1.3.3 Web 服务日志审计

---

一、试题及考试说明

公司在Centos系统中使用Nginx部署web服务器,现需要企业安全技术人员对Nginx的日志进行提取与筛选分析，使用shell命令对如下要求进行操作（Nginx的配置文件在etc/test/nginx/下）：

1. 分别提取Nginx的访问日志和错误日志存放至“/tmp/access.log”和“/tmp/error.log”；
2. 筛选error.log中所有包含“MSJ/1.0”信息的日志保存至“/tmp/abnormal.log”；
3. 筛选access.log，过滤HTTP状态码404的行后，将剩余POST方法的记录保存至“/tmp/post.log”。

---

二、操作步骤

1. 分别提取Nginx的访问日志和错误日志存放至“/tmp/access.log”和“/tmp/error.log”；

如何找到access.log和error.log两个日志文件的位置？
vim /etc/nginx/nginx.conf 命令界面 ?access.log，?error.log查询文件存放位置
（1）访问日志文件：access.log 的路径 /var/log/nginx/access.log
（2）错误日志文件：error.log 的路径 /var/log/nginx/error.log

cd /var/log/nginx/					// 进入/var/log/nginx/目录下
cp access.log /tmp/access.log		// 复制access.log日志文件到/tmp/access.log
cp error.log /tmp/error.log			// 复制error.log日志文件到/tmp/error.log

2. 筛选error.log中所有包含“MSJ/1.0”信息的日志保存至“/tmp/abnormal.log”；

cd /var/log/nginx
cat error.log
grep MSJ/1.0 error.log > /tmp/abnormal.log 

3. 筛选access.log，过滤HTTP状态码404的行后，将剩余POST方法的记录保存至“/tmp/post.log”。

grep -v "404" /tmp/access.log |grep "POST" > /tmp/post.log 
ls /tmp

---