Trong nhiệm vụ của tôi để chặn các phpMyAdminlần đăng nhập thất bại quá mức với fail2ban, tôi đã tạo một tập lệnh ghi nhật ký các lần thử thất bại vào một tệp:/var/log/phpmyadmin_auth.log
Nhật ký tùy chỉnh
Định dạng của /var/log/phpmyadmin_auth.logtệp là:
phpMyadmin login failed with username: root; ip: 192.168.1.50; url: http://somedomain.com/phpmyadmin/index.php
phpMyadmin login failed with username: ; ip: 192.168.1.50; url: http://192.168.1.48/phpmyadmin/index.php
Bộ lọc tùy chỉnh
[Definition]
# Count all bans in the logfile
failregex = phpMyadmin login failed with username: .*; ip: <HOST>;
Nhà tù phpMyAdmin
[phpmyadmin]
enabled = true
port = http,https
filter = phpmyadmin
action = sendmail-whois[name=HTTP]
logpath = /var/log/phpmyadmin_auth.log
maxretry = 6
Các fail2banbản ghi có chứa:
2012-10-04 10:52:22,756 fail2ban.server : INFO Stopping all jails
2012-10-04 10:52:23,091 fail2ban.jail : INFO Jail 'ssh-iptables' stopped
2012-10-04 10:52:23,866 fail2ban.jail : INFO Jail 'fail2ban' stopped
2012-10-04 10:52:23,994 fail2ban.jail : INFO Jail 'ssh' stopped
2012-10-04 10:52:23,994 fail2ban.server : INFO Exiting Fail2ban
2012-10-04 10:52:24,253 fail2ban.server : INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.6
2012-10-04 10:52:24,253 fail2ban.jail : INFO Creating new jail 'ssh'
2012-10-04 10:52:24,253 fail2ban.jail : INFO Jail 'ssh' uses poller
2012-10-04 10:52:24,260 fail2ban.filter : INFO Added logfile = /var/log/auth.log
2012-10-04 10:52:24,260 fail2ban.filter : INFO Set maxRetry = 6
2012-10-04 10:52:24,261 fail2ban.filter : INFO Set findtime = 600
2012-10-04 10:52:24,261 fail2ban.actions: INFO Set banTime = 600
2012-10-04 10:52:24,279 fail2ban.jail : INFO Creating new jail 'ssh-iptables'
2012-10-04 10:52:24,279 fail2ban.jail : INFO Jail 'ssh-iptables' uses poller
2012-10-04 10:52:24,279 fail2ban.filter : INFO Added logfile = /var/log/auth.log
2012-10-04 10:52:24,280 fail2ban.filter : INFO Set maxRetry = 5
2012-10-04 10:52:24,280 fail2ban.filter : INFO Set findtime = 600
2012-10-04 10:52:24,280 fail2ban.actions: INFO Set banTime = 600
2012-10-04 10:52:24,287 fail2ban.jail : INFO Creating new jail 'fail2ban'
2012-10-04 10:52:24,287 fail2ban.jail : INFO Jail 'fail2ban' uses poller
2012-10-04 10:52:24,287 fail2ban.filter : INFO Added logfile = /var/log/fail2ban.log
2012-10-04 10:52:24,287 fail2ban.filter : INFO Set maxRetry = 3
2012-10-04 10:52:24,288 fail2ban.filter : INFO Set findtime = 604800
2012-10-04 10:52:24,288 fail2ban.actions: INFO Set banTime = 604800
2012-10-04 10:52:24,292 fail2ban.jail : INFO Jail 'ssh' started
2012-10-04 10:52:24,293 fail2ban.jail : INFO Jail 'ssh-iptables' started
2012-10-04 10:52:24,297 fail2ban.jail : INFO Jail 'fail2ban' started
Khi tôi phát hành:
sudo service fail2ban restart
fail2banemail tôi nói sshđã khởi động lại, nhưng tôi không nhận được email nào như vậy về phpmyadminnhà tù của tôi . Lặp đi lặp lại đăng nhập thất bại để phpMyAdminkhông gửi email.
Tôi đã bỏ lỡ một số thiết lập quan trọng? Là biểu thức chính quy của bộ lọc của tôi sai?
Cập nhật: thêm các thay đổi từ cài đặt mặc định
Bắt đầu với một fail2bancài đặt sạch :
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
Thay đổi địa chỉ email thành của riêng tôi, hành động thành:
action = %(action_mwl)s
Nối các mục sau vào jail.local
[phpmyadmin]
enabled = true
port = http,https
filter = phpmyadmin
action = sendmail-whois[name=HTTP]
logpath = /var/log/phpmyadmin_auth.log
maxretry = 4
Thêm vào đây /etc/fail2ban/filter.d/phpmyadmin.conf
# phpmyadmin configuration file
#
# Author: Michael Robinson
#
[Definition]
# Option: failregex
# Notes.: regex to match the password failures messages in the logfile. The
# host must be matched by a group named "host". The tag "<HOST>" can
# be used for standard IP/hostname matching and is only an alias for
# (?:::f{4,6}:)?(?P<host>\S+)
# Values: TEXT
#
# Count all bans in the logfile
failregex = phpMyadmin login failed with username: .*; ip: <HOST>;
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
# Ignore our own bans, to keep our counts exact.
# In your config, name your jail 'fail2ban', or change this line!
ignoreregex =
Khởi động lại fail2ban
sudo service fail2ban restart
Tái bút: Tôi thích trứng
1
Có vẻ như nó không chọn nhà tù mới của bạn trong cấu hình. Vui lòng xác định chính xác những tập tin bạn đã thay đổi.
—
mgorven
@mgorven Tôi đã cập nhật câu hỏi của mình với tổng quan toàn diện về những gì tôi đã thay đổi
—
Michael Robinson
Đây có phải là những lần thử đăng nhập thực tế vào phiên bản phpmyadmin của bạn hay chúng chỉ đơn giản là các trình quét tìm kiếm phpmyadmin?
—
Scott Pack
Tôi tin rằng họ là người đến sau
—
Michael Robinson