| 投毒形态 | URL 中 %0a/%0d 换行注入伪造日志行 |
|---|---|
| 检测点 | 异常转义、超长请求行、裸控制字符 |
| 影响 | 污染日志分析、误导审计，甚至打穿解析器 |
| 处置 | 先保存原始副本，再评估日志链完整性 |
查找可疑编码与超长请求
查找可疑编码与超长请求
grep -aE '%0[ad]|%27|%3Cscript' /var/log/nginx/access.log | head -n 20
awk 'length($0) > 2000 {print NR": "length($0)}' /var/log/nginx/access.log | head
tr -cd '\r' < /var/log/nginx/access.log | wc -c确认投毒后要用可信副本重做统计：被污染的日志行会破坏按行解析与时间线还原。