首先客戶的網(wǎng)站以及服務(wù)器系統(tǒng)都有開啟日志訪問功能，網(wǎng)站的話有IIS，NGINX，APACHE的訪問日志記錄功能，通過對日志文件進(jìn)行全面的人工安全分析審計(jì)，來溯源網(wǎng)站被攻擊的根源以及攻擊者的IP，我們晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司安全技術(shù)在日常對幾百兆可能上G大小的日志進(jìn)行分析查看的時(shí)候，也是很難受，那么多的日志記錄在搜索特定的特征詞的時(shí)候，日志就卡了，卡頓起碼要幾分鐘，很耽誤事，經(jīng)過十幾年的日志審計(jì)積累下來的經(jīng)驗(yàn)，我們總結(jié)了一套自己的日志分析方法與腳本。

首先對日志的關(guān)鍵詞搜索功能進(jìn)行總結(jié)，使用關(guān)鍵詞搜索日志起到的作用是可以快速的查找到網(wǎng)站攻擊者的痕跡，比如訪問的網(wǎng)站木馬文件地址webshell地址，網(wǎng)站訪問時(shí)間，瀏覽器特征，IP，等等都可以快速的查找出來。日志分析使用的方法是將日志文件拖到日志分析工具中/LOG文件夾，運(yùn)行日志.py文件，然后打開，默認(rèn)搜索的關(guān)鍵詞可以正規(guī)則匹配，多可以屬于兩個(gè)特征詞。當(dāng)搜索出來的結(jié)果，可以導(dǎo)出到任意電腦的目錄下，名稱為safe.txt，比如你搜索相關(guān)的404頁面特征碼，如下圖：

比如搜索IP地址，也可以進(jìn)行檢索，將所有包含該IP記錄的日志都搜索出來，并導(dǎo)出到safe1.txt,名稱以此類推命名的，我們在實(shí)際的攻擊溯源分析的時(shí)候首先會去搜索網(wǎng)站被攻擊被篡改的文件時(shí)間，通過文件修改時(shí)間，我們來追查這個(gè)時(shí)間段的所有網(wǎng)站訪問日志，以及服務(wù)器的日志，包括可能服務(wù)器被黑留下系統(tǒng)驅(qū)動木馬，遠(yuǎn)程對服務(wù)器進(jìn)行篡改文件與代碼，然后查找到可疑的訪問記錄下來，并對日志里的IP進(jìn)行關(guān)鍵詞搜索，將該IP對網(wǎng)站的所有訪問都檢索下來保存到電腦里，再對這個(gè)日志進(jìn)行分析，就能找出問題所在，我們晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司安全技術(shù)還會對其他特征關(guān)鍵詞進(jìn)行查找攻擊溯源，對上傳的webshell文件名稱，以及攻擊者的瀏覽器特征都會進(jìn)行搜索，包括有些網(wǎng)站基本都是GET訪問，對POST的訪問記錄進(jìn)行搜索作為特征關(guān)鍵詞。

通過我們晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司安全技術(shù)上面分析的這些日志方法，溯源找到攻擊者的IP，以及到底網(wǎng)站是如何被攻擊，服務(wù)器被黑的根源問題都可以通過日志的方式分析出來，細(xì)節(jié)的漏洞，就得需要做滲透測試服務(wù)，對網(wǎng)站以及服務(wù)器目前存在的漏洞進(jìn)行檢測，包括邏輯漏洞，越權(quán)漏洞，文件上傳漏洞，SQL注入，XSS跨站，遠(yuǎn)程代碼執(zhí)行，文件包含漏洞，如果您對網(wǎng)站以及服務(wù)器不是太了解，可以找晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司來幫您解決，保障網(wǎng)站服務(wù)器的安全穩(wěn)定運(yùn)行，也是我們發(fā)展業(yè)務(wù)的基礎(chǔ)，只有網(wǎng)站安全了，客戶才會用的放心。

晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司提供安全的網(wǎng)站服務(wù)環(huán)境，為企業(yè)提供網(wǎng)站建設(shè)與制作開發(fā)，小程序制作與開發(fā)，網(wǎng)站運(yùn)營，網(wǎng)站安全防護(hù)，APP制作與開發(fā)，淘寶運(yùn)營等服務(wù)有任何的網(wǎng)站問題都可以找晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司。