应急响应之Web日志分析，从零基础到精通，收藏这篇就够了！-优快云博客

本文链接：https://blog.youkuaiyun.com/leah126/article/details/146029192

在日常面对大量的云上应急响应事件处置中，事件溯源的响应能力中最不可或缺的或许就是日志分析能力。通过对相关日志进行分析还原推理出整个事件的来龙去脉。本篇文章就Web日志分析输出一些小的tips，希望各位师傅能够多多指点斧正！该分析方式适用日常应急响应中的中小量数据日志分析；不适用数据量过大的日志分析。

Web访问日志记录了有关Web服务器接收和处理请求信息及运行时错误溢出等各种原始信息。通过对Web日志分析，不仅可以帮助我们定位攻击者，还可以帮助我们还原整体的攻击路径，找到网站存在的安全漏洞并进行修复。在分析完Web日志时可以串联系统中发现的其他相关信息点来进行还原整体的攻击路径。

基本概念

在分析Web日志之前，先对常见的Web网站日志格式做一个简单了解

基本格式如下：



访问IP 访问时间 HTTP方法 请求路径 请求协议 响应状态码 响应包字节大小 请求来源 请求浏览器版本

一条Nginx日志案例：



37.44.238.35 - - \[26/Dec/2020:03:28:29 +0800\] "POST /boaform/admin/formLogin HTTP/1.1" 404 153 "http://47.114.49.216:80/admin/login.asp" "Mozilla/5.0 (X11; Ubuntu; Linux x86\_64; rv:71.0) Gecko/20100101 Firefox/71.0"

这条日志解析如下：

37.44.238.35

该字段为请求服务器的客户端IP，这里的IP地址不一定是真实的客户端IP地址，如果客户端使用了代理服务器,那么这里的IP就是代理服务器的地址,而不是原机器IP。

- -

这项字段为空白，不过此项是用来记录用户HTTP的身份验证信息。如果某些网站要求用户进行身份验证，那么这一项就是记录用户的身份信息。

[26/Dec/2020:03:28:29 +0800]

该项用于记录请求的时间，格式为 [day/month/year:hour:minute:second zone], 最后的**+0800**表示服务器所处的时区为东八区。

“POST /boaform/admin/formLogin HTTP/1.1”

此项记录着最有用的信息。首先，它告诉我们的服务器收到到的是一个POST请求；其次，是客户端请求的资源路径，最后则是客户端使用的协议HTTP/1.1,整个格式为"%m %U%q %H"，即"请求方法/访问路径请求参数/协议"

404

此信息为状态码，由服务器端发送回客户端。它告诉我们客户端的请求是否成功，或是重定向，或是碰到了什么错误。该值为 200，表示服务器已经成功的响应了客户端的请求,一般来说,这项值以2开头的表示请求成功，以3开头的表示重定向，以4开头的标示客户端存在某些的错误，以5开头的标示服务器端存在某些错误。

153

这项表示服务器向客户端发送了多少的字节,在日志分析统计的时候,把这些字节加起来就可以得知服务器在某个时间节点内总的发送数据量是多少。

“http://47.114.49.216:80/admin/login.asp”

HTTP Referer：告诉服务器我是从哪个页面链接过来的，没有值时可能是直接打开网页的原因。

“Mozilla/5.0(X11;Ubuntu;Linuxx86_64;rv:71.0)Gecko/20100101Firefox/71.0”

User-Agent，这项字段主要用于记录客户端的浏览器信息

总结如下：

通过这条日志，我们可以得知在2020年12月26号凌晨3点28分的时候

源IP37.44.238.35通过POST方法

请求了当前网站的**/boaform/admin/formLogin**路径，

请求的协议版本为HTTP1.1，

请求得到的响应状态码为400(页面不存在)，

响应的字节大小为153字节，

请求的来源地址是http://47.114.49.216:80/admin/login.asp，

请求中所使用的浏览器为Ubuntu64位系统中的火狐（Firefox）71.0版。

常见响应状态码如下：

1、2xx类型状态码：   200 OK：表示从客户端发送给服务器的请求被正常处理并返回；   204 No Content：表示客户端发送给客户端的请求得到了成功处理，但在返回的响应报文中不含实体的主体   部分（没有资源可以返回）；   206 Patial Content：表示客户端进行了范围请求，并且服务器成功执行了这部分的GET请求，响应报文   中包含由Content-Range指定范围的实体内容。``   2、3xx类型状态码：   301 Moved Permanently：永久性重定向，表示请求的资源被分配了新的URL，之后应使用更改的URL；   302 Found：临时性重定向，表示请求的资源被分配了新的URL，希望本次访问使用新的URL；   303 See Other：表示请求的资源被分配了新的URL，应使用GET方法定向获取请求的资源；   304 Not Modified：表示客户端发送附带条件（是指采用GET方法的请求报文中包含if-Match、IfModified-Since、If-None-Match、If-Range、If-Unmodified-Since中任一首部）的请求时，服   务器端允许访问资源，但是请求为满足条件的情况下返回改状态码；   307 Temporary Redirect：临时重定向，与303有着相同的含义，307会遵照浏览器标准不会从POST变成   GET；（不同浏览器可能会出现不同的情况）；   301与302的区别：前者是永久移动，后者是临时移动（之后可能还会更改URL）   302与303的区别：后者明确表示客户端应当采用GET方式获取资源``   3、4xx状态码：   400 Bad Request：表示请求报文中存在语法错误；   401 Unauthorized：未经许可，需要通过HTTP认证；   403 Forbidden：服务器拒绝该次访问（访问权限出现问题）   404 Not Found：表示服务器上无法找到请求的资源，除此之外，也可以在服务器拒绝请求但不想给拒绝原   因时使用；``   4、5xx类型状态码   500 Inter Server Error：表示服务器在执行请求时发生了错误，也有可能是web应用存在的bug或某些   临时的错误时；   503 Server Unavailable：表示服务器暂时处于超负载或正在进行停机维护，无法处理请求；

分析思路

对以上日志基础信息解读完成之后，我们来梳理一下常规日志分析思路与技巧：

1.时间线分析

对于时间线分析指已经通过其他信息点得知了入侵的时间范围，可以根据该时间线以此为为线索来前推或者后推的方式排查检索可疑的日志，从而一步步梳理攻击过程，确定攻击者。

2、攻击特征分析

在对攻击特征分析时，可以通过实际侦察到的攻击IP，落地文件中的木马文件特征，具体的攻击漏洞类型，扫描器的固定字段，扫描的异常特征等为特征点来进行串联综合回溯分析梳理具体的攻击路径。

3、请求频率分析

根据日志中，相关URL在同一时间的访问频率来进行重点分析。如果一个时间节点对同一URL发起了大量的请求，或是极短时间内的对不同页面且来自同一IP地址的连续访问请求。一种是正常的业务请求，而另一种则就是不正常的问题所在，系统相关问题和外部恶意攻击问题。

注意要点：

1、现实中具体的时间和系统的时间并不一定对应，需要结合系统时间和现实时间情况来进行综合判断。

2、日志分析一半靠分析，一半靠梳理推论。两者缺一不可，根据实际经验来分析梳理推断攻击者的攻击链路。

3、日志分析中攻击者通常会通过X-forword字段来伪造IP进行攻击。

4、实际的漏洞批量化攻击中，如果未进行伪造。通常User Agent可能是脚本所发起的(python，java， wget，go，perl，masscan，curl等)。

5、具体的Web漏洞特征依照OWASP top10进行规则梳理来有效分析。

6、云上大多的攻击都是来自于批量化的扫描利用，因此要时常关注跟进通用型的高危Web漏洞原理和特征。

7、实际Web日志分析情况各有不同，需结合实际情况来进行综合分析。

分析工具

在实际的日志分析中，就日常使用的日志分析工具和技巧总结如下：

1、httpLogsViewer

httplogsViewer是一款web日志分析工具，可以用来查看和分析日志文件，搜索和过滤日志文件，支持自定义日志格式，对HTTP请求可以突出展示。支持自定义查看分列信息。如请求IP、请求地址、访问时间、访问状态、响应字节大小、请求来源地址、浏览器标识、联动Virtual查看恶意主机地址等。

具体的使用主要借助工具栏来进行过滤，普通版的主要过滤规则为状态码，IP地址。专业版中可以过滤相关请求地址，User Agent，Referer来源。另外在排查时可以通过对相关字段信息拍寻以及检索匹配来进行快速可视化分析。

2、Linux命令组合

在Linux命令行下，可以使用Shell命令组合来进行查询分析（grep+awk+sed+sort+uniq+more+less+cat等）。

grep：

文本搜索工具，根据用户指定的“模式（过滤条件）”对目标文本逐行进行匹配，打印匹配到的行。

awk：

文本分析工具，根据用户输入的表达式来处理数据和生成报告；处理的数据可以是一个或多个文件；

sort：

文本排序工具，将文件的每一行作为一个单位，相互比较，比较原则是从首字符向后，依次按ASCII码值进行比较，最后将他们按升序输出。

uniq：

文件去重工具，用来去除排序过的文件中的重复行，因此uniq经常和sort合用。也就是说，为了使uniq 起作用，所有的重复行必须是相邻的。

cat：

文本查看工具，用于连接文件并全部打印文件到标准输出中。

more 命令类似 cat ，不过会以一页一页的形式显示，更方便使用者逐页阅读，基本的指令就是按空白键（space）往下一页显示，按 b 键就会回退上一页显示，而且还有搜寻字串的功能，查看帮助使用h。

less：

less 与 more 类似，less 可以随意浏览文件，支持翻页和搜索，支持向上翻页和向下翻页。

sed：

文本处理工具，用来自动编辑一个或多个文件、简化对文件的反复操作、编写转换程序等。

head：

用于查看文件的开头部分的内容，有一个常用的参数**-n**用于显示行数，默认为10，即显示10 行的内容。

、

wc：

用于计算文件的Byte数、字数、或是列数，若不指定文件名称、或是所给予的文件名为"-"，则wc指令会从标准输入设备读取数据。

实战常用技巧（在使用时相关规则可以自己定义）：



1、列出当天访问次数最多的IP命令：  
cut -d- -f 1 log\_file|uniq -c | sort -rn | head -20  
  
2、查看当天有多少个IP访问：  
awk '{print $1}' log\_file|sort|uniq|wc -l  
  
3、查看某一个页面被访问的次数：  
grep "/index.php" log\_file | wc -l  
  
4、查看每一个IP访问了多少个页面：  
awk '{++S\[$1\]} END {for (a in S) print a,S\[a\]}' log\_file  
  
5、将每个IP访问的页面数进行从小到大排序：  
awk '{++S\[$1\]} END {for (a in S) print S\[a\],a}' log\_file | sort -n  
  
6、查看某一个IP访问了哪些页面：  
grep ^111.111.111.111 log\_file| awk '{print $1,$7}'  
  
7、去掉搜索引擎统计当天的页面：  
awk '{print $12,$1}' log\_file | grep ^\\"Mozilla | awk '{print $2}' |sort | uniq  
| wc -l  
  
8、查看2018年6月21日14时这一个小时内有多少IP访问:  
awk '{print $4,$1}' log\_file | grep 21/Jun/2018:14 | awk '{print $2}'| sort | uniq | wc -l  
  
9、统计日志文件中的爬虫  
grep -E 'Googlebot|Baiduspider' log\_file | awk '{ print $1 }' | sort | uniq  
  
10、统计相关扫描器  
cat log\_file | grep -v -E 'python|java|awvs' | sort | uniq -c | sort -r -n | head -n 100  
  
11、统计HTTP状态码  
cat log\_file |awk '{print $9}'|sort|uniq -c|sort -rn|more  
  
12、访问URL统计  
cat log\_file |awk '{print $7}'|sort|uniq -c|sort -rn|more  
  
13、URL访问量统计  
cat log\_file | awk '{print $7}' | egrep '\\?|&' | sort | uniq -c | sort -rn | more

分析实例

某日，一客户反馈网站被黑客入侵并挂上带有一段挑衅性的话，相关文件为网站主页下的1.txt，请求我司协助客户排查入侵原因并修复网站漏洞。

分解客户的需求：

1、排查攻击者入侵利用的漏洞

2、排查攻击者留下1.txt的入侵路径

3、协助客户对存在漏洞进行加固

拿到日志之后，首先大致浏览日志，熟悉网站相关环境和日志中的相关涉及信息。随后再根据客户给的关键的信息点1.txt来进行回溯分析黑客的入侵路径。

通过查看日志提取关键信息节点得知在2020年6月9号上午11点的时候IP地址为53.44.120.79的IP对网站进行漏洞扫描，扫描时的工具为burp。

其中关键信息点有以下：

1、exe、单引号，分号;，wls等关键漏洞探测行为特征

2、探测时响应404的关键信息点

3、请求路径中burp等抓包工具字样

4、请求时的客户端IP

5、请求时间

6、1.txt恶意文件

通过如上我们已经得知有攻击者在2020年6月9号对其网站使用Burp suite进行实际的渗透测试。接下来我们多收集一些证据点以求快速的进行分析还原出攻击者的路径。

统计访问的相关URL次数：

统计每个IP的页面访问次数：

梳理下一步分析思路：

1、对访问的URL次数超过10次以上的重点关注

2、对访问网站的客户端IP访问次数较高的进行着重分析

先以IP地址为53.44120.79为出发点进行分析。筛选出日志中该IP的所有请求，并将日志按照时间格式排序进行分析一个时间点有无大量同一路径的请求。

转换思路在攻击者的角度当入侵一个网站时需要有信息收集，漏洞探测，漏洞利用，权限获取等阶段，而这每一个阶段中如果有效的有相应成果则会在日志中体现出来，体现形式则是短时间内有大量相同路径，相同User-Agent，相同状态码等明显特征。

对该IP的日志按照这样快速浏览了一遍并未发现相关相同路径或者相同状态码的请求。并检索了该日志中是否涉及1.txt和1.txt文件落地时间前后有无明显攻击特征的请求同样无任何发现。

因此该IP涉及的相关日志只能验证说明为杂乱的扫描日志，且并未扫描出明显的漏洞，因此扫描的相关路径始终是东一下西一下的显示。

接下来我们对另一个访问次数较高的IP47.32.105.78进行同样思路的分析。

对该日志进行按照时间进行排序发现在2020年6月10晚上23点初左右有SQL注入的测试请求：

随后对该日志持续分析发现，在该时间节点的SQL注入请求持续不断的一直在发生。

并在深入跟踪时发现存在SQL注入info outﬁle写木马文件函数的使用和木马文件的请求。且该木马文件与SQLMAP自动化工具中的木马文件同名，因此可以推断这里攻击发现了SQL注入漏洞，并通过SQLMAP来利用注入点写入木马文件从而获取系统权限，因此该处存在SQL注入，随后进行验证即可。

SQL注入：



xxx.com/product/productshow.php?lang=cn&menuid=3&productid=63\*

接着往下，分析木马文件是否上传成功，如果成功通过SQL注入写入木马肯定会进行连接，如果未成功即可继续往下分析查看是否有其他相关操作（一般来说通过SQL注入拿权限的思路有SQL写文件，SQL 注入读取账号密码进行后台利用）。

通过筛选tmpuuujr.php文件分析并未发现有访问成功响应200状态码的请求，因此可以判断SQL注入写文件失败，推测攻击者会是用另一种思路读取账号密码来进行后台利用。

继续向下分析，在2020年6月10晚上12点左右的时候发现既有SQL注入还有后台登陆，基本可以断定攻击者是通过SQL注入读取账号密码登录后台。

对该处的SQL注入请求包进行解码分析验证猜想正确，攻击者确实在此处进行读取账号密码：

对日志一步步向后分析发现攻击通过数据库处的任意文件上传漏洞上传了恶意PHP脚本木马1283414230.php，再通过该木马植入了1.txt的恶意文件。该处发现了另外一个漏洞：

任意文件上传：



xxx.com/admin/index.php?path=database&menu\=db\_action&action=uploa



`至此Web分析到此结束，本次入侵攻击路径为：`

1、通过前台SQL读取管理员账号密码

2、通过管理员账号密码登录系统后台

3、系统后台处任意文件上传Webshell木马

4、利用Webshell管理系统并植入1.txt恶意文件

而网站存在的漏洞主要有：

1、前台SQL注入

2、后台任意文件上传

对本次事件的加固建议如下：

1、对相关PHP脚本木马文件1283414230.php进行删除

2、修改加固系统管理员账号密码

3、SQL注入进行有效的过滤转义

4、任意文件上传进行白名单限制校验

作者/Free雅轩

编辑/杨帆

黑客/网络安全学习路线

对于从来没有接触过黑客/网络安全的同学，目前网络安全、信息安全也是计算机大学生毕业薪资相对较高的学科。

大白也帮大家准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」「收藏」「在看」「赞」**

网络安全/渗透测试法律法规必知必会****

今天大白就帮想学黑客/网络安全技术的朋友们入门必须先了解法律法律。

【网络安全零基础入门必知必会】网络安全行业分析报告（01）

【网络安全零基础入门必知必会】什么是黑客、白客、红客、极客、脚本小子？（02）

【网络安全零基础入门必知必会】网络安全市场分类（03）

【网络安全零基础入门必知必会】常见的网站攻击方式（04）

【网络安全零基础入门必知必会】网络安全专业术语全面解析（05）

【网络安全入门必知必会】《中华人民共和国网络安全法》（06）

【网络安全零基础入门必知必会】《计算机信息系统安全保护条例》（07）

【网络安全零基础入门必知必会】《中国计算机信息网络国际联网管理暂行规定》（08）

【网络安全零基础入门必知必会】《计算机信息网络国际互联网安全保护管理办法》（09）

【网络安全零基础入门必知必会】《互联网信息服务管理办法》（10）

【网络安全零基础入门必知必会】《计算机信息系统安全专用产品检测和销售许可证管理办法》（11）

【网络安全零基础入门必知必会】《通信网络安全防护管理办法》（12）

【网络安全零基础入门必知必会】《中华人民共和国国家安全法》（13）

【网络安全零基础入门必知必会】《中华人民共和国数据安全法》（14）

【网络安全零基础入门必知必会】《中华人民共和国个人信息保护法》（15）

【网络安全零基础入门必知必会】《网络产品安全漏洞管理规定》（16）

网络安全/渗透测试linux入门必知必会

【网络安全零基础入门必知必会】什么是Linux？Linux系统的组成与版本？什么是命令（01）

【网络安全零基础入门必知必会】VMware下载安装，使用VMware新建虚拟机，远程管理工具（02）

【网络安全零基础入门必知必会】VMware常用操作指南（非常详细）零基础入门到精通，收藏这一篇就够了（03）

【网络安全零基础入门必知必会】CentOS7安装流程步骤教程（非常详细）零基入门到精通，收藏这一篇就够了（04）

【网络安全零基础入门必知必会】Linux系统目录结构详细介绍（05）

【网络安全零基础入门必知必会】Linux 命令大全（非常详细）零基础入门到精通，收藏这一篇就够了（06）

【网络安全零基础入门必知必会】linux安全加固（非常详细）零基础入门到精通，收藏这一篇就够了（07）

网络安全/渗透测试****计算机网络入门必知必会****

【网络安全零基础入门必知必会】TCP/IP协议深入解析（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】什么是HTTP数据包&Http数据包分析（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】计算机网络—子网划分、子网掩码和网关（非常详细）零基础入门到精通，收藏这一篇就够了（03）

网络安全/渗透测试入门之HTML入门必知必会

【网络安全零基础入门必知必会】什么是HTML&HTML基本结构&HTML基本使用（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础入门必知必会】VScode、PhpStorm的安装使用、Php的环境配置，零基础入门到精通，收藏这一篇就够了2

【网络安全零基础入门必知必会】HTML之编写登录和文件上传（非常详细）零基础入门到精通，收藏这一篇就够了3

网络安全/渗透测试入门之Javascript入门必知必会

【网络安全零基础入门必知必会】Javascript语法基础（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】Javascript实现Post请求、Ajax请求、输出数据到页面、实现前进后退、文件上传（02）

网络安全/渗透测试入门之Shell入门必知必会

【网络安全零基础入门必知必会】Shell编程基础入门（非常详细）零基础入门到精通，收藏这一篇就够了（第七章）

网络安全/渗透测试入门之PHP入门必知必会

【网络安全零基础入门】PHP环境搭建、安装Apache、安装与配置MySQL（非常详细）零基础入门到精通，收藏这一篇就够（01）

【网络安全零基础入门】PHP基础语法（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】PHP+Bootstrap实现表单校验功能、PHP+MYSQL实现简单的用户注册登录功能（03）

网络安全/渗透测试入门之MySQL入门必知必会

【网络安全零基础入门必知必会】MySQL数据库基础知识/安装（非常详细）零基础入门到精通，收藏这一篇就够了（01）

【网络安全零基础入门必知必会】SQL语言入门（非常详细）零基础入门到精通，收藏这一篇就够了（02）

【网络安全零基础入门必知必会】MySQL函数使用大全（非常详细）零基础入门到精通，收藏这一篇就够了（03）

【网络安全零基础入门必知必会】MySQL多表查询语法（非常详细）零基础入门到精通，收藏这一篇就够了（04）

****网络安全/渗透测试入门之Python入门必知必会

【网络安全零基础入门必知必会】之Python+Pycharm安装保姆级教程，Python环境配置使用指南，收藏这一篇就够了【1】

【网络安全零基础入门必知必会】之Python编程入门教程（非常详细）零基础入门到精通，收藏这一篇就够了（2）

python开发之手写第一个python程序

python入门教程之python开发学习笔记基本数据类型

python入门教程之python开发笔记之格式化输出

python入门教程之python开发笔记基本运算符

python入门教程python开发基本流程控制if … else

python入门教程之python开发笔记流程控制之循环

python入门之Pycharm开发工具的使用

python入门教程之python字符编码转换

python入门之python开发字符编码

python入门之python开发基本数据类型数字

python入门python开发基本数据类型字符串

python入门python开发基本数据类型列表

python入门python开发基本数据类型

python入门教程之python开发可变和不可变数据类型和hash

python入门教程python开发字典数据类型

python入门之python开发笔记基本数据类型集合

python开发之collections模块

python开发笔记之三元运算

【网络安全零基础入门必知必会】之10个python爬虫入门实例(非常详细)零基础入门到精通，收藏这一篇就够了（3）

****网络安全/渗透测试入门之SQL注入入门必知必会

【网络安全渗透测试零基础入门必知必会】之初识SQL注入（非常详细）零基础入门到精通，收藏这一篇就够了（1）

【网络安全渗透测试零基础入门必知必会】之SQL手工注入基础语法&工具介绍（2）

【网络安全渗透测试零基础入门必知必会】之SQL注入实战（非常详细）零基础入门到精通，收藏这一篇就够了（3）

【网络安全渗透测试零基础入门必知必会】之SQLmap安装&实战（非常详细）零基础入门到精通，收藏这一篇就够了（4）

【网络安全渗透测试零基础入门必知必会】之SQL防御（非常详细）零基础入门到精通，收藏这一篇就够了（4）

****网络安全/渗透测试入门之XSS攻击入门必知必会

【网络安全渗透测试零基础入门必知必会】之XSS攻击基本概念和原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了（1）

网络安全渗透测试零基础入门必知必会】之XSS攻击获取用户cookie和用户密码（实战演示）零基础入门到精通收藏这一篇就够了（2）

【网络安全渗透测试零基础入门必知必会】之XSS攻击获取键盘记录（实战演示）零基础入门到精通收藏这一篇就够了（3）

【网络安全渗透测试零基础入门必知必会】之xss-platform平台的入门搭建（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试入门】之XSS漏洞检测、利用和防御机制XSS游戏（非常详细）零基础入门到精通，收藏这一篇就够了5

****网络安全/渗透测试入门文件上传攻击与防御入门必知必会

【网络安全渗透测试零基础入门必知必会】之什么是文件包含漏洞&分类（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之cve实际漏洞案例解析（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之PHP伪协议精讲(文件包含漏洞)零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之如何搭建 DVWA 靶场保姆级教程（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之Web漏洞-文件包含漏洞超详细全解（附实例）5

【网络安全渗透测试零基础入门必知必会】之文件上传漏洞修复方案6

****网络安全/渗透测试入门CSRF渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之CSRF漏洞概述和原理（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之CSRF攻击的危害&分类（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之XSS与CSRF的区别（非常详细）零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之CSRF漏洞挖掘与自动化工具（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之CSRF请求伪造&Referer同源&置空&配合XSS&Token值校验&复用删除5

****网络安全/渗透测试入门SSRF渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之SSRF漏洞概述及原理（非常详细）零基础入门到精通，收藏这一篇就够了 1

【网络安全渗透测试零基础入门必知必会】之SSRF相关函数和协议（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之SSRF漏洞原理攻击与防御（非常详细）零基础入门到精通，收藏这一篇就够了3**
**

****网络安全/渗透测试入门XXE渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之XML外部实体注入（非常详细）零基础入门到精通，收藏这一篇就够了1

网络安全渗透测试零基础入门必知必会】之XXE的攻击与危害（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之XXE漏洞漏洞及利用方法解析（非常详细）零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之微信XXE安全漏洞处理（非常详细）零基础入门到精通，收藏这一篇就够了4

****网络安全/渗透测试入门远程代码执行渗透与防御必知必会

【网络安全渗透测试零基础入门必知必会】之远程代码执行原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础入门必知必会】之CVE-2021-4034漏洞原理解析（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全零基础入门必知必会】之PHP远程命令执行与代码执行原理利用与常见绕过总结3

【网络安全零基础入门必知必会】之WEB安全渗透测试-pikachu&DVWA靶场搭建教程，零基础入门到精通，收藏这一篇就够了4

****网络安全/渗透测试入门反序列化渗透与防御必知必会

【网络安全零基础入门必知必会】之什么是PHP对象反序列化操作（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全零基础渗透测试入门必知必会】之php反序列化漏洞原理解析、如何防御此漏洞？如何利用此漏洞？2

【网络安全渗透测试零基础入门必知必会】之Java 反序列化漏洞（非常详细）零基础入门到精通，收藏这一篇就够了3

【网络安全渗透测试零基础入门必知必会】之Java反序列化漏洞及实例解析（非常详细）零基础入门到精通，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之CTF题目解析Java代码审计中的反序列化漏洞，以及其他漏洞的组合利用5

网络安全/渗透测试**入门逻辑漏洞必知必会**

【网络安全渗透测试零基础入门必知必会】之一文带你0基础挖到逻辑漏洞（非常详细）零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门暴力猜解与防御必知必会

【网络安全渗透测试零基础入门必知必会】之密码安全概述（非常详细）零基础入门到精通，收藏这一篇就够了1

【网络安全渗透测试零基础入门必知必会】之什么样的密码是不安全的？（非常详细）零基础入门到精通，收藏这一篇就够了2

【网络安全渗透测试零基础入门必知必会】之密码猜解思路（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之利用Python暴力破解邻居家WiFi密码、压缩包密码，收藏这一篇就够了4

【网络安全渗透测试零基础入门必知必会】之BurpSuite密码爆破实例演示，零基础入门到精通，收藏这一篇就够了5

【网络安全渗透测试零基础入门必知必会】之Hydra密码爆破工具使用教程图文教程，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之暴力破解medusa，零基础入门到精通，收藏这一篇就够了7

【网络安全渗透测试零基础入门必知必会】之Metasploit抓取密码，零基础入门到精通，收藏这一篇就够了8

Wfuzz：功能强大的web漏洞挖掘工具

****网络安全/渗透测试入门掌握Redis未授权访问漏洞必知必会

【网络安全渗透测试零基础入门必知必会】之Redis未授权访问漏洞，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Redis服务器被攻击后该如何安全加固，零基础入门到精通，收藏这一篇就够了**
**

网络安全/渗透测试入门掌握**ARP渗透与防御关必知必会**

【网络安全渗透测试零基础入门必知必会】之ARP攻击原理解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之ARP流量分析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之ARP防御策略与实践指南，零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握系统权限提升渗透与防御关****必知必会

【网络安全渗透测试零基础入门必知必会】之Windows提权常用命令，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Windows权限提升实战，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之linux 提权（非常详细）零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握Dos与DDos渗透与防御相关****必知必会

【网络安全渗透测试零基础入门必知必会】之DoS与DDoS攻击原理（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Syn-Flood攻击原理解析（非常详细）零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之IP源地址欺骗与dos攻击，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之SNMP放大攻击原理及实战演示，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之NTP放大攻击原理，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之什么是CC攻击？CC攻击怎么防御？，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之如何防御DDOS的攻击？零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握无线网络安全渗透与防御相关****必知必会

【网络安全渗透测试零基础入门必知必会】之Aircrack-ng详细使用安装教程，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之aircrack-ng破解wifi密码(非常详细)零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之WEB渗透近源攻击，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之无线渗透|Wi-Fi渗透思路，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之渗透WEP新思路Hirte原理解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之WPS的漏洞原理解析，零基础入门到精通，收藏这一篇就够了

网络安全/渗透测试入门掌握木马免杀问题与防御********必知必会

【网络安全渗透测试零基础入门必知必会】之Metasploit – 木马生成原理和方法，零基础入门到精通，收藏这篇就够了

【网络安全渗透测试零基础入门必知必会】之MSF使用教程永恒之蓝漏洞扫描与利用，收藏这一篇就够了

网络安全/渗透测试入门掌握Vulnhub靶场实战********必知必会

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Prime使用指南，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场Breach1.0解析，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之vulnhub靶场之DC-9，零基础入门到精通，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Kioptrix level-4 多种姿势渗透详解，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场PWNOS: 2.0 多种渗透方法，收藏这一篇就够了

网络安全/渗透测试入门掌握社会工程学必知必会

【网络安全渗透测试零基础入门必知必会】之什么是社会工程学？定义、类型、攻击技术，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社会工程学之香农-韦弗模式，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社工学smcr通信模型，收藏这一篇就够了

【网络安全渗透测试零基础入门必知必会】之社会工程学之社工步骤整理（附相应工具下载）收藏这一篇就够了

网络安全/渗透测试入门掌握********渗透测试工具使用******必知必会**

【网络安全渗透测试零基础入门必知必会】之渗透测试工具大全之Nmap安装使用命令指南，零基础入门到精通，收藏这一篇就够了

觉得有用的话，希望粉丝朋友帮大白点个**「分享」「收藏」「在看」「赞」**

黑客/网络安全学习包

资料目录

成长路线图&学习规划
配套视频教程
SRC&黑客文籍
护网行动资料
黑客必读书单
面试题合集

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

更多内容为防止和谐，可以扫描获取~

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

应急响应之Web日志分析，从零基础到精通，收藏这篇就够了！

37.44.238.35

- -

[26/Dec/2020:03:28:29 +0800]

“POST /boaform/admin/formLogin HTTP/1.1”

153

“Mozilla/5.0(X11;Ubuntu;Linuxx86_64;rv:71.0)Gecko/20100101Firefox/71.0”

总结如下：

1.时间线分析

2、攻击特征分析

3、请求频率分析

注意要点：

1、httpLogsViewer

2、Linux命令组合

grep：

awk：

sort：

uniq：

cat：

more：

less：

sed：

head：

wc：

分解客户的需求：

黑客/网络安全学习路线