搜索

[918] 2019-06-24_Web日志安全分析技巧

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-06-24_Web日志安全分析技巧 W e b 日 志 安 全 分 析 技 巧 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 6 - 2 4 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 o x 0 1     W e b 日 志 W e b 访 问 日 志 记 录 了 W e b 服 务 器 接 收 处 理 请 求 及 运 行 时 错 误 等 各 种 原 始 信 息 。 通 过 对 W E B 日 志 进 行 的 安 全 分 析 ， 不 仅 可 以 帮 助 我 们 定 位 攻 击 者 ， 还 可 以 帮 助 我 们 还 原 攻 击 路 径 ， 找 到 网 站 存 在 的 安 全 漏 洞 并 进 行 修 复 。 我 们 来 看 一 条 A p a c h e 的 访 问 日 志 ： 通 过 这 条 W e b 访 问 日 志 ， 我 们 可 以 清 楚 的 得 知 用 户 在 什 么 I P 、 什 么 时 间 、 用 什 么 操 作 系 统 、 什 么 浏 览 器 的 情 况 下 访 问 了 你 网 站 的 哪 个 页 面 ， 是 否 访 问 成 功 。 本 文 通 过 介 绍 W e b 日 志 安 全 分 析 时 的 思 路 和 常 用 的 一 些 技 巧 。 0 x 0 2   日 志 分 析 技 巧 在 对 W E B 日 志 进 行 安 全 分 析 时 ， 一 般 可 以 按 照 两 种 思 路 展 开 ， 逐 步 深 入 ， 还 原 整 个 攻 击 过 程 。 第 一 种 ： 确 定 入 侵 的 时 间 范 围 ， 以 此 为 线 索 ， 查 找 这 个 时 间 范 围 内 可 疑 的 日 志 ， 进 一 步 排 查 ， 最 终 确 定 攻 击 者 ， 还 原 攻 击 过 程 。 第 二 种 ： 攻 击 者 在 入 侵 网 站 后 ， 通 常 会 留 下 后 门 维 持 权 限 ， 以 方 便 再 次 访 问 ， 我 们 可 以 找 到 该 文 件 ， 并 以 此 为 线 索 来 展 开 分 析 。 常 用 分 析 工 具 ： W i n d o w 下 ， 推 荐 用   E m E d i t o r   进 行 日 志 分 析 ， 支 持 大 文 本 ， 搜 索 效 率 还 不 错 。 L i n u x 下 ， 使 用 S h e l l 命 令 组 合 查 询 分 析 。 S h e l l + L i n u x 命 令 实 现 日 志 分 析 ， 一 般 结 合 g r e p 、 a w k 等 命 令 等 实 现 了 几 个 常 用 的 日 志 分 析 统 计 技 巧 。 A p a c h e 日 志 分 析 技 巧 ： 0 x 0 3   日 志 分 析 案 例 W e b 日 志 分 析 实 例 ： 通 过 n g i n x 代 理 转 发 到 内 网 某 服 务 器 ， 内 网 服 务 器 某 站 点 目 录 下 被 上 传 了 多 个 图 片 木 马 ， 虽 然 I I 7 下 不 能 解 析 ， 但 还 是 想 找 出 谁 通 过 什 么 路 径 上 传 的 。 在 这 里 ， 我 们 遇 到 了 一 个 问 题 ： 由 于 设 置 了 代 理 转 发 ， 只 记 录 了 代 理 服 务 器 的 i p ， 并 没 有 记 录 访 问 者 I P ？ 这 时 候 ， 如 何 去 识 别 不 同 的 访 问 者 和 攻 击 源 呢 ？ 这 是 管 理 员 日 志 配 置 不 当 的 问 题 ， 但 好 在 我 们 可 以 通 过 浏 览 器 指 纹 来 定 位 不 同 的 访 问 来 源 ， 还 原 攻 击 路 径 。 1 、 定 位 攻 击 源 首 先 访 问 图 片 木 马 的 记 录 ， 只 找 到 了 一 条 ， 由 于 所 有 访 问 日 志 只 记 录 了 代 理 I P ， 并 不 能 通 过 I P 来 还 原 攻 击 路 径 ， 这 时 候 ， 可 以 利 用 浏 览 器 指 纹 来 定 位 。 1 2 7 . 0 . 0 . 1   -   -   [ 1 1 / J u n / 2 0 1 8 : 1 2 : 4 7 : 2 2   + 0 8 0 0 ]   " G E T   / l o g i n . h t m l   H T T P / 1 . 1 "   2 0 0   7 8 6   " - "   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 6 . 0 . 3 3 5 9 . 1 3 9   S a f a r i / 5 3 7 . 3 6 " 1 、 列 出 当 天 访 问 次 数 最 多 的 I P 命 令 ： c u t   - d -   - f   1   l o g _ f i l e | u n i q   - c   |   s o r t   - r n   |   h e a d   - 2 0 2 、 查 看 当 天 有 多 少 个 I P 访 问 ： a w k   ' { p r i n t   $ 1 } '   l o g _ f i l e | s o r t | u n i q | w c   - l 3 、 查 看 某 一 个 页 面 被 访 问 的 次 数 ： g r e p   " / i n d e x . p h p "   l o g _ f i l e   |   w c   - l 4 、 查 看 每 一 个 I P 访 问 了 多 少 个 页 面 ： a w k   ' { + + S [ $ 1 ] }   E N D   { f o r   ( a   i n   S )   p r i n t   a , S [ a ] } '   l o g _ f i l e 5 、 将 每 个 I P 访 问 的 页 面 数 进 行 从 小 到 大 排 序 ： a w k   ' { + + S [ $ 1 ] }   E N D   { f o r   ( a   i n   S )   p r i n t   S [ a ] , a } '   l o g _ f i l e   |   s o r t   - n 6 、 查 看 某 一 个 I P 访 问 了 哪 些 页 面 ： g r e p   ^ 1 1 1 . 1 1 1 . 1 1 1 . 1 1 1   l o g _ f i l e |   a w k   ' { p r i n t   $ 1 , $ 7 } ' 7 、 去 掉 搜 索 引 擎 统 计 当 天 的 页 面 ： a w k   ' { p r i n t   $ 1 2 , $ 1 } '   l o g _ f i l e   |   g r e p   ^ " M o z i l l a   |   a w k   ' { p r i n t   $ 2 } '   | s o r t   |   u n i q   |   w c   - l 8 、 查 看 2 0 1 8 年 6 月 2 1 日 1 4 时 这 一 个 小 时 内 有 多 少 I P 访 问 : a w k   ' { p r i n t   $ 4 , $ 1 } '   l o g _ f i l e   |   g r e p   2 1 / J u n / 2 0 1 8 : 1 4   |   a w k   ' { p r i n t   $ 2 } ' |   s o r t   |   u n i q   |   w c   - l
浏 览 器 指 纹 ： 2 、 搜 索 相 关 日 志 记 录 通 过 筛 选 与 该 浏 览 器 指 纹 有 关 的 日 志 记 录 ， 可 以 清 晰 地 看 到 攻 击 者 的 攻 击 路 径 。 3 、 对 找 到 的 访 问 日 志 进 行 解 读 ， 攻 击 者 大 致 的 访 问 路 径 如 下 ： 打 开 网 站 ， 访 问 X z u s e r . a s p x ， 确 认 攻 击 者 通 过 该 页 面 的 进 行 文 件 上 传 了 图 片 木 马 ， 同 时 ， 发 现 网 站 了 存 在 越 权 访 问 漏 洞 ， 攻 击 者 访 问 特 定 U R L ， 无 需 登 录 即 可 进 入 后 台 界 面 。 通 过 日 志 分 析 找 到 网 站 的 漏 洞 位 置 并 进 行 修 复 。 0 x 0 4   日 志 统 计 分 析 技 巧     统 计 爬 虫 ： 统 计 浏 览 器 ： I P   统 计 ： 统 计 网 段 ： 统 计 域 名 ： H T T P   状 态 ： M o z i l l a / 4 . 0 + ( c o m p a t i b l e ; + M S I E + 7 . 0 ; + W i n d o w s + N T + 6 . 1 ; + W O W 6 4 ; + T r i d e n t / 7 . 0 ; + S L C C 2 ; + . N E T + C L R + 2 . 0 . 5 0 7 2 7 ; + . N E T + C L R + 3 . 5 . 3 0 7 2 9 ; + . N E T + C L R + 3 . 0 . 3 0 7 2 9 ; + . N E T 4 . 0 C ; + . N E T 4 . 0 E ) A 、 攻 击 者 访 问 首 页 和 登 录 页 B 、 攻 击 者 访 问 M s g S j l b . a s p x 和 M s g S e b d . a s p x C 、 攻 击 者 访 问 X z u s e r . a s p x D 、 攻 击 者 多 次 P O S T （ 怀 疑 通 过 这 个 页 面 上 传 模 块 缺 陷 ） E 、 攻 击 者 访 问 了 图 片 木 马 g r e p   - E   ' G o o g l e b o t | B a i d u s p i d e r '     / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   a w k   ' {   p r i n t   $ 1   } '   |   s o r t   |   u n i q c a t   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   g r e p   - v   - E   ' M S I E | F i r e f o x | C h r o m e | O p e r a | S a f a r i | G e c k o | M a x t h o n '   |   s o r t   |   u n i q   - c   |   s o r t   - r   - n   |   h e a d   - n   1 0 0 g r e p   ' 2 3 / M a y / 2 0 1 9 '   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   a w k   ' { p r i n t   $ 1 } '   |   a w k   - F ' . '   ' { p r i n t   $ 1 " . " $ 2 " . " $ 3 " . " $ 4 } '   |   s o r t   |   u n i q   - c   |   s o r t   - r   - n   |   h e a d   - n   1 0       2 2 0 6   2 1 9 . 1 3 6 . 1 3 4 . 1 3       1 4 9 7   1 8 2 . 3 4 . 1 5 . 2 4 8       1 4 3 1   2 1 1 . 1 4 0 . 1 4 3 . 1 0 0       1 4 3 1   1 1 9 . 1 4 5 . 1 4 9 . 1 0 6       1 4 2 7   6 1 . 1 8 3 . 1 5 . 1 7 9       1 4 2 7   2 1 8 . 6 . 8 . 1 8 9       1 4 2 2   1 2 4 . 2 3 2 . 1 5 0 . 1 7 1       1 4 2 1   1 0 6 . 1 8 7 . 4 7 . 2 2 4       1 4 2 0   6 1 . 1 6 0 . 2 2 0 . 2 5 2       1 4 1 8   1 1 4 . 8 0 . 2 0 1 . 1 8 c a t   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   a w k   ' { p r i n t   $ 1 } '   |   a w k   - F ' . '   ' { p r i n t   $ 1 " . " $ 2 " . " $ 3 " . 0 " } '   |   s o r t   |   u n i q   - c   |   s o r t   - r   - n   |   h e a d   - n   2 0 0     c a t     / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   | a w k   ' { p r i n t   $ 2 } ' | s o r t | u n i q   - c | s o r t   - r n | m o r e
U R L   统 计 ： 文 件 流 量 统 计 ： U R L 访 问 量 统 计 ： 脚 本 运 行 速 度 ： 查 出 运 行 速 度 最 慢 的 脚 本 I P ,   U R L   抽 取 ： 我 创 建 了 一 个 免 费 的 小 密 圈 ， 我 创 建 了 一 个 免 费 的 小 密 圈 ， 诚 邀 你 一 起 加 入 分 享 知 识 。 诚 邀 你 一 起 加 入 分 享 知 识 。 c a t     / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   | a w k   ' { p r i n t   $ 9 } ' | s o r t | u n i q   - c | s o r t   - r n | m o r e 5 0 5 6 5 8 5   3 0 4 1 1 2 5 5 7 9   2 0 0       7 6 0 2   4 0 0             5   3 0 1 c a t     / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   | a w k   ' { p r i n t   $ 7 } ' | s o r t | u n i q   - c | s o r t   - r n | m o r e c a t   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   | a w k   ' { s u m [ $ 7 ] + = $ 1 0 } E N D { f o r ( i   i n   s u m ) { p r i n t   s u m [ i ] , i } } ' | s o r t   - r n | m o r e g r e p   '   2 0 0   '   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   | a w k   ' { s u m [ $ 7 ] + = $ 1 0 } E N D { f o r ( i   i n   s u m ) { p r i n t   s u m [ i ] , i } } ' | s o r t   - r n | m o r e c a t   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   a w k   ' { p r i n t   $ 7 } '   |   e g r e p   ' ? | & '   |   s o r t   |   u n i q   - c   |   s o r t   - r n   |   m o r e g r e p   - v   0 $   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   a w k   - F   ' "   '   ' { p r i n t   $ 4 "   "   $ 1 } '   w e b . l o g   |   a w k   ' { p r i n t   $ 1 "   " $ 8 } '   |   s o r t   - n   - k   1   - r   |   u n i q   >   / t m p / s l o w _ u r l . t x t t a i l   - f   / w w w / l o g s / a c c e s s . 2 0 1 9 - 0 2 - 2 3 . l o g   |   g r e p   ' / t e s t . h t m l '   |   a w k   ' { p r i n t   $ 1 "   " $ 7 } '
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理