| 日志侧 | POST 请求时间与状态码 |
|---|---|
| 文件侧 | 上传目录内文件的 mtime/ctime |
两侧对照
两侧对照
grep -E 'POST .*\.(php|jsp)' /var/log/nginx/access.log | tail -5
find /var/www/html -newermt '2026-01-02 03:00' ! -newermt '2026-01-02 06:00' -type f | head -20find 的时间窗与日志时间窗对齐后，命中文件与请求逐一对应即可闭环。
Web 日志与文件时间交叉验证
上传类攻击在 Web 日志留下请求时间、在文件系统留下创建与修改时间，两组时间对齐可确认上传落盘与访问链条。
易错点
- 时区不一致时先把两侧换算到同一基准
- -newermt 使用本地时间，注意与日志时区一致
数据来源与参考
- nginx 日志文档
- GNU find 手册（-newermt）