善用 IIS 日誌追蹤駭客入侵：實戰案例分析

前言

曾以為自己技術高超不會被追蹤，卻在不再從事攻擊行為時，發現自己的 BBS 被入侵。程式碼經審核無上傳漏洞與 SQL Injection，懷疑為伺服器層面被滲透。身兼網管角色，開始透過 IIS 日誌進行事後鑑識。

日誌位置與分析工具

IIS 日誌預設位於 %SystemRoot%\System32\LogFiles，各虛擬主機可獨立設定日誌目錄。使用文字編輯器或 Log Parser 等工具分析。

入侵時間軸重組

Day 1：自動化掃描後台頁面

IP 61.145.xxx.xxx 利用工具持續掃描後台登入頁，試圖暴力破解或尋找後台漏洞。手法單一，無實質威脅。

圖1 Day1 掃描日誌

Day 2：鎖定上傳頁面與預設資料庫

IP 61.141.xxx.xxx 掃描特定上傳頁面、動網預設資料庫路徑、常見木馬檔名。顯示攻擊者具備一定標的鎖定能力。

圖2 Day2 掃描日誌

關鍵突破：植入 WebShell 並竄改首頁

攻擊者在 /forum/ 目錄建立 Myth.txt 並植入 Akk.asp WebShell。日誌完整記錄其操作軌跡：

GET /forum/akk.asp – 200                    # 存取 WebShell
GET /forum/akk.asp?d=ls.asp – 200           # 列出目錄
GET /forum/akk.asp?d=e.asp&path=/test/1.asp – 200  # 修改檔案
GET /forum/akk.asp?d=ls.asp&path=/lan – 200 # 進入 lan 目錄
GET /forum/akk.asp?d=e.asp&path=/lan/index.html – 200 # 竄改首頁
POST /forum/akk.asp?d=up.asp – 200          # 上傳 Myth.txt
GET /forum/myth.txt – 200                   # 驗證上傳
... 後續刪除、再上傳、建立 Ubb.asp 等動作

圖3 WebShell 操作日誌

入侵鏈總結

1. 偵察：自動化工具掃描已知漏洞頁面（後台、上傳、預設資料庫）。
2. 轉向伺服器層面：發現應用層無漏洞，利用「旁注」或同伺服器其他網站的 WebShell 取得伺服器權限。
3. 橫向移動：透過 WebShell 瀏覽目錄結構，定位目標 BBS 目錄。
4. 植入後門與竄改：上傳多個 WebShell（Akk.asp, Ubb.asp），修改首頁並備份原檔。

防禦建議

• 定期審核 IIS 日誌，建立異常存取告警機制。
• 嚴格限制寫入權限，移除不必要的執行權限。
• 部署 WAF 與檔案完整性監控 (FIM)。
• 隔離虛擬主機環境，避免單一站台被攻破導致全伺服器淪陷。

結語

入侵與被入侵皆有跡可循。IIS 日誌是事後鑑識最寶貴的證據來源，網管務必重視日誌管理與分析能力。