ECSC课堂 | 一文详解 Nginx 日志分析

在应急响应过程中，对日志进行分析既能还原攻击场景，又能发现网站可能存在的安全威胁。Nginx提供了一个非常灵活的日志记录功能，可以使每个模块的配置拥有独立日志进行记录。

Nginx日志是由Nginx中间件产生的，有如下两种类型：

1、访问日志（Access.log）

记录每一次HTTP请求的访问状态。

2、错误日志（Error.log）

记录Nginx处理HTTP请求的错误状态以及Nginx本身服务的运行错误状态。

1

Nginx日志配置

Nginx日志可以记录的内容包括：访问者IP 、访问时间、请求方式、请求地址、协议版本、请求状态、请求页面大小、用户浏览器信息、代理地址等。

如果需要自定义访问日志的输出内容，可以在Nginx.conf文件中修改Log_format参数实现，如下图：

Log_format参数的常⽤变量，如下表：

参数名称

用途

$remote_addr

记录客户端的IP地址

$remote_user

记录客户端用户名称

$time_local

记录访问时间与时区

$request

记录请求的HTTP协议

$status

记录请求状态

$http_x_forwarded_for

记录经过的所有服务器的IP地址

$body_bytes_sent

记录发送给客户端资源大小

$http_referer

记录从哪个页面链接访问而来

$http_user_agent

记录客户浏览器的相关信息

2

分析思路

日志分析需要先确定入侵的时间，再以时间为线索排查这个期间内的可疑日志以还原整个入侵过程。

通过一个案例来说明，我们事先在测试环境中利用网站本身存在的漏洞植入后门。接下来，我们通过分析Ngnix日志来还原漏洞利用过程。

1、确定入侵时间

使用木马查杀工具发现系统在11:46、14:08、14:09三个时间点创建了三个可疑文件：

2、分析入侵期间产生的日志

提取Nginx日志进行排查，发现在11:05期间存在大量访问记录且状态码为403和404，判断可知该时间内，系统可能遭受了目录扫描攻击：

根据URL的访问特征，可以判断在11:17到11:21期间，网站可能遭受了Think PHP远程代码执行攻击：

在11:31期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件shell.php：

在11:36期间，攻击者最后一次访问shell.php可疑文件，在11:47期间第一次访问shell1.php文件，由此判断可能在11:36期间最后一次访问shell.php文件期间上传了shell1.php文件：

在14:08期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件title.php：

在14:09期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入了可疑文件foot.php：

通过对Nginx日志进行分析，可以掌握三个可疑文件植入的过程。在还原入侵场景的过程中，既找到了攻击者，又发现了网站存在的漏洞，便于后续对漏洞进行修复，进一步保障网站安全。

如需了解更加全面的日志分析方法以及更多的网络安全技术，敬请关注美亚柏科企业网络安全能力培训（ECSC）课程。

美亚柏科

企业网络安全能力（ECSC）培训

该培训主要面向企业或信息化部门负责人、网络安全工程师、企业网络安全攻防赛参赛队伍。课程包括政策解读、攻防技术、赛事技巧三大板块。

通过培训有助于提高企业对网络安全的认识，强化对网络安全基本要求的理解，提升网络安全工程师的安全防护能力，促进企业在网络安全领域的合规性建设和日常安全管理。

如您想详细了解

美亚柏科

企业网络安全能力（ECSC）培训

欢迎电话咨询15859296631

（章老师 / 微信同号）

供稿：ECSC课题专家组