web服務(wù)器日志分析-文庫(kù)吧
2025-01-28 00:09 本頁(yè)面
【正文】 成軟件 ? Version 版本 ? Date 日志發(fā)生日期 ? Fields 字段，顯示記錄信息的格式，可由IIS自定義 ? 日志主體是一條一條的請(qǐng)求信息，請(qǐng)求信息的格式是由字段定義的，每個(gè)字段間用空格隔開(kāi)， 日志記錄的格式 ? 常用字段解釋如下： ? data 日期 ? time 時(shí)間 ? sip 生成日志項(xiàng)的服務(wù)器 IP ? csmethod 請(qǐng)求方法 ? csuristem 請(qǐng)求文件 ? csuriquery 請(qǐng)求參數(shù) ? csusername 客戶(hù)端用戶(hù)名 ? cip 訪問(wèn)服務(wù)器的客戶(hù)端 IP ? sport 客戶(hù)端連接到的端口號(hào) ? csversion 客戶(hù)端協(xié)議版本 ? cs(UserAgent) 客戶(hù)端瀏覽器 ? cs(Referer) 引用頁(yè) ? scstatus 操作狀態(tài)代碼，常見(jiàn)的有 200表示成功， 404表示找不到該頁(yè)面， 500表示程序出錯(cuò) 舉例說(shuō)明日志文件格式 ? Software: Microsoft Inter Information Services ? Version: ? Date: 20230101 00:00:06 ? Fields: date time ssitename sip csmethod csuristem csuriquery sport csusername cip cs(UserAgent) scstatus scsubstatus scwin32status ? 上面代碼說(shuō)明了 ? 生成軟件： Microsoft Inter Information Services ? 版本： ? 日成發(fā)生日期： 20230101 00:00:06 舉例說(shuō)明日志文件格式 ? 日志記錄的格式： date 日期 time 時(shí)間 ssitename 請(qǐng)求站點(diǎn)的實(shí)例編號(hào) sip 生成日成服務(wù)器 IPcsmethod 客戶(hù)端執(zhí)行的操作 csuristem 訪問(wèn)的資源 csuriquery訪問(wèn)地址的參數(shù) sport端口 csusername訪問(wèn)服務(wù)器的已通過(guò)身份驗(yàn)證的用戶(hù)名稱(chēng) cip cs(UserAgent)客戶(hù)端 IP scstatus操作狀態(tài)代碼 scsubstatus 子狀態(tài)代碼 scwin32status Wondows狀態(tài)代碼 舉例說(shuō)明日志文件格式 ? 20230101 00:00:06 W3SVC77065997 HEAD /jxmtll/xiaozuxuexi/2023/5/ 80 Mozilla/+(patible。+MSIE+。+Windows+NT+。+SV1) 200 0 64 舉例說(shuō)明日志文件格式 ? 訪問(wèn)時(shí)間： 20230101 00:00:06 ? 所訪問(wèn)的服務(wù)器實(shí)例編號(hào)： W3SVC77065997 ? 所訪問(wèn)的服務(wù)器 IP地址： ? 執(zhí)行的操作： HEAD /jxmtll/xiaozuxuexi/2023/5/ ? 訪問(wèn)的端口： 80 ? 客戶(hù)端 IP地址： ? 瀏覽器的類(lèi)型： Mozilla/+ ? 系統(tǒng)相關(guān)信息：patible。+MSIE+。+Windows+NT+。+SV1 ? 操作代碼狀態(tài)： 200（正常） ? Wondows狀態(tài)代碼： 64（指定的網(wǎng)絡(luò)名不再可用） IIS日志的作用 ? 通過(guò) IIS日志了解搜索引擎的到訪記錄 ? 用 ultraedit打開(kāi)后，按 CTRL+F鍵，輸入 Googlebot，按回車(chē)，在新窗口中顯示的頁(yè)面就是 google機(jī)器人的到訪問(wèn)記錄，選中其中之一雙擊，可以看到訪問(wèn)的時(shí)間和頁(yè)面。 ? 繼續(xù)查找 Baiduspider可以看到 baidu蜘蛛的爬行記錄。其他搜索引擎通過(guò)查找如 Yahoo、 Sogou、 msnbot、 YodaoBot… IIS日志的作用 ? 通過(guò) IIS日志查找網(wǎng)站是否存在死鏈接 ? 下面是 搜索 404時(shí)我的網(wǎng)站 IIS日志中出現(xiàn)的幾條記錄： ? 20230120 03:55:28 W3SVC77065997 GET /bbs/data/ 80 IURL:/ 404 0 2 ? 20230120 03:55:28 W3SVC77065997 GET /bbs/data/ 80 IURL:/ 404 0 2 ? 20230120 04:39:58 W3SVC77065997 GET /admin/bbs/data/ 80 IURL:/ 404 0 3 ? 20230120 04:39:58 W3SVC77065997 GET /admin/bbs/data/ 80 IURL:/ 404 0 3 ? 20230120 11:55:01 W3SVC77065997 GET /leadBBS/DATA/ 80 IURL:/ 404 0 3 ? 20230120 11:55:01 W3SVC77065997 GET /leadBBS/DATA/ 80 IURL:/ 404 0 3 ? 這是有人在用一些掃描工具對(duì)網(wǎng)站進(jìn)行數(shù)據(jù)庫(kù)查找，看看能不能猜到網(wǎng)站的數(shù)據(jù)庫(kù)位置和名稱(chēng)，以便下載看到更具體的信息。 IIS日志的作用 ? 通過(guò) IIS日志查找網(wǎng)站是否存在程序錯(cuò)誤 ? 輸入 500進(jìn)行查找，如果查找到相關(guān)頁(yè)面，說(shuō)明網(wǎng)站 的程序在運(yùn)行過(guò)程中出現(xiàn)了錯(cuò)誤，需要對(duì)程序進(jìn)行修改。 ? 通過(guò) IIS日志查找網(wǎng)站是否被入侵過(guò) ? 通過(guò) IIS日志可以判斷網(wǎng)站是否曾被通過(guò) SQL注入過(guò)，是怎樣被入侵的。在網(wǎng)站 IIS日志我們搜索一下 %20和 ’單引號(hào)（半角的），看看是否有相關(guān)的頁(yè)面存在，當(dāng)然不是所有包括 %20和 ’的頁(yè)面都是被注入頁(yè)面，但一般的 SQL注入都是通過(guò) %20（空格的ＡＳＣ碼的 16進(jìn)制值是 20）和單引號(hào)進(jìn)行的。此方法可以判斷出程序上的漏洞，這樣我們可以修改程序防止 SQL注入。 入侵分析 ? 數(shù)據(jù)庫(kù)下載 ? 由于數(shù)據(jù)庫(kù)是一個(gè)網(wǎng)站的核心，如果一個(gè)人都?jí)蛘莆者@個(gè)網(wǎng)站的數(shù)據(jù)庫(kù)，那么就相當(dāng)于對(duì)這個(gè)網(wǎng)站了如指掌，就相當(dāng)于是網(wǎng)站的管理員，網(wǎng)絡(luò)安全性中最常見(jiàn)的一個(gè)問(wèn)題就是有人會(huì)下載你的數(shù)據(jù)庫(kù)。下面是用戶(hù)下載數(shù)據(jù)庫(kù)的記錄： ? 20230125 08:46:24 W3SVC77065997 GET / 80 IURL:/ 404 0 2 ? 由上可以看到在 2023年 1月 25日時(shí)， IP為 （甘肅省慶陽(yáng)市 電信）的用戶(hù)試圖下載 ，不過(guò)值得慶幸的是狀態(tài)值為： 404 0 2 ， 404即沒(méi)有找到指定頁(yè)面， 2為系統(tǒng)找不到指定文件，也就是說(shuō)，或者網(wǎng)站的數(shù)據(jù)庫(kù)名稱(chēng)不對(duì)， PowerEasy2023，或者它不在根目錄下，有可能是別的目錄下的 PowerEasy2023。 SQL注入攻擊 ? 20230816 12:37:59 W3SVC90000293 GET
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1