解決DOS***生產案例

提示：

根據web日誌或者網絡鏈接數，監控當某個ip併發數或者短時內PV達到100，即調命令封掉對應的ip，監控頻率每隔3分鐘。防火牆命令爲：iptables -A INPUT -s 10.0.1.10 -J drop

解答：

web，也能夠分析日誌，把單IP PV數高的封掉。按天定義PV=1000即封掉

#!/bin/bash
while true
do
  awk '{print $1}' access.log|grep -v "^$"|sort|uniq -c > /tmp/tmp.log
  exec </tmp/tmp.log
  while read line
  do
    ip=`echo $link|awk'{print $2}'`
    count=`echo $line|awk '{print $1}'`
      if [ $count -gt 3 ] && [ `iptables -L -n|grep "$ip"|wc -l` -lt 1 ]
      then
        iptables -I INPUT -s $ip -j DROP
        echo "$line is dropped" >>/tmp/droplist.log
      fi
  done
  sleep 5
done