搜索

[18770] 2018-10-09_Linux应急响应（Web服务）

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-10-09_Linux应急响应（Web服务） L i n u x 应 急 响 应 （ W e b 服 务 ） 原 创   c r h u a   h u a s e c   2 0 1 8 - 1 0 - 0 9 0 x 0 1   前 言 前 言 在 L i n u x 下 ， 应 急 响 应 的 主 要 查 看 点 ： （ 1 ） 看 表 现 （ 宕 机 、 高 C P U 、 高 内 存 、 高 I O 、 高 通 信 ) （ 2 ） 看 连 接 （ 3 ） 看 进 程 （ 4 ） 看 日 志 （ 5 ） 看 文 件 0 x 0 2   W e b 服 务 服 务                 一 般 如 果 服 务 器 做 了 边 缘 控 制 ， 对 外 只 开 放 8 0 端 口 ， 那 么 在 应 急 时 需 要 做 以 下 几 点 ： 1   查 找 查 找 w e b s h e l l 1 ) 检 查 2 4 小 时 内 创 建 的 p h p 、 j s p   脚 本 文 件 和 上 传 目 录   f i n d   . /   - m t i m e   0   - n a m e   " * . p h p " 2 ） 河 马 w e b s h e l l   扫 描 下 载 链 接 ： h t t p : / / w w w . s h e l l p u b . c o m / 2     看 日 志 看 日 志 a c c e s s _ l o g   日 志 格 式 4 7 . 9 7 . 2 3 . 1 9 9   -   -   [ 0 9 / O c t / 2 0 1 8 : 0 6 : 2 8 : 3 7   + 0 8 0 0 ]   " G E T   /   H T T P / 1 . 0 "   2 0 0   2 8 9   " - "   " - "   4 7 . 9 7 . 2 3 . 1 0 9   :   客 户 端 即 用 户 I P 地 址   。 -     :   这 一 项 是 空 白 ， 使 用 " - " 代 替 ， 用 于 记 录 浏 览 者 的 标 识 ， 对 于 大 多 数 浏 览 器 ， 这 项 为 空   。 -     ： 这 一 项 是 空 白 ， 记 录 浏 览 者 进 行 身 份 认 证 时 提 供 的 名 字 ， 大 多 数 这 项 也 为 空 。 [ 0 9 / O c t / 2 0 1 8 : 0 6 : 2 8 : 3 7   + 0 8 0 0 ]   ： 记 录 请 求 的 时 间 ， 格 式 为 [ d a y / m o n t h / y e a r : h o u r : m i n u t e : s e c o n d   z o n e ] , z o n e 是 时 区 。 " G E T   /   H T T P / 1 . 0 "   ： 这 一 项 记 录 了 用 户 请 求 方 式 ， 请 求 资 源 路 径 ， 使 用 的 协 议 ， 一 般 读 日 志 这 一 项 最 有 用 。 2 0 0   ：   这 是 一 个 状 态 码 ， 由 服 务 端 发 送 给 客 户 端 的 响 应 码 。 2 8 9   ：   这 一 项 表 示 服 务 器 向 客 户 端 发 送 了 多 少 个 字 节 （ 单 位 ： b y t e ） ， 在 做 日 志 统 计 时 候 ， 把 这 些 字 节 加 起 来 ， 就 知 道 某 个 时 间 点 内 总 的 发 送 数 据 量 是 多 少 。 -   ： 来 源 页 面 ， 即 r e f e r e r 。 -   :   用 户 浏 览 器 信 息 ， 即 U s e r - A g e n t 。 对 于 一 条 日 志 我 们 主 要 关 注 以 下 几 点 ： 1 ） 扫 描 特 征 ， 即 U A 通 常 入 侵 行 为 会 伴 随 踩 点 和 扫 描 行 为 ， 那 么 可 以 检 查 扫 描 行 为 日 志     / v a r / l o g / a p a c h e 2 / a c c e s s . l o g 栗 子 ： a w v s   扫 描 g r e p   " a c u n e t i x "     / v a t / l o g / a p a c h e 2 / a c c e s s . l o g 2 ) r e f e r e r   为   -   的   请 求 r e f e r e r 代 表 从 哪 个 页 面 跳 转 到 当 前 页 面 ， 如 果 为 空 ， 可 能 是 可 疑 请 求 。 3 ) C o n t e n t - L e n g t h 服 务 器 回 传 给 用 户 的 信 息 ， 字 节 太 大 可 能 是 可 疑 请 求 。 栗 子 ： 过 滤 C o n t e n t - L e n g t h 大 于 5 M   的 日 志 a w k   ' { $ i f   ( $ 1 0 > 5 0 0 0 0 0 0 ) { p r i n t   $ 0 } } '   / v a r / l o g / a p a c h e 2 / a c c e s s . l o g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理