| 用途 | 从访问日志筛出攻击候选 |
|---|---|
| 模式 | 高频 4xx + 异常路径 + 异常 UA |
检索
检索
awk '{print $9}' access.log | sort | uniq -c | sort -rn | head
grep -Ei '(\.\./|%2e%2e|/etc/passwd|/actuator)' access.log | head -30扫描器 UA 与路径特征更新快，确证以具体利用与后果为准。
访问日志攻击特征判读
扫描与利用在访问日志有形态：4xx 密集、异常路径（历史组件路径/穿越序列）、异常 UA、参数含拼接符号——先模式后个案。
易错点
- 业务异常也会产生 4xx/5xx 密集，先排除发布与配置变更
- URL 解码后再匹配特征，直接匹配原文会漏编码变体
数据来源与参考
- OWASP 日志分析指南