如何使用故障2ban为Nginx错误"主脚本未知"

Question

我使用Ubuntu20.04和Fail2ban，但是像这样的错误不会被过滤。此错误出现在/var/log/nginx/error中。html" target="_blank">日志如何在Fail2ban中设置以阻止这样的机器人程序？

2020/12/31 18:02:34[错误] 674#674：*1003 FastCGI在stderr中发送："主脚本未知"，同时读取来自上游的响应头，客户端：xxx.xxx.xxx.xxx，服务器：mydomain.com，请求："GET /wp-content/plugins/eshop-magic/download.php?file=../../../../wp-config.phpHTTP/1.1"，上游："fastcgi：//unix：/var/run/php/php7.4-fpm.sock："，主机："www.mydomain.com"

注意：我想使用fail2ban阻止所有试图访问不存在的网页的IP地址。我无法在筛选器上构建正确的正则表达式。D

Answer 1

既然你提到阻止脚本访问wp-Content的PHP脚本...

大多数好的插件只能通过WordPress的前端控制器（/index.php）执行，并且有很好的SEO URL，这是一个非常有效的说法。

一个好的插件将不允许它的执行从链接排序/wp-Content/plugins/

因此，如果您保持插件库干净，您就没有这样的插件，可以将任何请求视为/wp content/*。php恶意。

阻止这些操作可以自动完成，但是Fail2Ban在那里不是一个很好的选择，因为它需要首先扫描日志。相反，为什么不直接将此类恶意请求路由到一个脚本，该脚本会自动禁止防火墙中的此类IP呢。无日志扫描，立即阻塞。

我已经在蜜罐阻塞和WordPress的安全NGINX配置的最后几段中介绍了这种方法：

    location /wp-content/ { 
        # other PHP files cause automatic ban:
        location ~ \.php$ {
            include includes/honeypot.conf;
        }
    }

不幸的是，蜜罐文章是针对FirewallD的，但是您可以轻松地将其应用于其他发行版中的任何其他防火墙。

Answer 2

在您的监狱中添加[nginx badbots]部分。本地

[nginx-badbots]

enabled  = true
port     = http,https
filter   = nginx-badbots
logpath  = /var/log/nginx/error.log
maxretry = 2

创建名为nginx badbots的过滤器文件。conf内部过滤器。d

[Definition]

failregex = FastCGI sent in stderr: "Primary script unknown" .*, client: <HOST>

ignoreregex =

重新启动故障2ban

service fail2ban restart

检查您的nginx badbotsjail

fail2ban-client status nginx-badbots