Linux grep Command आणि Regular Expressions (Regex) Tutorial उदाहरणांसह

By Ravindra Bagale, trainer · LinkedIn · Last updated: 25 October 2026

1. रोजचं उदाहरण: phone book मधे नाव शोधणं

हे का लागतं?

मीराच्या बाबांकडे 2,000 phone numbers असलेली जुनी diary आहे. तिला हवं: 'Joshi' असलेली प्रत्येक line, पण 'Joshi Travels' नाही; 'D' ने सुरू होणारी नावं; 98 ने सुरू होणारे numbers; आणि 'Doctor' खालच्या दोन lines, कारण तिथे clinic ची वेळ लिहिलीय.

हे काय आहे?

Joshi असलेल्या lines = grep Joshi. Travels नाही = grep -v Travels. D ने सुरू = grep '^D'. 98 ने सुरू होणारे numbers = grep -E '\b98[0-9]{8}\b'. खालच्या दोन lines = grep -A2 Doctor.

कसं करायचं (step by step)

2. grep basics: रोज वापरायचे options

हे का लागतं?

Logs आणि configs मोठे असतात. महत्त्वाच्या थोड्याच lines एका second मधे हव्यात.

हे काय आहे?

grep PATTERN FILE जुळणाऱ्या lines print करतो. -i case ignore, -v उलटं (न जुळणाऱ्या), -n line numbers, -c lines मोजा, -w पूर्ण word, -x पूर्ण line, -o फक्त जुळलेला भाग, -m N N matches नंतर थांबा, -q शांत (फक्त exit code), -h/-H file नावं लपवा/दाखवा, --color=auto highlight. Shell ने बदलू नये म्हणून pattern single quotes मधे.

कसं करायचं (step by step)

1. Errors शोधा.

grep ERROR app.log

Output:

10:12:44 ERROR payment timeout order=8812
10:15:02 ERROR db connection refused

याचा अर्थ: फक्त ERROR असलेल्या lines.

2. Case ignore आणि line numbers.

grep -in 'timeout' app.log

Output:

57:10:12:44 ERROR payment timeout order=8812
90:10:20:11 WARN Timeout on cache

याचा अर्थ: 57 आणि 90 line numbers.

3. Config मधल्या comments आणि रिकाम्या lines लपवा.

grep -v '^#' /etc/ssh/sshd_config | grep -v '^$'

Output:

Port 22
PermitRootLogin no
PasswordAuthentication no

याचा अर्थ: -v उलटं करतो. आता फक्त खरी settings.

4. फक्त पूर्ण word.

grep -w 'root' /etc/passwd

Output:

root:x:0:0:root:/root:/bin/bash

याचा अर्थ: -w chroot किंवा rootless skip करतो.

5. Failed logins मोजा.

sudo grep -c 'Failed password' /var/log/secure

Output:

143

याचा अर्थ: 143 lines जुळल्या.

6. if मधे grep.

if grep -q '^ravi:' /etc/passwd; then echo exists; fi

Output:

exists

याचा अर्थ: -q काही print करत नाही; exit 0 म्हणजे सापडलं.

7. अनेक patterns एकदम.

grep -e ERROR -e FATAL app.log | wc -l

Output:

31

याचा अर्थ: -e परत परत देता येतो. किंवा patterns file मधे ठेवून -f.

3. अनेक files आणि folders शोधा

हे का लागतं?

ही setting कुठे आहे? जुना password कोणत्या file मधे? पूर्ण folder tree शोधावं लागतं.

हे काय आहे?

grep -r PATTERN DIR, DIR खालच्या सगळ्या files शोधतो (-R symlinks पण follow). -l फक्त match असलेल्या files ची नावं, -L match नसलेल्या. --include='*.conf' आणि --exclude-dir=.git files filter करतात. -I binary files skip. zgrep .gz files शोधतो.

कसं करायचं (step by step)

1. Port कुठे set आहे.

grep -rn 'listen 443' /etc/nginx/

Output:

/etc/nginx/conf.d/shop.conf:5:    listen 443 ssl;

याचा अर्थ: File, line number आणि line.

2. फक्त file नावं.

grep -rl 'DB_PASSWORD' /srv/app

Output:

/srv/app/.env
/srv/app/config/old.env

याचा अर्थ: Files मधे राहिलेली secrets शोधायला.

3. फक्त काही file types.

grep -rn --include='*.py' 'import boto3' ~/projects

Output:

/home/ravi/projects/s3sync/main.py:3:import boto3

याचा अर्थ: .py नसलेलं सगळं skip.

4. .git आणि node_modules skip.

grep -rn --exclude-dir={.git,node_modules} 'TODO' .

Output:

./src/cart.js:41: // TODO handle coupon

याचा अर्थ: Fast आणि कमी गोंधळ.

5. Rotated gz logs शोधा.

zgrep -c 'Out of memory' /var/log/messages*.gz

Output:

/var/log/messages-1.gz:2
/var/log/messages-2.gz:0

याचा अर्थ: Unzip नको.

6. Header नसलेल्या files.

grep -L 'Copyright' src/*.c

Output:

src/new_feature.c

याचा अर्थ: -L match नसलेल्या files.

4. Context: आधीच्या आणि नंतरच्या lines

हे का लागतं?

एकटी error line पूर्ण कथा सांगत नाही. आधीच्या lines कारण, नंतरच्या stack trace दाखवतात.

हे काय आहे?

-A N प्रत्येक match नंतर N lines, -B N आधी, -C N दोन्ही बाजू. Groups -- ने वेगळे. कुठे आहात ते कळायला -n सोबत.

कसं करायचं (step by step)

1. Exception नंतरचा stack trace.

grep -A3 'Exception' app.log

Output:

10:20:11 ERROR NullPointerException
    at Cart.total(Cart.java:42)
    at Checkout.pay(Checkout.java:17)
    at Api.post(Api.java:88)

याचा अर्थ: Match नंतर तीन lines.

2. Crash आधी काय झालं.

grep -B2 'Killed process' /var/log/messages

Output:

kernel: Out of memory: Killed process 3112 (java)

याचा अर्थ: -B आधीच्या lines.

3. Line numbers सह दोन्ही बाजू.

grep -n -C1 'disk full' backup.log

Output:

41-starting upload
42:ERROR disk full
43-retry in 60s

याचा अर्थ: Matches ला :, context lines ला -.

5. Basic regex: anchors, dot, classes आणि star

हे का लागतं?

नुसते words पुरत नाहीत. 'ने सुरू', 'ने संपतं', 'कोणताही digit' किंवा 'इथे कोणताही character' हवं.

हे काय आहे?

^ line ची सुरुवात, $ line चा शेवट, . कोणताही एक character, [abc] a, b, c पैकी एक, [^abc] यापैकी नाही, [0-9] एक digit, [A-Za-z] एक letter, * आधीचा item शून्य किंवा जास्त वेळा, .* काहीही. POSIX classes: [[:digit:]] [[:alpha:]] [[:space:]] [[:upper:]]. \ special character escape करतो: \. म्हणजे खरा dot. GNU grep मधे \b किंवा \< \> word कडा.

कसं करायचं (step by step)

1. ERROR ने सुरू होणाऱ्या lines.

grep '^ERROR' worker.log

Output:

ERROR job 77 failed

याचा अर्थ: ^ match सुरुवातीला बांधतो.

2. .conf ने संपणाऱ्या lines.

ls /etc | grep '\.conf$' | head -3

Output:

host.conf
ld.so.conf
resolv.conf

याचा अर्थ: \. खरा dot; $ शेवट.

3. रिकाम्या lines.

grep -c '^$' notes.txt

Output:

6

याचा अर्थ: ^$ म्हणजे सुरुवात आणि शेवटामधे काही नाही.

4. Dot ने कोणताही character.

echo -e 'hat\nhot\nheat' | grep 'h.t'

Output:

hat
hot

याचा अर्थ: h आणि t मधे एक character. 'heat' मधे दोन.

5. HTTP 4xx किंवा 5xx codes.

grep ' [45][0-9][0-9] ' access.log | head -2

Output:

10.0.0.7 GET /cart 404 0
10.0.0.2 POST /pay 503 0

याचा अर्थ: Class [45] मग दोन digits.

6. एकही digit नसलेल्या lines.

grep -v '[0-9]' list.txt

Output:

apple
banana

याचा अर्थ: -v आणि digit class.

7. POSIX class ने uppercase words.

grep -o '\b[[:upper:]][[:upper:]]*\b' notes.txt | sort -u

Output:

AWS
EC2

याचा अर्थ: कोणत्याही language setting मधे चालतं.

6. Extended regex: + ? {n,m} | आणि groups

हे का लागतं?

IPs, emails, phone numbers किंवा 'हे किंवा ते' match करायला repeat counts आणि choices लागतात.

हे काय आहे?

grep -E (किंवा egrep, आता deprecated) extended regex चालू करतो. + एक किंवा जास्त, ? शून्य किंवा एक, {3} नेमके 3, {2,4} 2 ते 4, {2,} 2 किंवा जास्त, a|b यापैकी एक, ( ) groups. Basic grep मधे यालाच backslash: \+ \? \{3\} \| \( \). grep -P Perl regex: \d, \w, \s, lazy .*? आणि lookarounds.

कसं करायचं (step by step)

1. ERROR किंवा FATAL.

grep -E 'ERROR|FATAL' app.log | wc -l

Output:

31

याचा अर्थ: | म्हणजे किंवा. -E लागतो.

2. IPv4 addresses शोधा.

grep -Eo '([0-9]{1,3}\.){3}[0-9]{1,3}' auth.log | sort -u | head -3

Output:

10.0.0.5
49.36.12.4
103.21.8.77

याचा अर्थ: 1-3 digits आणि dot चा group 3 वेळा, मग 1-3 digits.

3. भारतीय mobile numbers.

grep -Eo '\b[6-9][0-9]{9}\b' contacts.txt

Output:

9822012345
7020011122

याचा अर्थ: 6-9 ने सुरू, मग आणखी 9 digits.

4. Emails.

grep -Eio '[a-z0-9._%+-]+@[a-z0-9.-]+\.[a-z]{2,}' users.txt

Output:

aditi@example.com
john.doe@mail.co.uk

याचा अर्थ: + म्हणजे एक किंवा जास्त allowed characters.

5. Optional letter.

grep -E 'colou?r' notes.txt

Output:

color
colour

याचा अर्थ: u? असू किंवा नसू शकतो.

6. Perl regex: order= नंतरची value.

grep -oP 'order=\K\d+' app.log | head -2

Output:

8812
8813

याचा अर्थ: \K आधीचा भाग output मधून काढतो; \d digit.

7. तोच pattern basic grep मधे.

grep 'ERROR\|FATAL' app.log | wc -l

Output:

31

याचा अर्थ: Basic regex मधे | ला backslash.

7. Fixed strings, speed आणि ripgrep

हे का लागतं?

Dots किंवा brackets भरलेली string, किंवा लाखो lines शोधायला fast आणि safe मार्ग हवा.

हे काय आहे?

grep -F (fgrep) pattern ला साधा text मानतो: regex नाही, fast आणि escaping नाही. -f file अनेक patterns file मधून. मोठ्या ASCII logs वर LC_ALL=C grep खूप fast. ripgrep (rg) modern recursive grep: fast, .gitignore मानतो, default colour आणि line numbers. ag आणि ack सारखीच tools.

कसं करायचं (step by step)

1. Dots असलेली string safely.

grep -F '10.0.0.1' access.log | head -1

Output:

10.0.0.1 GET /p1 200

याचा अर्थ: -F शिवाय . कोणताही character (10x0y0z1).

2. File मधून block list.

grep -Ff bad_ips.txt access.log | wc -l

Output:

57

याचा अर्थ: bad_ips.txt ची प्रत्येक line एक pattern.

3. मोठ्या log वर speed.

time LC_ALL=C grep -c 'ERROR' big.log

Output:

120334
real 0m0.41s

याचा अर्थ: C locale slow Unicode rules टाळतो.

4. Code repo मधे ripgrep.

rg -n 'boto3.client' --type py

Output:

src/sync.py
3:s3 = boto3.client('s3')

याचा अर्थ: rg .gitignore files skip करतो आणि default recursive.

8. अनेक industries मधली खरी उदाहरणं

हे का लागतं?

तेच Linux skill प्रत्येक प्रकारच्या company मध्ये लागतं. वेगवेगळ्या ठिकाणी पाहिलं की लक्षात राहतं.

हे काय आहे?

प्रत्येक row म्हणजे एक काल्पनिक team. कोण हे वापरतं आणि कसं ते दाखवते.

कसं करायचं (step by step)

9. नेहमीच्या errors आणि त्यांचे fixes

हे का लागतं?

हे errors सगळ्यांना येतात. कारण माहीत असलं की तास वाचतात.

हे काय आहे?

आधी नेमका message वाचा. मग खालच्या row शी जुळवा.

कसं करायचं (step by step)

10. Troubleshooting step by step

हे का लागतं?

grep ला काहीच सापडलं नाही (किंवा खूप सापडलं) तर आधी छोट्या sample वर pattern test करा.

हे काय आहे?

वरून खाली जा. ज्या step ला problem दिसतो तिथे थांबा.

कसं करायचं (step by step)

1. Text खरंच आहे का? आधी साधा -F.

grep -F -c 'timeout' app.log

2. Case problem? -i जोडा.

grep -ic 'timeout' app.log

3. एका echo line वर regex test.

echo 'order=8812 ok' | grep -Eo 'order=[0-9]+'

4. File मधे hidden characters (\r, tabs)?

grep -m1 'timeout' app.log | cat -A

5. Binary किंवा compressed?

file app.log

6. Exit code तपासा.

grep -q x app.log; echo $?

11. Lab 1: SSH brute-force attack शोधा

हे का लागतं?

grep आणि regex ने कोण attack करतंय, किती वेळा आणि कोणते users try करतंय ते शोधा.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. Sample auth log बनवा.

mkdir -p ~/lab9 && cd ~/lab9 && for i in $(seq 1 60); do echo "Oct 25 10:$((i%60)):01 web sshd[9$i]: Failed password for $([ $((i%3)) = 0 ] && echo invalid user admin || echo root) from 49.36.12.$((i%4)) port 5$i ssh2"; done > auth.log; echo 'Oct 25 11:00:00 web sshd[1]: Accepted publickey for ravi from 10.0.0.5' >> auth.log

Output:

(no output)

2. Failures मोजा.

grep -c 'Failed password' auth.log

Output:

60

3. Attacking IPs काढा आणि मोजा.

grep 'Failed' auth.log | grep -Eo '([0-9]{1,3}\.){3}[0-9]{1,3}' | sort | uniq -c | sort -nr

Output:

     15 49.36.12.0
     15 49.36.12.1
     15 49.36.12.2
     15 49.36.12.3

4. कोणते users try केले?

grep -oP 'for (invalid user )?\K\w+' auth.log | sort | uniq -c

Output:

     20 admin
     40 root
      1 ravi

5. चांगला login context सह.

grep -B1 'Accepted' auth.log

Output:

Oct 25 10:0:01 web sshd[960]: Failed password for invalid user admin ...
Oct 25 11:00:00 web sshd[1]: Accepted publickey for ravi from 10.0.0.5

12. Lab 2: Code folder मधे secrets audit

हे का लागतं?

Include आणि exclude rules सह recursive search करा आणि risky files list करा.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. छोटा project बनवा.

cd ~/lab9 && mkdir -p proj/src proj/.git && echo 'AWS_SECRET=abc123' > proj/src/.env && echo 'print(1)' > proj/src/a.py && echo 'AWS_SECRET=old' > proj/.git/x

Output:

(no output)

2. सगळं शोधा.

grep -rn 'AWS_SECRET' proj

Output:

proj/src/.env:1:AWS_SECRET=abc123
proj/.git/x:1:AWS_SECRET=old

3. .git skip करून फक्त file नावं.

grep -rl --exclude-dir=.git 'AWS_SECRET' proj

Output:

proj/src/.env

4. AWS access key id patterns.

echo 'key=AKIAIOSFODNN7EXAMPLE' >> proj/src/a.py; grep -rEon 'AKIA[0-9A-Z]{16}' proj/src

Output:

proj/src/a.py:2:AKIAIOSFODNN7EXAMPLE

13. नेहमी विचारले जाणारे प्रश्न

14. मुलाखत प्रश्न आणि उत्तरं

Beginner level

Mid level level

Senior level

15. संबंधित chapters

• DevOps साठी Linux Ops Refresh
• Automation साठी Bash Scripting
• Linux grep आणि find Commands Examples सह
• Linux Servers मध्ये Passwordless SSH

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.