помогите заблокировать запрос

В плане nginx не уверен, могу дать почитать вот это:

https://onyx.net.ua/fail2ban_informaciya.php

Не совсем по логам понял - это часть URL или POST?

Если URL можно хоть так:

Glueon, error.log именно такой, ничего не менял, вот из последнего

http://pastebin.com/saRehP3a

наверно такое условие не совсем корректно,

if ($uri ~ "xxd0\x91\xd0\xb0\xd0\xb7\xd0\xb0 здесь") {

return 403;

}

не должно быть какого либо плюса чтобы запрос мог быть любой с таким началом?

Romka_Kharkov, в jail.conf добавил

в action.d mysitea.conf

а вот с filter.d mysitef.conf проблема.

как правильно правило написать?

kgtu5, там не указаны символы начала и конца, поэтому будет поиск подстроки. Подстрока такая там есть, если это URI. Просто в логе не видно $request_method переменной.

Можно заодно какие-нибудь общие фильтры повесить, типа таких:

    set $block_sql_injections 0;

    if ($query_string ~ "union.*select.*\(") {

        set $block_sql_injections 1;

    }

    if ($query_string ~ "union.*all.*select.*") {

        set $block_sql_injections 1;

    }

    if ($query_string ~ "concat.*\(") {

        set $block_sql_injections 1;

    }

    if ($block_sql_injections = 1) {

        return 403;

    }



    set $block_file_injections 0;

    if ($query_string ~ "[a-zA-Z0-9_]=http://") {

        set $block_file_injections 1;

    }

    if ($query_string ~ "[a-zA-Z0-9_]=(\.\.//?)+") {

        set $block_file_injections 1;

    }

    if ($query_string ~ "[a-zA-Z0-9_]=/([a-z0-9_.]//?)+") {

        set $block_file_injections 1;

    }

    if ($block_file_injections = 1) {

        return 403;

    }



    set $block_common_exploits 0;

    if ($query_string ~ "(<|%3C).*script.*(>|%3E)") {

        set $block_common_exploits 1;

    }

    if ($query_string ~ "GLOBALS(=|\[|\%[0-9A-Z]{0,2})") {

        set $block_common_exploits 1;

    }

    if ($query_string ~ "_REQUEST(=|\[|\%[0-9A-Z]{0,2})") {

        set $block_common_exploits 1;

    }

    if ($query_string ~ "proc/self/environ") {

        set $block_common_exploits 1;

    }

    if ($query_string ~ "mosConfig_[a-zA-Z_]{1,21}(=|\%3D)") {

        set $block_common_exploits 1;

    }

    if ($query_string ~ "base64_(en|de)code\(.*\)") {

        set $block_common_exploits 1;

    }

    if ($block_common_exploits = 1) {

        return 403;

    }

kgtu5, Ну во первых:

Это не отдельная строка а должно быть в Action, но надо ли это в вашем случае..... Я бы убрал.

Во вторых IP в екшонах должен заключаться в воот такие "<>" скобки, в моей ссылке там сноска есть.

Что касается фильтра... я так понимаю надо фильтровать "\xd0\x91\xd0\xb0\xd0\xb7\xd0\xb0" ?? Скиньте мне в приват или сюда, несколько строк лога (штук 5 вполне хватит) только КАК Есть.... можете конечно какие-то стратегические части замаскировать но не удаляйте их, мне четко понять надо как ваш лог выглядит что бы Regexp вам правильный собрать под него...

Если лог файл стандартный то попробуйте вот так:

Но это я про апач.... у вас nginx ... нужны логи .....

Так там человек pastebin'овские ссылки поскидывал с кусками-логами. Там в наглую SQL-инъекции понапиханы, можно наверное по ключевым словам SQL делать фильтрацию.

Romka_Kharkov, отправку сообщений делал по аналогии с настройками для ssh

[ssh-iptables]
enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
             sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]
logpath  = /var/log/secure
maxretry = 3

и сообщения о старте и останове fail2ban нормально приходят, вопрос только в фильтре

кстати в твоей статье поправь в "Разыграем ситуацию":

logpaht = /var/www/log/mysite.access.log => logpath = /var/www/log/mysite.access.log

Можно и так , тоже дельно, редко в [error] встречаются (SELECT|INSERT|UPDATE) :)

---------- Добавлено 11.09.2013 в 07:44 ----------

[ssh-iptables]

enabled  = true

filter   = sshd

action   = iptables[name=SSH, port=ssh, protocol=tcp]

             sendmail-whois[name=SSH, dest=root, sender=fail2ban@example.com]

logpath  = /var/log/secure

maxretry = 3

Статью поправил, за это отдельное спасибо, вам выслал информацию в ответ на лог. Все должно быть хорошо ;)

Glueon, вместо $query_string в вашем случае лучше использовать $args

Romka_Kharkov, помог с настройками fail2ban

фильтр сделали

и решил маленькую старую проблему /ru/forum/804135

ispmanager коряво конфиг делает для почты

СПАСИБО