep -oP '\b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b' \
+  | awk '{counts[$1]++} END {for (ip in counts) if (counts[ip] > '"$THRESHOLD"') print ip}')
+
+# 如果没有符合条件的 IP，直接退出
+if [[ -z "$blacklist_ips" ]]; then
+  echo "没有超过阈值的 IP"
+  exit 0
+fi
 
-# 去重并添加到黑名单文件
-echo "将 IP 添加到黑名单文件并去重"
-for ip in "${blacklist_ips[@]}"; do
+# 去重并写入黑名单文件
+echo "更新黑名单文件：$BLACKLIST_FILE"
+mkdir -p "$(dirname "$BLACKLIST_FILE")"
+touch "$BLACKLIST_FILE"
+for ip in $blacklist_ips; do
   if ! grep -q "^$ip$" "$BLACKLIST_FILE"; then
     echo "$ip" >> "$BLACKLIST_FILE"
   fi
 done
 
-# 一次性检查哪些 IP 已经在防火墙中，过滤掉已存在的 IP
-existing_ips=$(iptables -L $CHAIN_NAME -v -n | grep -oP '\b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b' | sort -u | grep -v '^0\.0\.0\.0$')
+# 获取现有防火墙规则里的 IP
+existing_ips=$(iptables -L $CHAIN_NAME -v -n \
+  | grep -oP '\b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b' \
+  | sort -u | grep -v '^0\.0\.0\.0$')
 
-# 遍历黑名单 IP，添加到防火墙中
+# 添加新 IP 到防火墙
 echo "更新防火墙黑名单规则"
-for ip in "${blacklist_ips[@]}"; do
+for ip in $blacklist_ips; do
   if echo "$existing_ips" | grep -wq "^$ip$"; then
-    echo "IP 已在防火墙中：$ip"
+    echo "已存在规则：$ip"
   else
-    echo "添加黑名单规则：$ip"
+    echo "添加规则：$ip"
     iptables -A $CHAIN_NAME -s "$ip" -j DROP
   fi
 done