從 http://anp.ath.cx/sshit/sshit.pl 改進的，現在不會 fork 一堆出來了。
這個版本是用 tail -F 讀 /var/log/auth.log，跟 sshit.pl 的作法不同。
Link: http://www.csie.nctu.edu.tw/~jnlin/script/chkfw_select_pf.txt
你必須要在 /etc/pf.conf 加上:
table <$PF_TABLE> persist
block on $extdev from <$PF_TABLE> to any
才會真正 block 有惡意者的 IP。
用 File::Tail 吧，做完以後丟 ports XD
剛剛看了一下 File::Tail, 發現他是 sleep() 一段時間以後去檢查檔案是不是被 reopen, 效果會比 tail -F 用 kqueue 檢查來的差.
關於這個暴力 try 的問題，因為我的系統是 Gentoo Linux 然後 log 系統是 metalog，所以我自己這邊的做法，是去 metalog 那邊，設一個類似 handler 的東西. 一但有 ssh 的 log entry 進來，就啟動自己寫的一個小 script file 去看看是不是暴力 try (簡單的字串比對而已). 如果是的話，記錄下來，再來看看連續幾次後，就去設 iptable 把那個 ip 來的所有 packet 全部 drop 掉，並且 email 給我這個 drop 事件. 這樣擋應該也還蠻有效果的.
大家的作法都差不多
不好意思，不太知道怎麼安裝在系統上面呢
請知道的大大能教一下嘛
謝謝唷。
請不要用這個 script 了, 改用 sshit 吧 :p