Каким сниффером отловить исходящий http брутфорса?

Question

[Vitalii Polishchuk]

Здравствуйте.

Есть сервер (CentOS 5) с большим кол-вом пользователей с дырявыми сайтами, пришли жалобы на исходящий брутфорс

xx.xx.xx.xx - - [04/Mar/2014:01:36:47 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"
xx.xx.xx.xx - - [04/Mar/2014:01:36:48 +0100] "POST /wp-login.php HTTP/1.0" 200 4509 "-" "-"

Каким снифером проще отловить UID пользователя от которого это идет?
Спасибо.

Answer 1

[Валентин]

Поснимать netstat-ом полчасика в цикле не вариант?

Comments

[Vitalii Polishchuk]

netstat умеет выводить uid? Не подскажете ключик?

[Валентин]

Он умеет выводить pid, а по нему не составит труда составить табличку с ps -aux.

PIDS=$(sudo netstat -ptn | sed 's/ \+/ /g;' | grep -e 'xxx.xxx.xxx.xxx' | cut -d\ -f7 | cut -d/ -f1)
for i in $PIDS;do
ps -ao user,pid
done

[Валентин]

Блин, комментарии не поддерживают форматирование(
for i in $PIDS;do
ps -ao user,pid | grep $i
done

[Vitalii Polishchuk]

Спасибо, попробую помониторить так, но более нишевые инструменты все же хотелось бы еще рассмотреть. Где было бы видно не только pid, uid, но и содержимое пакета.

Answer 2

[kenny_opennix]

fail2ban умеет, плюс закрывает на фаерволе.

Answer 3

[mace-ftl]