linux 环境下 假设被cc攻击，请从linux日志文件找出黑客ip地址

 cc攻击     既是被大量用户重复访问

攻击者借助代理服务器生成指向受害主机的合法请求，实现DDOS和伪装就叫：CC(Challenge Collapsar)。

CC主要是用来攻击页面的。大家都有这样的经历，就是在访问论坛时，如果这个论坛比较大，访问的人比较多，打开页面的速度会比较慢，访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。

 

日志文件，里面包含访问者的ip等信息，把ip信息提取出来并将他们出现的次数排序，就能看到黑客的ip地址

 

假设有一份日志文件叫access.log,首先提取出ip，

 

这里要使用到linux awk的命令，详细用法可以百度  https://www.cnblogs.com/virgosnail/p/11103651.html   https://www.cnblogs.com/virgosnail/p/11103651.html

 

awk '{print $1}' access.txt //提取每行第一个字段，因为每行开头就是ip，后面是空格

结果如下（因为我的日志文件ip都是一样的，我把access.log复制一份出来对ip部分做了些修改）

 接下来统计他们出现的次数，需要用到sort、uniq，它们的用法自己百度，注意uniq -n是小到大排序，uniq -nr是大到小排序，r的意思应该是反转reverse

上面的输出输入到purip.txt文件中，下面进行统计他们出现的次数

cat putip.txt | awk'{print $1}' |sort |uniq -c |sort -nr

结果如下

 

第一个访问3次的就是访问次数最多的ip，现实中它就是黑ip了 

 

 

查看此文件前几个ip就可以知道黑客ip地址

参看博客
https://blog.csdn.net/jirryzhang/article/details/82467554

https://www.cnblogs.com/sunshine-long/p/9295913.html
linux cut 的使用
https://www.runoob.com/linux/linux-comm-cut.html
linux sort的使用
https://www.runoob.com/linux/linux-comm-sort.html
linux awk
https://www.cnblogs.com/virgosnail/p/11103651.html
正则表达式
https://tool.lu/regex/