web服务器记录中查找黑客踪迹的方法与技巧

00　　12:07:56 10.22.1.81 GET /scripts/samples/details.idc 200　　12:07:56 10.22.1.81 HEAD /scripts/samples/ctguestb.idc 200　　12:07:56 10.22.1.81 GET /scripts/samples/ctguestb.idc 200　　12:07:56 10.22.1.81 HEAD /scripts/tools/newdsn.exe 404　　12:07:56 10.22.1.81 HEAD /msadc/msadcs.dll 200　　12:07:56 10.22.1.81 GET /scripts/iisadmin/bdir.htr 200　　12:07:56 10.22.1.81 HEAD /carbo.dll 404　　12:07:56 10.22.1.81 HEAD /scripts/proxy/ 403　　12:07:56 10.22.1.81 HEAD /scripts/proxy/w3proxy.dll 500　　12:07:56 10.22.1.81 GET /scripts/proxy/w3proxy.dll 500

　　Apache

　　10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266　　10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289　　10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273

　　10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277

　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0

　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0　　10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404

　　检查这种攻击的关键是看同一IP地址对cgi目录（IIS是scripts，Apache是cgi-bin）文件请求出现多个404状态。这时就要检查相应cgi目录里的程序安全性。

　　5、远程攻击

　　下面我们以针对IIS的MDAC攻击为例，来了解远程攻击在log里的记录情况。MDAC漏洞使得攻击者可以在Web服务器端执行任何命令。

　　17:48:49 10.22.1.80 GET /msadc/msadcs.dll 200　　17:48:51 10.22.1.80 POST /msadc/msadcs.dll 200

　　当攻击发生后，在log会留下对msadcs.dll请求的记录。

　　另一个有名的攻击是asp源代码泄漏的漏洞，当这种攻击发生时，log文件会有如下记录：

　　17:50:13 10.22.1.81 GET /default.asp+.htr 200

　　对于未授权访问的攻击记录，Apache log会显示：

　　[08/Oct/2002:18:58:29 -0700] "GET /private/ HTTP/1.0" 401 462

　　6、总结

　　管理一个安全站点要求系统管理人员具备安全的常识和警惕性，从不同的渠道了解安全的知识不仅能对付已发生的攻击，还能对将会发生的攻击做到较好的防范。而通过Log文件来了解、防范攻击是很重要但又经常容易忽略的手段。

　　IDS（入侵检测系统）能帮助你很多，但不能完全代替安全管理。仔细检查Log，IDS所遗漏的东西，就可能在这里发现。