安全运维之日志追踪

前言

    日志在分析安全事件上很重要的一个参考依据，同样希望能够看到这篇文章的运维人员能重视起日志来。

0×01 搭建环境

    为了快速还原一个易被攻击以及攻击性的多样化的手机麻将外挂环境，这里我使用了DVWA这个测试平台。

0×02 开始测试攻击

A. 扫描

    这里我使用了御剑麻将外挂软件后台扫描工具：

B. 然后对扫描到的phpmyadmin进行暴力破解

C. 测试简单的暴力破解，这里使用的星力捕鱼程序刷分软件工具是Burp Suite：

    这里使用Burp Suite对密码进行了爆破。

D. 测试简单的sql注入

1' union select 1,group_concat(column_name) from infomation_schema.columns where table_name='users' #

0×03 分析access日志

    日志的存放路径在windows和Linux 上不太一样，Linux一般是/var/apache2/，windows根据安装的路径不同存放的路径也可能不一样，一般为../apache/logs/access.log，或者直接使用查找工具搜索access.log。

    使用系统自带的记事本打开access.log日志：

    这里拿出其中一条日志来进行详细分析：

192.168.80.1 - - [23/Nov/2018:20:15:47 +0800] "GET /dvwa/login.php HTTP/1.1" 200 1567 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:61.0) Gecko/20100101 Firefox/61.0"

    每条日志可以提供九项内容，直接可以看出客户端的IP，请求的时间，请求的URL，状态码，服务器发送的内容大小，以及客户端的详细信息。

附上一条完整的具体内容解释链接：https://blog.csdn.net/fengda2870/article/details/13082115。

    为了便于查看这些日志，这里我使用了两款分析工具，Apache Logs Viewer和360的星图。

    先使用Apache Logs Viewer分析一下。

A. 御剑后台扫描分析

    按照Status排序，可以看到有大量同IP的404请求。通过对这些请求的地址分析，可以判断出这是暴力破解目录留下的痕迹。

B. phpMyAdmin暴力破解分析：

    从图中可以看出大量的对phpMyAmin的破解请求，并在最后状态变为了200，可以分析出，攻击者对phpMyAdmin的暴力破解，并最后得到了用户名和密码。

C. 暴力破解登录

    可以从上图红框内的Reques内容可以看出在暴力破解admin的密码，当size由大量的4943变为了4985可以看出，攻击者也成功得到admin的密码。

D. SQL注入分析

    通过请求的信息，也可以看出攻击者使用了SQL注入，这条信息，也可以在日常运维，安全加固中，可以准确的找到网站的注入点，有利于运维人员的及时加固。

自动化分析工具：星图

    将星图的配置设置好，将日志导入，可以看到攻击的信息很直观的显示了出来，很遗憾的是星图好久不更新了。

    SQL注入的信息：

    两款工具的各有所长，对于星图来说，很多攻击内容给出的分析，更会迷惑分析者，建议使用星图宏观上查找问题IP，再利用Apache Logs Viewer此类工具，进行详细分析攻击者的手法，这样对我们的安全上的加固有很大的帮助。

    最重要的是，一定要认识日志的重要性，对日志的采集，备份工作也同样变得更加重要。毕竟有经验的攻击者都会清理自己的痕迹。

总结

    我是一个安全小菜鸟，每天游荡在各大安全论坛中，时间久了，心里对安全运维上的工作变得更加恐慌。我不应期待我维护的网站服务器不会遭受大佬们的调戏，而是如果大佬们调戏完，我该如何变得更加坚强。咳咳，感情戏太深了。。。不再戏精了，小菜鸟第一次在freebuf发文章，请各位大佬多多指点。

转载自：https://blog.csdn.net/weixin_43804472/article/details/84645778?utm_medium=distribute.pc_relevant.none-task-blog-baidulandingword-4&spm=1001.2101.3001.4242