ECSC课堂 | 一文详解 Nginx 日志分析
off999 2025-01-10 16:05 16 浏览 0 评论
在应急响应过程中，对日志进行分析既能还原攻击场景，又能发现网站可能存在的安全威胁。Nginx提供了一个非常灵活的日志记录功能，可以使每个模块的配置拥有独立日志进行记录。
Nginx日志是由Nginx中间件产生的，有如下两种类型：
1、访问日志（Access.log）
记录每一次HTTP请求的访问状态。
2、错误日志（Error.log）
记录Nginx处理HTTP请求的错误状态以及Nginx本身服务的运行错误状态。
1
Nginx日志配置
Nginx日志可以记录的内容包括：访问者IP 、访问时间、请求方式、请求地址、协议版本、请求状态、请求页面大小、用户浏览器信息、代理地址等。
如果需要自定义访问日志的输出内容，可以在Nginx.conf文件中修改Log_format参数实现，如下图：
Log_format参数的常?变量，如下表：
2
分析思路
日志分析需要先确定入侵的时间，再以时间为线索排查这个期间内的可疑日志以还原整个入侵过程。
通过一个案例来说明，我们事先在测试环境中利用网站本身存在的漏洞植入后门。接下来，我们通过分析Ngnix日志来还原漏洞利用过程。
1、确定入侵时间
使用木马查杀工具发现系统在11:46、14:08、14:09三个时间点创建了三个可疑文件：
2、分析入侵期间产生的日志
提取Nginx日志进行排查，发现在11:05期间存在大量访问记录且状态码为403和404，判断可知该时间内，系统可能遭受了目录扫描攻击：
根据URL的访问特征，可以判断在11:17到11:21期间，网站可能遭受了Think PHP远程代码执行攻击：
在11:31期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件shell.php：
在11:36期间，攻击者最后一次访问shell.php可疑文件，在11:47期间第一次访问shell1.php文件，由此判断可能在11:36期间最后一次访问shell.php文件期间上传了shell1.php文件：
在14:08期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件title.php：
在14:09期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入了可疑文件foot.php：
通过对Nginx日志进行分析，可以掌握三个可疑文件植入的过程。在还原入侵场景的过程中，既找到了攻击者，又发现了网站存在的漏洞，便于后续对漏洞进行修复，进一步保障网站安全。
如需了解更加全面的日志分析方法以及更多的网络安全技术，敬请关注美亚柏科企业网络安全能力培训（ECSC）课程。
相关推荐
- 让 Python 代码飙升330倍:从入门到精通的四种性能优化实践
-
花下猫语：性能优化是每个程序员的必修课，但你是否想过，除了更换算法，还有哪些“大招”？这篇文章堪称典范，它将一个普通的函数，通过四套组合拳，硬生生把性能提升了330倍！作者不仅展示了“术”，更传授...
- 7 段不到 50 行的 Python 脚本，解决 7 个真实麻烦:代码、场景与可复制
-
“本文整理自开发者AbdurRahman在Stackademic的真实记录，所有代码均经过最小化删减，确保在50行内即可运行。每段脚本都对应一个日常场景，拿来即用，无需额外依赖。一、在朋...
- Python3.14:终于摆脱了GIL的限制
-
前言Python中最遭人诟病的设计之一就是GIL。GIL（全局解释器锁）是CPython的一个互斥锁，确保任何时刻只有一个线程可以执行Python字节码，这样可以避免多个线程同时操作内部数据结...
- Python Web开发实战:3小时从零搭建个人博客
-
一、为什么选Python做Web开发？Python在Web领域的优势很突出：o开发快：Django、Flask这些框架把常用功能都封装好了，不用重复写代码，能快速把想法变成能用的产品o需求多：行业...
- 图解Python编程:从入门到精通系列教程(附全套速查表)
-
引言本系列教程展开讲解Python编程语言，Python是一门开源免费、通用型的脚本编程语言，它上手简单，功能强大，它也是互联网最热门的编程语言之一。Python生态丰富，库（模块）极其丰富，这使...
- Python 并发编程实战:从基础到实战应用
-
并发编程是提升Python程序效率的关键技能，尤其在处理多任务场景时作用显著。本文将系统介绍Python中主流的并发实现方式，帮助你根据场景选择最优方案。一、多线程编程（threading）核...
- 吴恩达亲自授课，适合初学者的Python编程课程上线
-
吴恩达教授开新课了，还是亲自授课！今天，人工智能著名学者、斯坦福大学教授吴恩达在社交平台X上发帖介绍了一门新课程——AIPythonforBeginners，旨在从头开始讲授Python...
- Python GUI 编程:tkinter 初学者入门指南——Ttk 小部件
-
在本文中，将介绍Tkinter.ttk主题小部件，是常规Tkinter小部件的升级版本。Tkinter有两种小部件：经典小部件、主题小部件。Tkinter于1991年推出了经典小部件，...
- Python turtle模块编程实践教程
-
一、模块概述与核心概念1.1turtle模块简介定义：turtle是Python标准库中的2D绘图模块，基于Logo语言的海龟绘图理念实现。核心原理：坐标系系统：原点(0,0)位于画布中心X轴：向右...
- Python 中的asyncio 编程入门示例-1
-
Python的asyncio库是用于编写并发代码的，它使用async/await语法。它为编写异步程序提供了基础，通过非阻塞调用高效处理I/O密集型操作，适用于涉及网络连接、文件I/O...
- 30天学会Python，开启编程新世界
-
在当今这个数字化无处不在的时代，Python凭借其精炼的语法架构、卓越的性能以及多元化的应用领域，稳坐编程语言排行榜的前列。无论是投身于数据分析、人工智能的探索，还是Web开发的构建，亦或是自动化办公...
- Python基础知识(IO编程)
-
1.文件读写读写文件是Python语言最常见的IO操作。通过数据盘读写文件的功能都是由操作系统提供的，读写文件就是请求操作系统打开一个文件对象（通常称为文件描述符），然后，通过操作系统提供的接口从这个...
- Python零基础到精通，这8个入门技巧让你少走弯路，7天速通编程!
-
Python学习就像玩积木，从最基础的块开始，一步步搭建出复杂的作品。我记得刚开始学Python时也是一头雾水，走了不少弯路。现在回头看，其实掌握几个核心概念，就能快速入门这门编程语言。来聊聊怎么用最...
- 一文带你了解Python Socket 编程
-
大家好，我是皮皮。前言Socket又称为套接字，它是所有网络通信的基础。网络通信其实就是进程间的通信，Socket主要是使用IP地址，协议，端口号来标识一个进程。端口号的范围为0~65535(用户端口...
- Python-面向对象编程入门
-
面向对象编程是一种非常流行的编程范式（programmingparadigm），所谓编程范式就是程序设计的方法论，简单的说就是程序员对程序的认知和理解以及他们编写代码的方式。类和对象面向对象编程：把...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- python计时 (73)
- python安装路径 (56)
- python类型转换 (93)
- python进度条 (67)
- python吧 (67)
- python的for循环 (65)
- python格式化字符串 (61)
- python静态方法 (57)
- python列表切片 (59)
- python面向对象编程 (60)
- python 代码加密 (65)
- python串口编程 (77)
- python封装 (57)
- python写入txt (66)
- python读取文件夹下所有文件 (59)
- python操作mysql数据库 (66)
- python获取列表的长度 (64)
- python接口 (63)
- python调用函数 (57)
- python多态 (60)
- python匿名函数 (59)
- python打印九九乘法表 (65)
- python赋值 (62)
- python异常 (69)
- python元祖 (57)