grep 并打印回参考

Question

我有这个 iptable 日志：

Feb 25 10:32:48 XXX: [414645.555838] FW: DEN TCP IN=eth0 OUT= MAC=XYZ SRC=1.1.1.1 DST=2.2.2.2 LEN=40 TOS=0x00 PREC=0x00 TTL=57 ID=0 DF PROTO=TCP SPT=80 DPT=51814 WINDOW=0 RES=0x00 RST URGP=0

我想 grep 1.1.1.1 和 80（SRC 和 SPT 字段）。 我这样做：

grep -oP 'SRC=([^ ]+).+SPT=([0-9]+)' /var/log/iptables.log

但它会返回：

SRC=1.1.1.1 DST=2.2.2.2 LEN=40 TOS=0x00 PREC=0x00 TTL=57 ID=0 DF PROTO=TCP SPT=80

我如何只获得 $1 和 $2（对匹配值的引用）？

Answer 1

您的示例的主要问题是您试图返回分组，这在 IIUC 是不可能的。解决此问题的一种方法是使用积极的后视（参见man perlre）：

grep -oP '(?<=SRC=|SPT=)[^ ]*'

输出：

1.1.1.1
80

这是一个更便携的替代方案：

grep -o 'SRC=[^ ]*\|SPT=[^ ]*' | grep -o '[^=]*$'

如果您希望输出在一行上，您应该考虑使用一种工具，即使用 Lev 的 答案。如果您知道输出总是成对出现，您可以使用paste 加入这些行：

grep -oP '(?<=SRC=|SPT=)[^ ]*' | paste - -

或者xargs:

grep -oP '(?<=SRC=|SPT=)[^ ]*' | xargs -n2

或sed:

grep -oP '(?<=SRC=|SPT=)[^ ]*' | sed 'N; s/\n/ /'

Answer 2

sed 方法：

sed -rn 's/.*SRC=([^ ]+).*SPT=([0-9]+).*/\1 \2/p' /var/log/iptables.log

您可以在您的脚本或类似的东西中将它传送到while read src spt。现在这当然效率不高，因为模式中有三颗星，所以如果性能有问题，可以考虑使用cut 之类的东西来提取某些字段：

cut -d' ' -f12,21 /var/log/iptables.log

不确定日志格式是否足够一致。