IPBan项目中的FileZilla 64位版本日志解析方案优化

背景与问题分析

FileZilla作为广泛使用的FTP服务器软件，其日志记录格式在不同版本间存在差异。IPBan作为一款开源的IP地址封禁工具，需要准确解析各类服务的日志文件以识别异常登录行为。近期用户反馈FileZilla 64位版本的日志格式发生变化，导致原有的日志解析规则失效。

技术实现细节

日志格式变化对比

传统32位版本日志格式示例：

(000175) 1/5/2022 19:04:11 PM - (not logged in) (22.55.10.170)> 331 Password required for www

64位版本新日志格式特征：

1. 采用不同的时间戳格式
2. 增加了会话标识符[FTP Session X]
3. 用户名显示位置变化
4. 登录状态提示语句结构调整

正则表达式优化方案

针对64位版本的新日志格式，IPBan项目更新了专用的正则表达式模式：

失败登录识别规则：

(?<timestamp>[^\s]+)\s.*\s\[FTP\sSession\s[0-9]+\s(?<ipaddress>[^\]]+)\]\sUSER\s(?<username>[^\n]+)\n.*\sspecify\sthe\spassword[^\n]*\n.*\sPASS\s[^\n]*\n.*\s(?<log>Login\s(?:or\spassword\s)?incorrect)[^\n]*

成功登录识别规则：

(?<timestamp>[^\s]+)\s.*\s\[FTP\sSession\s[0-9]+\s(?<ipaddress>[^\]]+)\]\sPASS\s[^\n]*\n.*\[FTP\sSession\s[0-9]+\s[^\s]+\s(?<username>[^\]]+)\].*Login\ssuccessful[^\n]*

技术要点解析

1. 命名捕获组应用：

   • 使用(?<name>...)语法明确捕获关键字段
   • 包含timestamp(时间戳)、ipaddress(IP地址)、username(用户名)等关键信息

2. 多行匹配处理：

   • 通过\n识别换行符
   • 完整跟踪FTP登录交互过程

3. 容错设计：

   • 对"Login incorrect"和"Login or password incorrect"两种提示语都兼容
   • 灵活处理时间戳格式变化

部署建议

1. 配置文件路径更新为64位版本默认位置： C:\Program Files\FileZilla Server\Logs

2. 建议同时保留旧版解析规则，通过PlatformRegex区分不同系统环境

3. 对于混合环境部署，可考虑使用条件判断来选择合适的解析方案

安全价值

该优化确保了IPBan能够：

• 准确识别FileZilla 64位版本的异常登录行为
• 及时捕获可疑登录事件
• 维持原有的实时监控能力（PingInterval保持10秒）
• 不限制日志文件大小（MaxFileSize=0）

此更新体现了IPBan项目对常见服务软件版本变化的快速响应能力，为FTP服务器安全提供了持续保障。