IIS&Apache 攻击记录分析篇

作为本文的作者，我将详细讲解“IIS & Apache 攻击记录分析篇”的完整攻略。首先，我们需要了解攻击记录是指服务器收到的恶意网络请求的记录，这些记录可以帮助管理员了解目标服务器遭受了哪些攻击，以及攻击者所采取的攻击手段。

收集攻击记录

收集攻击记录的方法有很多种，这里我们以 IIS 和 Apache 服务器为例给出具体的步骤：

• IIS 服务器：在“Internet Information Services (IIS) Manager” 中点击相应的网站，然后选中“Logging”选项，在“Log File Rollover”选项中设置日志保存的频率，最后保存设置。日志文件默认保存在网站目录下的“Logs”文件夹中。
• Apache 服务器：在配置文件中设置日志等级，并指定日志文件保存的位置。常见的日志等级有：EMERGENCY，ALERT，CRITICAL，ERROR，WARNING，NOTICE，INFO 和 DEBUG。

分析攻击记录

1.使用工具分析攻击记录

常用的分析工具有 AWStats、Webalizer、Log Parser 和 Grep 等。这里我们以 AWStats 为例进行分析。

• 安装 AWStats。
• 打开 AWStats 界面，选择要分析的日志文件。
• AWStats 自动解析日志文件，并生成报表。

2.手动分析攻击记录

手动分析攻击记录需要对 HTTP 协议以及常见的攻击方式有一定的了解。

以 IIS 日志为例，以下是攻击记录分析的步骤：

• 打开 IIS 日志文件，选择要分析的日期。
• 查找状态码为 404 的记录，这代表着资源未找到。
• 在返回状态码为 404 的记录中，查找访问次数最多的 URI，这可能是攻击者想要访问的目标。
• 查找错误代码为 500 的记录，这代表着服务器遇到了内部错误。
• 排序错误代码为 500 的记录，分析出现频率最高的错误类型。
• 在错误类型的基础上，查找访问次数最多的 URI，这可能是导致内部错误的攻击方式。

示例 1：发现大量请求 URI 为 /admin/login.php 的记录，并且均返回状态码为 404。这表明有人正在尝试访问管理员登录界面，但是该页面不存在，很有可能是攻击者的目标。

示例 2：发现大量请求 URI 为 /scripts/..%c0%af../winnt/system32/cmd.exe 的记录，并且错误代码均为 500。这表明攻击者尝试通过包含特殊字符的 URI 访问服务器，产生了内部错误。