Part1前言

Part2技术研究过程

Part3总结

1. jsp、jspx型webshell文件被删除后，可以通过查找编译生成的class文件的方式去确定攻击时间。如果攻击者将webshell时间属性改掉，也可以通过此方法获取真实的攻击时间。

2. 对于tomcat、weblogic中间件，除非攻击者删除编译生成的文件，否则重启后这些文件也会一直留存在Web服务器中，成为溯源攻击者的一个重要证据。

3. 即使攻击者非常细心，把这些class文件全部删干净了，那么借助一些取证工具或者专业设备，还是可以溯源出来的，这个将来会专门写一篇文章讲解。

网络安全abc123

专注于红队、蓝队技术分享，每周一篇

后续会继续分享蓝队应急溯源技巧，同时也会分享关于weblogic日志分析的案例，欢迎大家交流分享，并提出宝贵意见！