web服務(wù)器日志分析-文庫吧資料
2025-02-11 00:09本頁面
【正文】 +。 200 0 0 ? 由上可看出，用戶請(qǐng)求 ，可能執(zhí)行的操作是 Action=DbManager與管理數(shù)據(jù)相關(guān)的操作。 入侵分析 ? 20230210 06:38:57 W3SVC77065997 GET /lesson_manage/upload/40/ Action=DbManager 80 Mozilla/+patible。+MSIE+。 200 0 0 ? 由上可看出，用戶請(qǐng)求 ，可能執(zhí)行的操作是 Action=MainMenu顯示主目錄。 入侵分析 ? 20230210 06:36:25 W3SVC77065997 GET /lesson_manage/upload/40/ Action=MainMenu 80 Mozilla/+patible。+MSIE+。 入侵分析 ? 20230210 06:36:25 W3SVC77065997 GET /lesson_manage/upload/40/ Action=MainMenu 80 Mozilla/+ patible。 入侵分析 ? 20230210 06:36:24 W3SVC77065997 GET /lesson_manage/upload/40/ 80 Mozilla/+ patible。+MSIE+。 ? 他們的操作就是不停的查找不同目錄下的網(wǎng)站開發(fā)人員有可能存放的帶數(shù)據(jù)庫的同一文件或是同一目錄下的不同的網(wǎng)站開發(fā)人員有可能存放的帶數(shù)據(jù)庫的文件。 入侵分析 ? 同是在 20230125 13:02:51這一秒時(shí)，用戶 就對(duì)本服務(wù)器進(jìn)行了 15次掃描。 入侵分析 ? 掃描網(wǎng)站數(shù)據(jù)庫 ? 一般的數(shù)據(jù)庫下載是用戶根據(jù)程序員的編程習(xí)慣，行業(yè)里的命名規(guī)范進(jìn)行猜測，并嘗試，看是否可以獲得網(wǎng)站的數(shù)據(jù)庫， ? （ 1） 20230125 13:02:51 W3SVC77065997 GET /admin/ 80 404 0 64 ? （ 2） 20230125 13:02:51 W3SVC77065997 GET /men/ 80 404 0 64 ? （ 3） 20230125 13:02:51 W3SVC77065997 GET /ad/ 80 404 0 64 ? （ 4） 20230125 13:02:51 W3SVC77065997 GET /image/ 80 404 0 64 ? （ 5） 20230125 13:02:51 W3SVC77065997 GET /upload/ 80 404 0 64 ? 。+Windows+NT+。+.NET+CLR+) 200 0 0 分析結(jié)果 ? 根據(jù)日志中提供的信息 , 很明顯可以看出來入侵者 ()在 2023年08月 16日 , 通過 80端口以 GET方式在網(wǎng)站 admin文件夾下的 Sql語句 , 猜解網(wǎng)站表段及字段 ,得到網(wǎng)站的管理員賬號(hào)密碼后獲得該網(wǎng)站權(quán)限實(shí)行掛馬的 . 同時(shí)我們也可以得知 , Sql注入漏洞 ,這樣我們通過添加防注入程序 ,即可有效的解決該問題 . 入侵分析 ? 20230122 22:09:30 W3SVC77065997 GET /ewebeditor/db/ 80 Mozilla/+(patible。+MSIE+。+Windows+98。+.NET+CLR+) 200 0 0 ? 20230816 12:38:05 W3SVC90000293 GET /admin/ id=51%20And%20(Select%20Count(1)%20from%20[admin])=0 80 Mozilla/+(patible。+MSIE+。+Windows+98。+.NET+CLR+) 200 0 0 ? 20230816 12:38:00 W3SVC90000293 GET /admin/ id=51%20And%20(Select%20Count(name)%20from%20[master]..[sysobjects])0 80 Mozilla/+(patible。+MSIE+。+Windows+98。 SQL注入攻擊 ? 20230816 12:37:59 W3SVC90000293 GET /admin/ id=51%20And%201=1 80 Mozilla/+(patible。 入侵分析 ? 數(shù)據(jù)庫下載 ? 由于數(shù)據(jù)庫是一個(gè)網(wǎng)站的核心，如果一個(gè)人都?jí)蛘莆者@個(gè)網(wǎng)站的數(shù)據(jù)庫，那么就相當(dāng)于對(duì)這個(gè)網(wǎng)站了如指掌，就相當(dāng)于是網(wǎng)站的管理員，網(wǎng)絡(luò)安全性中最常見的一個(gè)問題就是有人會(huì)下載你的數(shù)據(jù)庫。在網(wǎng)站 IIS日志我們搜索一下 %20和 ’單引號(hào)（半角的），看看是否有相關(guān)的頁面存在，當(dāng)然不是所有包括 %20和 ’的頁面都是被注入頁面，但一般的 SQL注入都是通過 %20（空格的ＡＳＣ碼的 16進(jìn)制值是 20）和單引號(hào)進(jìn)行的。 IIS日志的作用 ? 通過 IIS日志查找網(wǎng)站是否存在程序錯(cuò)誤 ? 輸入 500進(jìn)行查找，如果查找到相關(guān)頁面，說明網(wǎng)站 的程序在運(yùn)行過程中出現(xiàn)了錯(cuò)誤，需要對(duì)程序進(jìn)行修改。 ? 繼續(xù)查找 Baiduspider可以看到 baidu蜘蛛的爬行記錄。+Windows+NT+。+SV1) 200 0 64 舉例說明日志文件格式 ? 訪問時(shí)間： 20230101 00:00:06 ? 所訪問的服務(wù)器實(shí)例編號(hào)： W3SVC77065997 ? 所訪問的服務(wù)器 IP地址： ? 執(zhí)行的操作： HEAD /jxmtll/xiaozuxuexi/2023/5/ ? 訪問的端口： 80 ? 客戶端 IP地址： ? 瀏覽器的類型： Mozilla/+ ? 系統(tǒng)相關(guān)信息：patible。+MSIE+。 ? 不要使用默認(rèn)的目錄，更換一個(gè)記錄日志的路徑，如果不換日志的路徑，不對(duì)日志進(jìn)行保護(hù)，會(huì)很容易被入侵者找到并把日志中的痕跡毀掉，因此建議不要使用默認(rèn)目錄，設(shè)置日志文件的訪問友限，只允許管理員 SYSTEM為完全控制的權(quán)限。 IIS日志文件的存放 ? 通過你的網(wǎng)站 屬性 “網(wǎng)站 ”“啟用日志 ”是否勾選可以看到日志文件是否啟用。 ? IIS日志記錄了網(wǎng)站服務(wù)器接收，處理請(qǐng)求以及運(yùn)行錯(cuò)誤等各種原始信息。 ? 用于調(diào)整記于錯(cuò)誤日志中的信息的詳細(xì)程度 ? 從文件內(nèi)容可以看出，每一行記錄了一個(gè)錯(cuò)誤。 ? 格式 2 ： ErrorLog | 管道程序名 ? 格式 2 實(shí)現(xiàn)管道日志，它指定一個(gè)命令來處理錯(cuò)誤日志。 ? ErrorLog 命令指定了當(dāng)服務(wù)器遇到錯(cuò)誤時(shí)記錄錯(cuò)誤日志的文件名。 ? %U 請(qǐng)求的 URL 路徑，不包含查詢串 ? \%{UserAgent}i\ 此項(xiàng)是客戶瀏覽器提供的瀏覽器識(shí)別信息。 日志格式說明 ? %s 響應(yīng)請(qǐng)求的狀態(tài)代碼 ， ? 一般這項(xiàng)的值是 200 ， 表示服務(wù)器已經(jīng)成功地響應(yīng)瀏覽器的請(qǐng)求 ， 一切正常 ； ? 以 3 開頭的狀態(tài)代碼表示由于各種不同的原因用戶請(qǐng)求被重定向到了其他位置 ； ? 以 4 開頭
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1