ubuntu下查看惡意登入的shell命令

測試環境：ubuntu server 12.04

查看系統日誌中登入失敗的情況
 
grep "Failed password for root" /var/log/auth* | awk '{print $11}' | sort | uniq -c | sort -nr | more
 
指令碼解釋：
grep "Failed password for root" /var/log/auth* |
#取出以auth開頭的檔案中，所有root登入失敗的記錄
awk '{print $11}' |
#取出ip（127.0.0.1）
sort |
#排序
uniq -c |
#計算每條記錄的出現次數
sort -nr |
#按出現次數排序
more

上面的命令得到類似下面的結果：

     647 117.21.208.26
    153 93.62.48.179
     74 219.153.1.229
     44 207.106.176.182
     13 210.107.122.210
      9 192.168.119.59
      6 61.147.70.110
      2 192.168.112.11

前面是統計的次數，後面是來源IP

使用：grep "Failed password for root" /var/log/auth.log|grep 61.147 

查看 6 61.147.70.110這六條記錄的詳細

靈活運用grep