Apache 的正则表达式

Question

我想为 Apache 创建一条规则，以根据此类日志阻止大量登录：

93.176.51.15 - - [21/Nov/2019:00:02:40 +0100] "GET /wordpress/wp-login.php HTTP/1.1" 200 5485

我需要的究竟是什么正则表达式？我用这个：

^.+?:\d+ <HOST> -.*"(GET|POST|HEAD) .*/wp-login.php.*$

提前致谢

Answer 1

更“精确”的正则表达式看起来像：

^<HOST> \S+ \S+ [^"]*"[A-Z]{3,15}\s+\S*/wp-login\.php\b

它是锚定的（^.+ 不是锚点），没有包罗万象（如 .*，但尤其是非贪婪，如 .+?），并涵盖所有 http 方法以及来自入侵者方面提供的用户名（如果不需要身份验证并且 Web 服务器将记录它而不是 -）。

如果您的 fail2ban >= 0.10，请使用 <ADDR> 而不是 <HOST>（如果只记录 IP，则更快、更安全、更精确）。