Bash Scripting pour la Cybersecurite

# Tentatives de brute force SSH
grep "Failed password" /var/log/auth.log

# Extraire les adresses IP des echecs
grep "Failed password" /var/log/auth.log | grep -oE '[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+'

# Compter les tentatives par IP
grep "Failed password" /var/log/auth.log \
    | grep -oE '[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+' \
    | sort | uniq -c | sort -rn | head -10

# Detecter les SQL injections dans les logs Apache
grep -E "(union.*select|or.*1.*=.*1|drop.*table|insert.*into)" /var/log/apache2/access.log

# Trouver les requetes suspectes (LFI, RFI, path traversal)
grep -E "(\.\.\/|etc\/passwd|proc\/self|php:\/\/)" /var/log/apache2/access.log

# Chercher des mots de passe en clair dans les fichiers de config
grep -ri "password\s*=" /etc/ --include="*.conf" 2>/dev/null

# Detecter les reverse shells potentiels
grep -rE "(bash -i|\/dev\/tcp|nc -e|mkfifo|exec 5)" /var/log/ 2>/dev/null

# Syntaxe de base
awk 'condition { action }' fichier

# Extraire le 1er champ (IP) des logs Apache (format combined)
awk '{print $1}' /var/log/apache2/access.log

# Top 10 des IP les plus actives
awk '{print $1}' /var/log/apache2/access.log | sort | uniq -c | sort -rn | head -10

# Extraire les IP avec status 403 (Forbidden)
awk '$9 == 403 {print $1, $7}' /var/log/apache2/access.log

# Extraire les requetes de plus de 10 000 octets (champ 10 = bytes)
awk '$10 > 10000 {print $1, $7, $10}' /var/log/apache2/access.log

# Compter les requetes par code HTTP
awk '{count[$9]++} END {for (code in count) print code, count[code]}' \
    /var/log/apache2/access.log | sort -k2 -rn

# Separateur personnalise (: pour /etc/passwd)
awk -F: '{print $1, $3, $7}' /etc/passwd

# Trouver les comptes avec UID 0 (root-level)
awk -F: '$3 == 0 {print "[!] UID 0 :", $1, "shell:", $7}' /etc/passwd

# Comptes avec shell interactif
awk -F: '$7 ~ /bash|sh$/ {print $1, $7}' /etc/passwd

# Formater la sortie
awk -F: 'BEGIN {printf "%-15s %-6s %s\n", "USER", "UID", "SHELL"}
         $3 >= 1000 && $3 < 65534 {printf "%-15s %-6s %s\n", $1, $3, $7}' /etc/passwd

# Substitution de base : s/ancien/nouveau/
# Masquer les IP dans les logs avant de les partager
sed 's/[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}/[IP_MASQUEE]/g' access.log

# Remplacer un mot (g = global, toutes les occurrences sur la ligne)
sed 's/HTTP/HTTPS/g' config.txt

# Supprimer les lignes contenant un motif
sed '/CRON/d' /var/log/syslog     # Supprimer les lignes CRON
sed '/^#/d' /etc/apache2/apache2.conf   # Supprimer les commentaires
sed '/^$/d' config.txt             # Supprimer les lignes vides

# Supprimer les commentaires ET les lignes vides
sed '/^#/d; /^$/d' /etc/ssh/sshd_config

# Afficher une plage de lignes (equivalent de head/tail precis)
sed -n '100,200p' access.log       # Lignes 100 a 200

# Inserer du texte
sed '1i\# Fichier modifie le 2026-02-24' config.txt   # Avant la ligne 1
sed '$a\# Fin du fichier' config.txt                   # Apres la derniere ligne

# Modification in-place (attention: modifie le fichier !)
sed -i 's/PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config

# Backup avant modification (-i.bak cree une copie .bak)
sed -i.bak 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

# Extraire entre deux motifs
sed -n '/BEGIN ATTACK/,/END ATTACK/p' incident.log

# Decoupage par delimiteur (-d) et champ (-f)
# Extraire les noms d'utilisateurs de /etc/passwd
cut -d: -f1 /etc/passwd

# Extraire username et shell
cut -d: -f1,7 /etc/passwd

# Extraire les champs 1 a 3
cut -d: -f1-3 /etc/passwd

# Decoupage par caracteres
# Extraire les 10 premiers caracteres de chaque ligne
cut -c1-10 access.log

# Combiner avec d'autres outils
# IP et methode HTTP depuis les logs Apache
awk '{print $1, $6}' access.log | cut -d'"' -f2

# Extraire les dates d'un log syslog (caracteres 1-15)
cut -c1-15 /var/log/syslog | sort | uniq -c | sort -rn

#!/bin/bash
#============================================================
# conn_monitor.sh — Moniteur de connexions suspectes
# Usage : ./conn_monitor.sh [seuil] [intervalle_sec]
#============================================================

SEUIL=${1:-10}          # Nombre max de connexions par IP
INTERVALLE=${2:-10}     # Intervalle de verification en secondes
LOG="/var/log/conn_monitor.log"
PORTS_SUSPECTS="4444 5555 6666 1337 31337 9999 4443"

# Couleurs
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m'

log_msg() {
    local LEVEL=$1
    local MSG=$2
    local TIMESTAMP=$(date '+%Y-%m-%d %H:%M:%S')
    echo -e "${TIMESTAMP} [${LEVEL}] ${MSG}" | tee -a "$LOG"
}

check_connections() {
    echo -e "\n${GREEN}[$(date +%H:%M:%S)]${NC} Analyse des connexions..."

    # Compter les connexions par IP distante
    ss -tn state established 2>/dev/null \
        | awk 'NR>1 {print $5}' \
        | cut -d: -f1 \
        | sort | uniq -c | sort -rn \
        | while read COUNT IP; do
            if [[ $COUNT -gt $SEUIL ]]; then
                log_msg "ALERTE" "${RED}$IP a $COUNT connexions (seuil: $SEUIL)${NC}"
            fi
        done

    # Verifier les ports suspects
    for PORT in $PORTS_SUSPECTS; do
        RESULT=$(ss -tlnp 2>/dev/null | grep ":${PORT} ")
        if [[ -n "$RESULT" ]]; then
            log_msg "DANGER" "${RED}Port suspect $PORT en ecoute !${NC}"
            log_msg "DETAIL" "$RESULT"
        fi
    done

    # Nombre total de connexions
    TOTAL=$(ss -tn state established 2>/dev/null | wc -l)
    log_msg "INFO" "Connexions actives : $TOTAL"
}

# Boucle principale
log_msg "START" "Demarrage du moniteur (seuil=$SEUIL, intervalle=${INTERVALLE}s)"
echo -e "${YELLOW}Ctrl+C pour arreter${NC}"

while true; do
    check_connections
    sleep "$INTERVALLE"
done

#!/bin/bash
#============================================================
# apache_analyzer.sh — Analyseur de logs Apache
# Usage : ./apache_analyzer.sh [fichier_log] [top_n]
#============================================================

LOGFILE=${1:-/var/log/apache2/access.log}
TOP_N=${2:-10}
REPORT="/tmp/apache_report_$(date +%Y%m%d_%H%M%S).txt"

# Verification
if [[ ! -f "$LOGFILE" ]]; then
    echo "[-] Fichier $LOGFILE introuvable"
    exit 1
fi

TOTAL_LINES=$(wc -l < "$LOGFILE")

{
echo "=============================================="
echo "  RAPPORT D'ANALYSE APACHE"
echo "  Fichier : $LOGFILE"
echo "  Date    : $(date '+%Y-%m-%d %H:%M:%S')"
echo "  Lignes  : $TOTAL_LINES"
echo "=============================================="

echo ""
echo "=== TOP $TOP_N IP (Volume de requetes) ==="
awk '{print $1}' "$LOGFILE" | sort | uniq -c | sort -rn | head -"$TOP_N"

echo ""
echo "=== Distribution des codes HTTP ==="
awk '{print $9}' "$LOGFILE" | grep -E '^[0-9]+$' | sort | uniq -c | sort -rn

echo ""
echo "=== TOP $TOP_N Requetes 404 (Not Found) ==="
awk '$9 == 404 {print $7}' "$LOGFILE" | sort | uniq -c | sort -rn | head -"$TOP_N"

echo ""
echo "=== TOP $TOP_N Requetes 403 (Forbidden) ==="
awk '$9 == 403 {print $1, $7}' "$LOGFILE" | sort | uniq -c | sort -rn | head -"$TOP_N"

echo ""
echo "=== TOP $TOP_N Requetes 500 (Erreurs serveur) ==="
awk '$9 == 500 {print $7}' "$LOGFILE" | sort | uniq -c | sort -rn | head -"$TOP_N"

echo ""
echo "=== DETECTION D'ATTAQUES ==="

echo ""
echo "--- SQL Injection ---"
SQLI=$(grep -ciE "(union.*select|or.*1.*=.*1|drop.*table|insert.*into|select.*from)" "$LOGFILE")
echo "Tentatives detectees : $SQLI"
if [[ $SQLI -gt 0 ]]; then
    grep -iE "(union.*select|or.*1.*=.*1)" "$LOGFILE" | awk '{print $1, $7}' | head -5
fi

echo ""
echo "--- Path Traversal / LFI ---"
LFI=$(grep -cE "(\.\.\/|etc\/passwd|proc\/self)" "$LOGFILE")
echo "Tentatives detectees : $LFI"

echo ""
echo "--- XSS ---"
XSS=$(grep -ciE "(
                  

#!/bin/bash
#============================================================
# integrity_check.sh — Verificateur d'integrite de fichiers
# Usage : ./integrity_check.sh [init|check]
#============================================================

BASELINE="/var/lib/integrity_baseline.sha256"
ALERT_LOG="/var/log/integrity_alerts.log"

# Fichiers critiques a surveiller
FILES=(
    "/etc/passwd"
    "/etc/shadow"
    "/etc/group"
    "/etc/hosts"
    "/etc/crontab"
    "/etc/ssh/sshd_config"
    "/etc/sudoers"
    "/etc/resolv.conf"
    "/etc/ld.so.preload"
    "/root/.bashrc"
    "/root/.ssh/authorized_keys"
)

RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m'

init_baseline() {
    echo "[*] Creation de la baseline d'integrite..."
    > "$BASELINE"

    for FILE in "${FILES[@]}"; do
        if [[ -f "$FILE" ]]; then
            sha256sum "$FILE" >> "$BASELINE"
            echo -e "  ${GREEN}[+]${NC} $FILE"
        else
            echo -e "  ${YELLOW}[?]${NC} $FILE (non trouve)"
        fi
    done

    # Proteger la baseline
    chmod 600 "$BASELINE"
    echo ""
    echo -e "${GREEN}[+] Baseline creee : $BASELINE${NC}"
    echo "[*] $(wc -l < "$BASELINE") fichiers indexes"
}

check_integrity() {
    if [[ ! -f "$BASELINE" ]]; then
        echo -e "${RED}[-] Baseline introuvable. Executez d'abord : $0 init${NC}"
        exit 1
    fi

    echo "[*] Verification d'integrite — $(date)"
    ALERT=0

    while IFS=' ' read -r HASH_REF FILE; do
        # Ignorer le separateur (deuxieme champ est * ou espace)
        FILE=$(echo "$FILE" | sed 's/^\*//')

        if [[ ! -f "$FILE" ]]; then
            echo -e "${RED}[!!] FICHIER SUPPRIME : $FILE${NC}"
            echo "$(date) DELETED $FILE" >> "$ALERT_LOG"
            ((ALERT++))
            continue
        fi

        HASH_NOW=$(sha256sum "$FILE" | awk '{print $1}')

        if [[ "$HASH_REF" != "$HASH_NOW" ]]; then
            echo -e "${RED}[!!] MODIFIE : $FILE${NC}"
            echo -e "     Attendu : $HASH_REF"
            echo -e "     Actuel  : $HASH_NOW"
            echo "$(date) MODIFIED $FILE old=$HASH_REF new=$HASH_NOW" >> "$ALERT_LOG"
            ((ALERT++))
        else
            echo -e "  ${GREEN}[OK]${NC} $FILE"
        fi
    done < "$BASELINE"

    echo ""
    if [[ $ALERT -gt 0 ]]; then
        echo -e "${RED}[!] $ALERT ANOMALIE(S) DETECTEE(S) ! Voir $ALERT_LOG${NC}"
        exit 2
    else
        echo -e "${GREEN}[+] Tous les fichiers sont integres.${NC}"
    fi
}

# Main
case "${1:-check}" in
    init)  init_baseline ;;
    check) check_integrity ;;
    *)     echo "Usage: $0 [init|check]" ;;
esac

#!/bin/bash
#============================================================
# port_alerter.sh — Alerteur de ports ouverts non autorises
# Usage : ./port_alerter.sh [host]
#============================================================

HOST=${1:-"localhost"}
LOG="/var/log/port_alerts.log"

# Ports autorises (a personnaliser selon l'environnement)
declare -A ALLOWED_PORTS
ALLOWED_PORTS=(
    [22]="SSH"
    [80]="HTTP"
    [443]="HTTPS"
    [53]="DNS"
    [3306]="MySQL"
)

RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
CYAN='\033[0;36m'
NC='\033[0m'

echo -e "${CYAN}=== Scan de ports — $HOST — $(date) ===${NC}"
echo ""

# Recuperer les ports en ecoute
if [[ "$HOST" == "localhost" || "$HOST" == "127.0.0.1" ]]; then
    # Scan local avec ss
    PORTS_OPEN=$(ss -tlnp 2>/dev/null | awk 'NR>1 {print $4}' | grep -oE '[0-9]+$' | sort -un)
else
    # Scan distant avec /dev/tcp (ports courants)
    PORTS_OPEN=""
    SCAN_PORTS="21 22 23 25 53 80 110 135 139 443 445 993 995 1433 3306 3389 5432 5900 8080 8443"
    for PORT in $SCAN_PORTS; do
        (echo > /dev/tcp/$HOST/$PORT) 2>/dev/null && PORTS_OPEN="$PORTS_OPEN $PORT"
    done
fi

UNAUTHORIZED=0
echo -e "${CYAN}Ports ouverts :${NC}"
echo ""

for PORT in $PORTS_OPEN; do
    if [[ -n "${ALLOWED_PORTS[$PORT]}" ]]; then
        echo -e "  ${GREEN}[OK]${NC} Port $PORT (${ALLOWED_PORTS[$PORT]}) — Autorise"
    else
        echo -e "  ${RED}[!!]${NC} Port $PORT — ${RED}NON AUTORISE${NC}"
        PROCESS=$(ss -tlnp 2>/dev/null | grep ":${PORT} " | awk '{print $6}')
        echo -e "       Processus : $PROCESS"
        echo "$(date) UNAUTHORIZED_PORT $HOST:$PORT process=$PROCESS" >> "$LOG"
        ((UNAUTHORIZED++))
    fi
done

echo ""
if [[ $UNAUTHORIZED -gt 0 ]]; then
    echo -e "${RED}[!] $UNAUTHORIZED port(s) non autorise(s) detecte(s) !${NC}"
    echo -e "${YELLOW}    Verifier les processus associes et fermer si necessaire.${NC}"
else
    echo -e "${GREEN}[+] Tous les ports ouverts sont autorises.${NC}"
fi

#!/bin/bash
#============================================================
# daily_security_report.sh — Rapport de securite quotidien
# Cron : 0 7 * * * /opt/scripts/daily_security_report.sh
#============================================================

REPORT="/tmp/security_report_$(date +%Y%m%d).txt"
HOSTNAME=$(hostname)
DATE=$(date '+%Y-%m-%d %H:%M:%S')

{
echo "=============================================="
echo "  RAPPORT DE SECURITE QUOTIDIEN"
echo "  Hote     : $HOSTNAME"
echo "  Date     : $DATE"
echo "  Uptime   : $(uptime -p 2>/dev/null || uptime)"
echo "=============================================="

echo ""
echo "=== 1. TENTATIVES DE CONNEXION ECHOUEES (24h) ==="
if [[ -f /var/log/auth.log ]]; then
    FAILS=$(grep "Failed password" /var/log/auth.log \
        | awk -v d="$(date -d '1 day ago' '+%b %d' 2>/dev/null || date -v-1d '+%b %d')" '$0 ~ d' \
        | wc -l)
    echo "Total : $FAILS tentatives echouees"
    echo ""
    echo "Top 5 IP :"
    grep "Failed password" /var/log/auth.log \
        | awk '{print $(NF-3)}' \
        | sort | uniq -c | sort -rn | head -5
fi

echo ""
echo "=== 2. CONNEXIONS RESEAU ACTIVES ==="
ss -tn state established 2>/dev/null | awk 'NR>1 {print $5}' \
    | cut -d: -f1 | sort | uniq -c | sort -rn | head -10

echo ""
echo "=== 3. PORTS EN ECOUTE ==="
ss -tlnp 2>/dev/null | awk 'NR>1 {print $4, $6}'

echo ""
echo "=== 4. FICHIERS MODIFIES DANS /etc (24h) ==="
find /etc -type f -mtime -1 -ls 2>/dev/null | head -20

echo ""
echo "=== 5. FICHIERS SUID SUSPECTS ==="
find /tmp /dev/shm /var/tmp -perm -4000 -type f -ls 2>/dev/null
SUID_TMP=$(find /tmp /dev/shm /var/tmp -perm -4000 -type f 2>/dev/null | wc -l)
echo "Fichiers SUID dans les repertoires temporaires : $SUID_TMP"

echo ""
echo "=== 6. UTILISATEURS CONNECTES ==="
who -a 2>/dev/null || w

echo ""
echo "=== 7. ESPACE DISQUE ==="
df -h | grep -vE "tmpfs|udev"

echo ""
echo "=== 8. PROCESSUS SUSPECTS ==="
echo "Processus a forte CPU :"
ps aux --sort=-%cpu 2>/dev/null | head -6
echo ""
echo "Processus dans /tmp ou /dev/shm :"
ps aux 2>/dev/null | grep -E "/tmp/|/dev/shm/" | grep -v grep

echo ""
echo "=============================================="
echo "  Fin du rapport — $DATE"
echo "=============================================="
} > "$REPORT"

echo "[+] Rapport genere : $REPORT"

# Optionnel : envoi par email
# mail -s "Security Report $HOSTNAME $(date +%Y-%m-%d)" soc@corp.local < "$REPORT"