文章详细介绍了如何通过分析Nginx的访问日志和错误日志来追踪和还原网站被攻击的过程。在案例中，通过日志确定了入侵时间，识别出目录扫描、ThinkPHP远程代码执行等攻击行为，并揭示了网站的安全漏洞，为后续的漏洞修复提供了依据。
在应急响应过程中，对日志进行分析既能还原攻击场景，又能发现网站可能存在的安全威胁。Nginx提供了一个非常灵活的日志记录功能，可以使每个模块的配置拥有独立日志进行记录。
Nginx日志是由Nginx中间件产生的，有如下两种类型：
1、访问日志（Access.log）
记录每一次HTTP请求的访问状态。
2、错误日志（Error.log）
记录Nginx处理HTTP请求的错误状态以及Nginx本身服务的运行错误状态。
1、Nginx日志配置
Nginx日志可以记录的内容包括：访问者IP 、访问时间、请求方式、请求地址、协议版本、请求状态、请求页面大小、用户浏览器信息、代理地址等。
如果需要自定义访问日志的输出内容，可以在Nginx.conf文件中修改Log_format参数实现，如下图：
Log_format参数的常⽤变量，如下表：
2、分析思路
日志分析需要先确定入侵的时间，再以时间为线索排查这个期间内的可疑日志以还原整个入侵过程。
通过一个案例来说明，我们事先在测试环境中利用网站本身存在的漏洞植入后门。接下来，我们通过分析Ngnix日志来还原漏洞利用过程。
1、确定入侵时间
使用木马查杀工具发现系统在11:46、14:08、14:09三个时间点创建了三个可疑文件：
2、分析入侵期间产生的日志
提取Nginx日志进行排查，发现在11:05期间存在大量访问记录且状态码为403和404，判断可知该时间内，系统可能遭受了目录扫描攻击：
根据URL的访问特征，可以判断在11:17到11:21期间，网站可能遭受了Think PHP远程代码执行攻击：
在11:31期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件shell.php：
在11:36期间，攻击者最后一次访问shell.php可疑文件，在11:47期间第一次访问shell1.php文件，由此判断可能在11:36期间最后一次访问shell.php文件期间上传了shell1.php文件：
在14:08期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件title.php：
在14:09期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入了可疑文件foot.php：
通过对Nginx日志进行分析，可以掌握三个可疑文件植入的过程。在还原入侵场景的过程中，既找到了攻击者，又发现了网站存在的漏洞，便于后续对漏洞进行修复，进一步保障网站安全。
相关阅读
如需了解更多相关内容，持续关注安胜网络哦~
扫一扫
1443
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
