網站被黑該如何檢查攻擊來源以及被篡改資料的痕跡?

很對客戶網站以及伺服器被攻擊，被黑後，留下了很多webshell檔案，也叫網站木馬檔案，客戶對自己網站的安全也是很擔憂，擔心網站後期會繼續被攻擊篡改，畢竟沒有專業的安全技術去負責網站的安全防護工作，通過老客戶的介紹很多客戶在遇到網站被攻擊後找到我們SINE安全做網站的安全服務，防止惡意攻擊與篡改。對網站進行全面的防禦與加固，我們在對客戶網站進行安全部署的同時，客戶經常會想要了解到底網站，以及伺服器是如何被入侵，攻擊者的IP是誰，那麼我們SINESAFE技術針對這種情況，最好的辦法就是通過日誌進行分析，溯源追蹤，幫助客戶找到網站漏洞根源，到底是誰在攻擊他們。下面我們來分享一下，我們是如何對日誌進行分析與追查的。

首先客戶的網站以及伺服器系統都有開啟日誌訪問功能，網站的話有IIS，NGINX，APACHE的訪問日誌記錄功能，通過對日誌檔案進行全面的人工安全分析審計，來溯源網站被攻擊的根源以及攻擊者的IP，我們SINE安全技術在日常對幾百兆可能上G大小的日誌進行分析檢視的時候，也是很難受，那麼多的日誌記錄在搜尋特定的特徵詞的時候，日誌就卡了，卡頓最起碼要幾分鐘，很耽誤事，經過十幾年的日誌審計積累下來的經驗，我們總結了一套自己的日誌分析方法與指令碼。

首先對日誌的關鍵詞搜尋功能進行總結，使用關鍵詞搜尋日誌起到的作用是可以快速的查詢到網站攻擊者的痕跡，比如訪問的網站木馬檔案地址webshell地址，網站訪問時間，瀏覽器特徵，IP，等等都可以快速的查詢出來。日誌分析使用的方法是將日誌檔案拖到日誌分析工具中/LOG資料夾，執行日誌.py檔案，然後開啟，預設搜尋的關鍵詞可以正規則匹配，最多可以屬於兩個特徵詞。當搜尋出來的結果，可以匯出到任意電腦的目錄下，名稱為safe.txt，比如你搜尋相關的404頁面特徵碼，如下圖：

比如搜尋IP地址，也可以進行檢索，將所有包含該IP記錄的日誌都搜尋出來，並匯出到safe1.txt,名稱以此類推命名的，我們在實際的攻擊溯源分析的時候首先會去搜尋網站被攻擊被篡改的檔案時間，通過檔案修改時間，我們來追查這個時間段的所有網站訪問日誌，以及伺服器的日誌，包括可能伺服器被黑留下系統驅動木馬，遠端對伺服器進行篡改檔案與程式碼，然後查詢到可疑的訪問記錄下來，並對日誌裡的IP進行關鍵詞搜尋，將該IP對網站的所有訪問都檢索下來儲存到電腦裡，再對這個日誌進行分析，就能找出問題所在，我們SINE安全技術還會對其他特徵關鍵詞進行查詢攻擊溯源，對上傳的webshell檔名稱，以及攻擊者的瀏覽器特徵都會進行搜尋，包括有些網站基本都是GET訪問，對POST的訪問記錄進行搜尋作為特徵關鍵詞。

通過我們SINE安全技術上面分析的這些日誌方法，溯源找到攻擊者的IP，以及到底網站是如何被攻擊，伺服器被黑的根源問題都可以通過日誌的方式分析出來，細節的漏洞，就得需要做滲透測試服務，對網站以及伺服器目前存在的漏洞進行檢測，包括邏輯漏洞，越權漏洞，檔案上傳漏洞，SQL隱碼攻擊，XSS跨站，遠端程式碼執行，檔案包含漏洞，如果您對網站以及伺服器不是太瞭解，可以找專業的 網路安全公司來幫您解決，像 SINESAFE,啟明星辰，綠盟，鷹盾安全都是國內比較有名的，保障網站伺服器的安全穩定執行，也是我們發展業務的基礎，只有網站安全了，客戶才會用的放心。

來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/31542418/viewspace-2673304/，如需轉載，請註明出處，否則將追究法律責任。