Удалить символы с awk

Question

У меня есть сценарий, над которым я работаю, чтобы заблокировать IP-адрес неудачного входа в систему на SFTP-сервере. Я также использую Centrify для подключения сервера к AD, и я заметил, что Centrify регистрирует пользователей по-разному, чем обычно. Я в состоянии подтянуть IP-адрес неудачных попыток входа в следующую один лайнер:

(grep sshd /var/log/messages | grep "AUTH_FAIL_PASSWD" | awk '{print $18}' | sort | uniq -c | awk '{ if ($1 > 10) print $2 }') 

С Centrify это дает выход:

client=0.0.0.0 

Что мне нужно сделать удалить «клиент = «так что я могу передать только IP-адрес остальной части скрипта.

Спасибо за помощь!

Answer 1

Давайте начнем избавляться от всех бесполезных труб в вашей командной строке. Изменить все это просто команда один AWK:

awk '/sshd/&&/AUTH_FAIL_PASSWD/{cnt[$18]++} END{for (ip in cnt) if (cnt[ip] > 10) print ip}' /var/log/messages 

Теперь - обновить свой вопрос, чтобы включить некоторые входные выборки (содержание/вар/Журнал/сообщения) и ожидаемый результат и сказать нам с точки зрения текста в эти файлы, что вы пытаетесь сделать.

О, я думаю, что понял. Это может быть то, что вы хотите:

awk '/sshd/&&/AUTH_FAIL_PASSWD/{sub(/.*=/,"",$18); cnt[$18]++} END{for (ip in cnt) if (cnt[ip] > 10) print ip}' /var/log/messages 

Answer 2

Вы можете просто сбросить это обратно в AWK:

(Grep SSHD/вар/Журнал/сообщения | Grep "AUTH_FAIL_PASSWD" | AWK '{печать $ 18}' | сортировки | уник -c | AWK «{если ($ 1> 10) print $ 2} '| awk -F "="' {print $ 2} ')

Этот последний awk разбивает строку на знак равенства как разделитель и печатает второй элемент.

Answer 3

Вы не сказали, но если ф является $18

... | awk '{if(split($18,a,/=/)==2) print a[2]; else print a[1] }' | ... 

должны делать то, что вы хотите

Даже простой

... | awk '{sub(/.*=/,"",$18); print $18}' | ... 

Кроме того, мне нравятся трубы, во многих случаях они четко показывают ваши намерения, но, возможно, стоит согласиться на занятиях t часть того, что другие ответы были предложены

awk '/sshd/&&/AUTH_FAIL_PASSWD/ { 
     sub(/.*-/,"",$18; print $18}' /var/log/messages | sort | ...