Perl Oneline与iptables定位封禁网站攻击源 - 安全运维实战指南

1. 攻击发现与初步分析

1.1 异常流量识别

• 通过网站流量监控工具（如百度免费CDN统计）发现异常流量激增
• 重点关注流量突然增加的时间段（案例中为凌晨1点到2点）
• 日常运维应监控访问日志大小变化，异常增长往往是攻击征兆

1.2 日志分割策略

• 建议对访问日志按天进行分割（如access_nginx.log）
• 便于按时间范围分析特定时段的访问情况

2. Perl单行命令日志分析技术

2.1 按时间筛选日志

perl -lne '/[16/Feb/2016:01/ and print' access_nginx.log

• 使用Perl单行命令提取特定时间段的日志（案例中为2016年2月16日1点）
• -l：自动处理行尾
• -n：逐行处理输入文件
• 正则表达式匹配特定时间格式

2.2 攻击源IP统计

perl -lne '/[16/Feb/2016:01/ and print' access_nginx.log | perl -lane 'print $F[0]' | sort | uniq -c | sort -n

• 管道组合命令分析攻击源IP：
  1. 先按时间筛选日志
  2. perl -lane 'print $F[0]'：提取每行第一个字段（默认是IP地址）
  3. sort | uniq -c：排序并统计每个IP出现次数
  4. sort -n：按出现次数排序

2.3 单个IP行为分析

perl -lne '/141.101.75.65/ and print' access_nginx.log | head -n 10

• 分析特定IP的前10条访问记录
• 案例中发现攻击模式：先通过/?author=x查找用户名，再通过xmlrpc.php进行暴力破解

3. 攻击处理与防护措施

3.1 即时封禁攻击IP

iptables -I INPUT -s 141.101.75.65 -j DROP
iptables -I INPUT -s 162.158.90.40 -j DROP

• 使用iptables立即阻断攻击源
• -I INPUT：在INPUT链开头插入规则
• -s：指定源IP
• -j DROP：丢弃匹配的数据包

3.2 WordPress安全加固

1. 删除/重命名xmlrpc.php：如果未使用XML-RPC功能
2. 用户管理最佳实践：
   • 避免使用默认用户如admin/root
   • 设置用户显示别称，防止用户名直接暴露
3. 安全插件推荐：
   • WPSecurity Scan
   • Better wpSecurity
4. 保持系统更新：及时应用官方安全补丁

3.3 扩展防护方案

• 部署开源IDS如Snort进行深度检测
• 考虑使用Web应用防火墙(WAF)解决方案

4. 自研WAF系统介绍

4.1 App-Waf功能特性

• 自动分析访问日志中的非法请求
• 支持统计攻击行为并设置阈值自动封禁
• 可防御SYN Flood等泛洪攻击
• 支持通过iptables或nginx进行封禁
• 可与cron计划任务集成实现自动化防护

4.2 获取方式

• GitHub源码：https://github.com/bollwarm/App-Waf
• 码云镜像：https://gitee.com/ijz/app-waf

5. 总结与最佳实践

1. 日常监控：建立流量和日志大小的基线，设置异常告警
2. 快速响应：掌握Perl单行命令等快速分析技术
3. 分层防御：从网络层(iptables)到应用层(WAF)实施多级防护
4. 自动化：开发或使用现有工具实现攻击检测与响应的自动化
5. 持续学习：关注安全社区，了解最新攻击手法和防御技术

通过这套方法，运维人员可以快速识别、分析并阻断针对Web应用的常见攻击，保障系统安全稳定运行。