如何通过Nginx日志实时封禁风险IP

ip_from和ip_to是IP段起止, 存储的格式是十进制, MySQL中可通过inet_aton('your ip')函数将IP转为十进制. 如:

set @a:= inet_aton('172.217.6.78');
SELECT * FROM ip2location_db11 WHERE ip_from <= @a AND ip_to >= @a LIMIT 1;
复制代码

• 数据量很大, 建议带上LIMIT 1.

获取AS、ASN及用途

多数网站提供的免费服务中都无法查询ASN或没有其用途. ASN数据也有免费的数据库, 但是依旧没有其用途及类型等. 此时笔者通过其它的方法曲线救国.

ip2location提供了免费版本的IP2Location™LITE IP-ASN和IP2Proxy™LITE数据库.

IP2Location™LITE IP-ASN: 数据库提供了确定自治系统和编号(ASN)的参考.

IP2Proxy™LITE: 数据库包含被用作开放代理的IP地址. 该数据库包括所有公共IPv4和IPv6地址的代理类型、国家、地区、城市、ISP、域、使用类型、ASN和最新记录.

IP2Location™LITE IP-ASN中无法查询到IP的使用类型, IP2Proxy™LITE数据较少中不一定会包含指定的IP. 但可以结合这两个库, 大致猜测IP的用途:

1. 首先, 在IP2Proxy™LITE中查询出IP的ASN.

   set @a:= inet_aton('172.217.6.78');
   SELECT * FROM ip2location_asn WHERE ip_from <= @a AND ip_to >= @a LIMIT 1;
   复制代码

   ip_from	ip_to	cidr	asn	as
   2899904000	2899904255	172.217.6.0/24	15169	Google LLC

2. 结合ASN和IP, 查询相同ASN最接近指定IP的前后两条记录:

   set @a:= inet_aton('172.217.6.78');
   SELECT * FROM ip2proxy_px8 WHERE ip_from >= @a AND asn = 15169 ORDER BY ip_from ASC LIMIT 1;
   SELECT * FROM ip2proxy_px8 WHERE ip_from <= @a AND asn = 15169 ORDER BY ip_from DESC LIMIT 1;
   复制代码

   ip_from	ip_to	proxy_type	country_code	country_name	region_name	city_name	isp	domain	usage_type	asn	as	last_seen
   2899904131	2899904131	PUB	US	United States	California	Mountain View	Google LLC	google.com	DCH	15169	Google LLC	30

   ip_from	ip_to	proxy_type	country_code	country_name	region_name	city_name	isp	domain	usage_type	asn	as	last_seen
   2899904015	2899904015	PUB	US	United States	California	Mountain View	Google LLC	google.com	DCH	15169	Google LLC	30

3. 计算查询到的proxy记录中IP与当前IP的差值的绝对值.

   IP	proxy IP	abs(IP - proxy IP)
   2899904078	2899904131	53
   2899904078	2899904015	63

   如果绝对值很接近, 那么就认为此IP的用途和proxy IP相同. 很接近的定义可以根据情况调整, 如绝对值在65535范围内.

综合评分

综合评分的规则可根据实际场景进行调整

综合上述1-5项, 进行计算, 可以简单的相加, 也可加权计算.

IP封禁

笔者采用**iptables+ipset**的方式进行IP封禁. Actuator服务使用node编写, 运行在主机上, docker中的Monitor通过http与其交互. 封禁IP部分代码如下:

'use strict';

const express = require('express');
const shell = require('shelljs');
const router = express.Router();

router.post('/blacklist/:name/:ip', function (req, res, next) {
    let name = req.params.name;
    let ip = req.params.ip;
    let timeout = req.query.timeout;
    let cmd = `ipset -exist add ${name} ${ip} timeout ${timeout}`;
    console.log(cmd);
    shell.exec(cmd);
    res.send('ok\n');
});

module.exports = router;
复制代码

• name: 黑名单名称.
• timeout: 超时时间, 单位: 秒.

目前, 还是有不少"头铁"的IP频繁扫描笔者的网站, 在发现后几秒内自动屏蔽掉, 目前效果比较理想.

结语

• 爬虫、机器人、漏洞扫描等给网站造成了不必要的开销甚至带来风险, 不可忽视. 绝对安全很难做到, 但要尽量做到比别人安全.
• 封禁是相对暴力的手段, 一定要把握好尺度, 出现误杀会导致网站流失用户.
• 除了封禁外, 也可考虑"祸水东引", 将风险IP 302重定向到gitpage(备份站点), 这样就算误杀, 也不会造成用户无法访问的情况.
• 道路千万条, 安全第一条

如果这篇文章对您有帮助，请点个赞吧 (￣▽￣)"