基于web日志的溯源，从零基础到精通，收藏这篇就够了！_notepad 打卡log文件查找攻击者ip-优快云博客

===

前言

随着互联网的快速发展，网络攻击日益频繁，规模和复杂性逐年上升，造成的影响越来越大，通过对Web服务器日志的分析可以对网站的攻击事件进行检测,进而掌握Web服务器被攻击的来源和原因等。

一、日志基础知识

1.1 日志存放的位置

当前三个最主流的WEB服务器分别是Apache、Nginx和IIS。在Linux中，日志存放的位置在:/var/log/，其中Apache、Nginx日志默认存储在/var/log/目录下的Httpd、nginx目录中。

1.2 Web日志参数信息

Web日志中包括以下几个参数：请求访问的IP、请求的时间、请求的方法 (常见的为POST,GET) 和地址。下面给出示例和解释：

172.XX.XX.11 - - [01/Apr/2020:10:37:19 +0800] “GET / HTTP/1.1” 200 45

<请求IP><浏览者标识><浏览者名称>[请求时间] "请求方法和协议版本号 "<状态码><请求字节数>

其中，浏览者标识和浏览者名称一般为空，除了上述参数外还会有请求头中的Referer、UserAgent等信息。

常见的状态码如下：

二、案例分析

2.1 背景

现有一台服务器遭受了入侵攻击，需要对服务器进行日志分析和排查。

2.2 分析过程

首先用Notepad++打开log文件，发现IP 172.XX.XX.11对网站进行访问，状态码大量为404，可判断攻击者可能是利用扫描器对网站进行扫描，测试网站是否存在敏感文件。搜索并标记此IP，如下图所示：

对日志逐一进行分析，发现可疑IP 172.XX.XX.11访问了敏感文件，跳转到了后台页面。如下图所示：

然后该IP对后台进行SQL注入，尝试登陆。如下图：

接下来攻击者对数据库进行了暴力破解，URL中包含很多的phpadmin里的文件说明成功进入了数据库。如下图：

最后，攻击者成功上传并利用了shell.php,如下图：

如果在web服务器目录下，排查出木马文件，可直接在日志中搜索关键字并全部标记查看，不知道的情况下也可通过搜索.php、.asp、.jsp等一些webshell的后缀名进行排查。

三、分析思路

Webshell一般会存放在网站目录下。
在Web目录下筛选出可疑的文件
最近有哪些文件被上传到服务器
查看历史命令，最近服务器进行了哪些操作
对Webshell的特征进行筛选
查看文件上传的目录位置，比如Upload文件夹
使用工具进行扫描查杀
确定受到攻击的时间范围，利用一些工具筛选时间段前后日志，根据可疑的日志、IP、攻击特征(如扫描网站大量的404，SQL注入带有select、count、from敏感字符等)来进行排查

结束语

以上是一个简单的分析，还有很多可以用来进行分析的工具如Excel、Awstats等。此外，想要高效率的进行Web日志分析，不仅要学会Web日志分析工具的使用，还要了解一些常见Web攻击的流程和手段。

“盘古石”团队是奇安信科技集团股份有限公司旗下专注于电子数据取证技术研发的团队，由来自国内最早从事电子数据取证的成员组成。盘古石团队以“安全为先，洞鉴未来”为使命，以“漏洞思维”解决电子数据取证难题，以“数据驱动安全”为技术思想，以安全赋能取证，研发新一代电子数据取证产品，产品涵盖计算机取证、移动终端取证、网络空间取证、IoT取证、取证数据分析平台等电子数据取证全领域产品和解决方案，为包括公安执法、党政机关、司法机关以及行政执法部门等提供全面专业的支持与服务。