web服務(wù)器日志分析-預(yù)覽頁
【正文】 ： ErrorLog 錯(cuò)誤日志文件名 ? 格式 1 直接指定錯(cuò)誤日志文件名 ， 除非文件位置用 ” / “ 開頭 ， 否則 ErrorLog 所制定的文件位置是相對(duì)于 ServerRoot 目錄的相對(duì)路徑。格式為： ? 日期和時(shí)間 錯(cuò)誤等級(jí) 錯(cuò)誤消息 IIS日志 IIS日志簡介 ? IIS提供了一套相當(dāng)有效的安全管理機(jī)制，并且也提供了一套強(qiáng)大的日志文件系統(tǒng)，而 IIS日志文件一直都是網(wǎng)站管理人員查找 “病源 ”的有利工具 ,通過對(duì)日志文件的監(jiān)測 ,可以找出有疑問的痕跡 ,得到網(wǎng)站的訪問 ,操作記錄 ,以及系統(tǒng)的問題所在。 ? %systemroot%\system32\logfiles\w3svc1\，默認(rèn)每天一個(gè)日志。+Windows+NT+。+SV1 ? 操作代碼狀態(tài)： 200（正常） ? Wondows狀態(tài)代碼： 64（指定的網(wǎng)絡(luò)名不再可用） IIS日志的作用 ? 通過 IIS日志了解搜索引擎的到訪記錄 ? 用 ultraedit打開后，按 CTRL+F鍵，輸入 Googlebot，按回車，在新窗口中顯示的頁面就是 google機(jī)器人的到訪問記錄，選中其中之一雙擊，可以看到訪問的時(shí)間和頁面。 ? 通過 IIS日志查找網(wǎng)站是否被入侵過 ? 通過 IIS日志可以判斷網(wǎng)站是否曾被通過 SQL注入過，是怎樣被入侵的。下面是用戶下載數(shù)據(jù)庫的記錄： ? 20230125 08:46:24 W3SVC77065997 GET / 80 IURL:/ 404 0 2 ? 由上可以看到在 2023年 1月 25日時(shí)， IP為 （甘肅省慶陽市 電信）的用戶試圖下載 ，不過值得慶幸的是狀態(tài)值為： 404 0 2 ， 404即沒有找到指定頁面， 2為系統(tǒng)找不到指定文件，也就是說，或者網(wǎng)站的數(shù)據(jù)庫名稱不對(duì)， PowerEasy2023，或者它不在根目錄下，有可能是別的目錄下的 PowerEasy2023。+.NET+CLR+) 200 0 0 ? 20230816 12:38:00 W3SVC90000293 GET /admin/ id=51%20And%201=2 80 Mozilla/+(patible。+MSIE+。+Windows+98。+.NET+CLR+) 200 0 0 ? 20230816 12:38:09 W3SVC90000293 GET /admin/ id=51%20And%20(Select%20Count(1)%20from%20[hww])=0 80 Mozilla/+(patible。+MSIE+。尋找不同路徑下的。 200 0 0 ? 由上可以看出，用戶 （四川省成都市 電信）在 20230210 06:32:58成功上傳了一個(gè)文件 /lesson_manage/upload/40/文件夾下。+MSIE+ 200 0 0 ? 由上可看出，用戶請求 ，可能執(zhí)行的操作是 Action=MainMenu顯示主目錄 入侵分析 ? 20230210 06:36:25 W3SVC77065997 GET /lesson_manage/upload/40/ Action=Show1File 80 Mozilla/+patible。+MSIE+。 200 0 0 ? 由上可看出，用戶請求 ，可能執(zhí)行的操作是， Action=Show1File顯示某一個(gè)文件。 入侵分析 ? 20230210 06:40:58 W3SVC77065997 GET /lesson_manage/upload/40/ Action=getTerminalInfo 80 Mozilla/+patible。+MSIE+。 入侵分析 ? 20230210 06:58:04 W3SVC77065997 GET /lesson_manage/upload/40/ Action=CplgmM=4 80 Mozilla/+patible。+MSIE+。+Windows+NT+5.1。+.NET+CLR+) 200 0 0 ? 由上可看出，用戶的 市 電信的，所以可能用戶換了臺(tái)機(jī)器，繼續(xù)操作。+Windows+NT+5.1。+.NET+CLR+) 200 0 0 ? 由上可看出，用戶請求 ，可能執(zhí)行的操作是 Action=Cmd1Shell與命令相關(guān)的操作，遠(yuǎn)程執(zhí)行相關(guān)的命令。+SV1。 入侵分析 ? 20230210 07:19:34 W3SVC77065997 GET /lesson_manage/upload/40/ Action=adduser 80 Mozilla/+patible。+iCafeMedia。+MSIE+。+Sicent。+Windows+NT+5.1。+.NET+CLR+) 200 0 0 ? 由上可看出，用戶請求 ，可能執(zhí)行的操作是 Action=DbManager與數(shù)據(jù)庫相關(guān)的管理。+SV1。 入侵分析 ? 20230210 07:30:42 W3SVC77065997 POST /lesson_manage/upload/40/ Action=kmumaact=scan 80 Mozilla/+patible。+iCafeMedia。+MSIE+。+Sicent。+Windows+NT+5.1。+.NET+CLR+) 200 0 0 ? 由上可看出，用戶請求 ，可能執(zhí)行的操作是 Action=sqlabc與 SQL語句相關(guān)的操作。+SV1。 入侵分析 ? 20230210 09:55:01 W3SVC77065997 GET /lesson_manage/upload/40/ Action=suftp 80 Mozilla/+patible。+iCafeMedia。 ? （ 1） .exe：查找到后，看操作是 post還是 get，如果是 post就要注意了，可能有問題。 ? （ 4） .mdb：看有沒有用戶想下載 MDB數(shù)據(jù)庫，前面也說過，這是一個(gè)網(wǎng)站的心臟。 ? 當(dāng)發(fā)現(xiàn)幾次可疑操作都是同一 IP時(shí)，查找這一 IP用戶，他極有可能所做的所有操作都是與破壞網(wǎng)絡(luò)安全有關(guān)的，就有可能找到蛛絲馬跡 通過日志發(fā)現(xiàn)攻擊 ? 攻擊者使用 CGI漏洞掃描器對(duì)潛在的 CGI漏洞腳本進(jìn)行掃描時(shí)， HTTP 404 Not Found errors的記錄會(huì)大量增長，一次完整的掃描一般可以產(chǎn)生 500個(gè)以上的連續(xù)404錯(cuò)誤。 , February 25, 2023 雨中黃葉樹，燈下白頭人。 :03:1011:03:10February 25, 2023 1他鄉(xiāng)生白發(fā)，舊國見青山。 2023年 2月 25日星期六 11時(shí) 3分 10秒 11:03:1025 February 2023 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 :03:1011:03Feb2325Feb23 1世間成事，不求其絕對(duì)圓滿，留一份不足，可得無限完美。 。 , February 25, 2023 閱讀一切好書如同和過去最杰出的人談話。勝人者有力，自勝者強(qiáng)。 2023年 2月 25日星期六 11時(shí) 3分 10秒 11:03:1025 February 2023 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1