使用grep分析web攻擊日志

0x00 前言

    當企業發生web應用發生網絡異常、可能存在web攻擊的時候，需要排查分析web伺服器和相關web日志，确認web應用是否被黑客攻擊了，攻擊類型有哪些類型、攻擊IP是多少、是否可能被植入webshell、甚至控制系統等一系列溯源分析。

    如果無法提取web日志到本地或者上傳到日志分析系統，隻能手工檢測。可以提供以下方法

0x01 檢測web是否存在攻擊日志

根據web攻擊特征，檢索分析日志是否包含攻擊特征，如果檢索結果裡面包含攻擊日志，證明web正在遭受攻擊。

• SQL注入檢攻擊檢測

grep -E -i "select|where|union|exec|declare|xp_cmdshell|char|@version|waitfor%20|limit%20|information_schema" /www/logs/access.2020-07-09.log |more