Discussion :

[ArChAnGe76]

Bonjour à tous,

j'espère être dans le bon forum. Voici mon problème: J'utilise le soft fail2ban afin de black lister des ip se connectant trop souvent sur un port (ou service donné). Ce soft se base sur les reg ex pour analyser les fichiers de logs.

Je veux l'utiliser pour analyser les logs de vsftpd (serveur FTP). Je n'arrive pas à trouver l'erreur dans ma chaine régulière...

Voici une ligne du log de vsftpd qui doit être détectée :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
Mon Feb 18 13:04:30 2008 [pid 4771] [julien] FAIL LOGIN: Client "192.192.192.192"

Et l'expression régulière que je pensai correcte :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
\w{3} \w{3} \d{1,2} \d{2}:\d{2}:\d{2} \d{4} \[.+\] \[.+\] FAIL LOGIN: Client "<host>"$

Le <host> est la partie que fail2ban récupère afin de black lister...

Quelqu'un aurait-il une petite idée ?

Merci par avance

[azalsup]

La partie est douteuse \[.+\] \[.+\] surtout le deuxieme '+'

a remplacer peut etre par

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
"\[w* d*\] \[[a-zA-Z1-9]\]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
"\[w* d*\] \[.\]

--------------
Mon Feb 18 13:04:30 2008 [pid 4771] [julien] FAIL LOGIN: Client "192.192.192.192"

[ArChAnGe76]

j'ai essayé les deux chaines suivantes :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
\w{3} \w{3} \d{1,2} \d{2}:\d{2}:\d{2} \d{4} \[w* d*\] \[[a-zA-Z1-9]\] FAIL LOGIN: Client "<host>"$

et :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
\w{3} \w{3} \d{1,2} \d{2}:\d{2}:\d{2} \d{4} \[w* d*\] \[.\] FAIL LOGIN: Client "<host>"$

Les deux ne me retourne rien. Pas de concordance ...

[Fructidor]

ceci a l'air de marcher:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
\w{3} \w{3} \d{1,2} \d{2}:\d{2}:\d{2} \d{4} \[\w* \d*\] \[\w*\] FAIL LOGIN: Client "192.192.192.192

l'autre option est de changer le \[.*\] en non-greedy \[.*?\]:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
In [10]: re.match(r'\w{3} \w{3} \d{1,2} \d{2}:\d{2}:\d{2} \d{4} \[.*?\] \[.*?\] FAIL LOGIN: Client "192.192.192.192"