Giúp tạo bộ lọc fail2ban

Tôi đã thực hiện một số bộ lọc cho fail2ban của mình, nhưng chỉ là những thứ đơn giản, như:

[Sự định nghĩa]
failregex = ^ .* "NHẬN .*/wp-login.php
bỏ quaregex =

tôi không sử dụng wordpress trên máy chủ của mình, vì vậy tôi chặn rất nhiều nỗ lực độc hại. Và tôi cũng đã tạo những cái tương tự, cho: phpmyadmin, wp-admin, wp-include, v.v.

nhưng tôi đã tìm thấy trong access.log của mình những thứ kỳ lạ như:

167.172.145.56 - - [22/Sep/2021:06:44:50 -0700] "GET /wp-login.php HTTP/1.1" 403 9901 "http://cpanel.alebalweb-blog.com/wp-login .php" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
167.172.145.56 - - [22/Sep/2021:06:44:50 -0700] "GET /wp-login.php HTTP/1.1" 403 9901 "http://mail.alebalweb-blog.com/wp-login .php" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"


61.135.15.175 - - [22/Sep/2021:05:45:24 -0700] "GET / HTTP/1.1" 200 26210 "http://webdisk.alebalweb-blog.com/" "Mozilla/5.0 (Linux; Android 10.0; MI 2 Build/O012) AppleWebKit/537.36 (KHTML, như Gecko) Chrome/88.0.4472.114 Mobile Safari/537.36"    
61.135.15.175 - - [22/Sep/2021:05:45:24 -0700] "GET / HTTP/1.1" 200 26210 "http://webmail.alebalweb-blog.com/" "Mozilla/5.0 (Linux; Android 10.0; MI 2 Build/O012) AppleWebKit/537.36 (KHTML, như Gecko) Chrome/88.0.4472.114 Mobile Safari/537.36"    
61.135.15.175 - - [22/Sep/2021:05:45:24 -0700] "GET / HTTP/1.1" 200 26210 "http://cpcalendars.alebalweb-blog.com/" "Mozilla/5.0 (Linux; Android 10.0; MI 2 Build/O012) AppleWebKit/537.36 (KHTML, như Gecko) Chrome/88.0.4472.114 Mobile Safari/537.36"

Những tên miền phụ đó không tồn tại.

Tôi đã cố gắng tạo một bộ lọc mới, lấy cảm hứng từ apache-badbots, nhưng tôi không chắc nó có đúng không:

[Sự định nghĩa]

Varioustoblock = cpanel\.|store\.|webdisk\.|autodetect\.|app\.|cpcalendars\.|cpcontacts\.|webmail\.|mail\.|fulaifushi\.|surf11818\.|asg\.| owa\.|exchange\.\$

failregex = ^<HOST> -.*"(GET|POST).*HTTP.*".*(?:%(varioustoblock)s).*"$
bỏ quaregex =

datepotype = ^[^\[]

đặc biệt là đối với dấu (.), trước đây tôi gặp vấn đề với dấu (.) trong bộ lọc fail2ban và giải pháp là loại bỏ chúng hoàn toàn...

nhưng trong trường hợp này, chúng không thể bị xóa, tôi không thể chặn bất kỳ ai có từ "thư" trong url của mình... tôi cần đảm bảo chặn "thư".

và tôi muốn tạo một bộ lọc lớn duy nhất xác định cả tên miền phụ không tồn tại và cố gắng truy cập wordpress hoặc phpmyadmin, nhưng pyton regex thực sự đáng sợ nếu bạn chưa bao giờ sử dụng nó ...

Ai giúp tôi với?

(Tôi cũng đã nghĩ đến việc xóa *.alebalweb-blog.com khỏi cấu hình dns, nhưng tôi không chắc đó là một ý kiến ​​hay, cũng bởi vì tôi sử dụng một số tên miền phụ.)

Tái bút Tôi nên lo lắng như thế nào nếu ai đó cố gắng truy cập các tên miền phụ không tồn tại trên trang web của tôi?

Bộ lọc khả thi có thể trông như thế này:

[Sự định nghĩa]

datepotype = ^\S+ \S+ \S+( \[{DATE}\])

mã lỗi = (?!401)[45]\d\d
tên miền phụ được phép = www|mail|cpannel
tên miền sai = (?!(?:%(tên miền phụ được phép)s)?\.)(?:[^\."]+\.){2,}[^\."]+
failregex = ^<ADDR> \S+ \S+ "[A-Z]+ /[^"]*" (?:(?P<err>%(errcode)s)|\d+)(?(err)| \d+ " https?://%(saidomain)s")

Điều này sẽ khớp với bất kỳ mã "xấu" nào được chỉ định bởi mã lỗi hoặc sai tên miền do khớp điều kiện e. g. trong trường hợp mã 200.

Ở đâu:

• (?:(?P<err>%(errcode)s)|\d+) - khớp với một trong hai mã lỗi được chỉ định (như 403 và lưu trữ dưới dạng nhóm được đặt tên sai lầm) hoặc bất kỳ mã nào khác (như 200);
• (?(err)...A...|...B...) - biểu thức điều kiện khớp với biểu thức con A nếu sai lầm đã khớp với biểu thức trên (chỉ mã lỗi, vì A trống ở đây) nếu không khớp với biểu thức con B (tên miền con sai).
• (?!(?:%(miền phụ được phép)s)?\.)(?:[^\."]+\.){2,}[^\."]+ - khớp với mọi thứ ngoại trừ các chuỗi bắt đầu bằng tên miền phụ được phép do tính năng tìm kiếm tiêu cực (?!...) và (?:[^\."]+\.){2,}[^\."]+ cho vài thứ như zzz.xxx.yyy.

Nhưng sẽ tốt hơn nếu hạn chế tên miền ở phía máy chủ web và cấm mọi yêu cầu đối với tên miền bất hợp pháp ở đó.

Trong trường hợp này, bộ lọc có thể giống như thế này:

[Sự định nghĩa]

datepotype = ^\S+ \S+ \S+( \[{DATE}\])

mã lỗi = (?!401)[45]\d\d
failregex = ^<ADDR> \S+ \S+ "[A-Z]+ /[^"]*" %(errcode)s\b