0

所以今天我试图为fail2ban过滤器组合一些正则表达式。这就是我注意到fail2ban 在正则表达式模式中嵌套OR'ing 存在一些问题的地方。

输入字符串：127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a

图案：^<HOST> -.*\"(c|b)|a

这是一个例子：

$ fail2ban-regex "127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] \"a" '^<HOST> -.*\"(c|b)|a'

Running tests
=============

Use   failregex line : ^<HOST> -.*\"(c|b)|a
Use      single line : 127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a


Results
=======

Failregex: 0 total

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] Day/MONTH/Year:Hour:Minute:Second
`-

Lines: 1 lines, 0 ignored, 0 matched, 1 missed
|- Missed line(s):
|  127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a
`-

我注意到如果您运行正则表达式模式a|(c|b)，这实际上会成功并报告匹配，但是我需要能够检查第一个 OR 的两侧以查看第一个条件是否匹配（例如，如果 HTTP 请求type 不是 POST 或 GET），忽略正则表达式模式的其余部分，否则在第一个 OR 之后运行剩余的正则表达式模式。另一件事是分组似乎并不重要，因为它似乎总是只在最外层 OR 的第一部分匹配。

在这里我们得到一个匹配：

$ fail2ban-regex "127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] \"a" '^<HOST> -.*\"a|(c|b)'

Running tests
=============

Use   failregex line : ^<HOST> -.*\"a|(c|b)
Use      single line : 127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a


Results
=======

Failregex: 1 total
|-  #) [# of hits] regular expression
|   1) [1] ^<HOST> -.*\"a|(c|b)
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] Day/MONTH/Year:Hour:Minute:Second
`-

Lines: 1 lines, 0 ignored, 1 matched, 0 missed

我说这可能是一个错误，因为我对 regex101.com 和 debuggex.com 等网站的测试报告与这两种正则表达式模式匹配。

4

1 回答 1

1

这个正则表达式：

^<HOST> -.*\"(c|b)|a

...与此相同：

a|^<HOST> -.*\"(c|b)

唯一的区别是替代品的尝试顺序。如果正则表达式很重要，这应该匹配任何一种方式。但是，快速浏览一下fail2ban 文档会告诉我，每个都failregex必须匹配与请求关联的主机名/IP。您基本上有两个正则表达式（^<HOST> -.*\"(c|b)和a），其中一个不包含<HOST>.

我不确定您要完成什么，但如果您不能通过将管道放在括号（(a|b|c)）中来完成，您可能需要使用两个单独的正则表达式。

于 2016-08-14T04:11:55.930 回答