fail2ban 和 joomla 错误日志匹配问题答案

【问题标题】：fail2ban and joomla error logs matching problemfail2ban 和 joomla 错误日志匹配问题
【发布时间】：2019-02-15 20:36:46
【问题描述】：

我无法将 joomlas error.php 行与 fail2ban 正则表达式匹配。我怀疑这可能与日志文件中使用的日期和时间格式或错误行中的空格数量有关。您知道如何在 fail2ban 的某处添加自定义日期/时间格式定义吗？

日志行：

2013-05-28 06:25:39 信息 1.2.3.4 Joomla 失败：用户名和密码不匹配，或者您还没有帐户。

使用fail2ban-regex，我尝试了从最通用的通配符到复制粘贴确切行的所有方法，但没有任何匹配项。试试例如。

fail2ban-regex "2013-05-28      06:25:39        INFO    1.2.3.4 Joomla FAILURE:         Username and password do not match or you do not have an account yet." "^.*<HOST>.*FAILURE"

已安装的软件包名称：fail2ban 拱门：noarch 版本：0.9.6 发布：1.el6.1

【问题讨论】：

标签： regex security joomla fail2ban dictionary-attack

【解决方案1】：

问题 1 是您需要一个持续到行尾的正则表达式。您的日志文件不以 FAILURE 结尾。

其次，您需要对您的正则表达式更加严格，Fail2ban's guide on FILTERS 显示这如何导致 DoS，因为您的正则表达式也会暴露您。

为了帮助您制定更严格的正则表达式，请使用 fail2ban-regex -D 选项并以交互方式将其变为严格的正则表达式

【讨论】：

你能在你的系统上生成匹配吗？我尝试过使用一直到行尾的正则表达式，但无济于事。 debuggex 显示它是正确的。我采用了更严格的规则，但选择了最简单的规则来生成匹配。我怀疑问题出在日期时间格式和两者之间的过多空格...除非您的匹配...