Web 伺服器日誌分析實戰：從 Apache 與 IIS 記錄中追蹤駭客攻擊軌跡

網路安全防護體系日益完善，防火牆、入侵偵測系統 (IDS) 等技術手段層層把關，但「木桶效應」提醒我們：任何單一環節的疏忽都可能導致整體防線崩塌。Web 服務作為互聯網最開放、最豐富的服務，自然成為攻擊首選目標。查閱 Web 伺服器記錄檔，是最直接、常用且有效的偵測手段，但龐大的日誌數據若無分析重點，攻擊線索極易被淹沒。本文透過模擬真實攻擊場景，示範如何從 Apache 與 IIS 日誌中識別資訊蒐集、站點鏡像、漏洞掃描至遠端攻擊各階段的特徵指紋。

預設日誌格式與關鍵欄位解讀

IIS (W3C 擴充日誌格式)

預設路徑：c:\winnt\system32\logfiles\w3svc1，檔名為日期。關鍵欄位：時間、客戶端 IP、HTTP 方法 (GET/POST)、請求資源、HTTP 狀態碼。

• 2xx： 成功
• 3xx： 重導向/需客戶端動作
• 4xx： 客戶端錯誤 (404 找不到、403 禁止存取)
• 5xx： 伺服器錯誤

Apache (Common/Combined Log Format)

預設路徑：/usr/local/apache/logs/access_log。關鍵欄位：客戶端 IP、身分識別、使用者名稱、請求行、狀態碼、傳輸位元組數。

攻擊階段日誌特徵分析

階段 1：資訊蒐集 - 看似無害的前奏

駭客常使用 netcat 等工具發送 HEAD / HTTP/1.0 探測伺服器版本資訊。

IIS:  15:08:44 10.22.1.80 HEAD /Default.asp 200
Apache: 10.22.1.80 - - [08/Oct/2002:15:56:39 -0700] "HEAD / HTTP/1.0" 200 0

單筆記錄看似正常，但若同一 IP 短時間內重複探測多台主機或不同路徑，即為偵察徵兆。

階段 2：站點鏡像 - 大量資源請求的特徵

工具如 Teleport Pro (Windows) 或 Wget (Unix) 會遞迴下載所有連結資源。日誌特徵：

• 同一 IP 在極短時間內密集請求大量靜態資源 (圖片、CSS、JS)。
• 普遍出現 GET /robots.txt 404 記錄（鏡像工具預設遵守 robots.txt，除非手動關閉）。
• 若攻擊者關閉 robots.txt 檢查，則觀察「同一 IP 大量重複資源請求」模式。

階段 3：漏洞掃描 - 針對性路徑探測與 404 風暴

工具如 Whisker 針對已知漏洞 (CGI、Sample 檔案等) 發動掃描。核心特徵：

同一 IP 對 CGI 目錄 (IIS 為 /scripts，Apache 為 /cgi-bin) 發出大量請求，產生高比例 404 狀態碼。

發現此模式時，應立即檢查對應目錄下腳本程式的安全性，移除不必要的範例檔案。

階段 4：遠端攻擊 - 實際漏洞利用的證據

• MDAC 漏洞 (IIS)： 出現 GET /msadc/msadcs.dll 200 緊接 POST /msadc/msadcs.dll 200，表明攻擊者嘗試透過 RDS 執行任意命令。
• ASP 原始碼洩漏： 請求 GET /default.asp+.htr 200 (利用 .htr 對應漏洞讀取源碼)。
• 未授權存取 (Apache)： "GET /private/ HTTP/1.0" 401 顯示嘗試存取受保護目錄被拒。

防禦建議與總結

1. 建立基準線： 熟悉正常流量模式，異常始可被識別。
2. 自動化關聯分析： 部署日誌分析工具 (如 AWStats、Webalizer 或商業 SIEM) 關聯多源日誌，設定告警規則 (如：單 IP 5 分鐘內 404 超過 50 次)。
3. 保護日誌完整性： 集中式日誌伺服器、唯寫儲存、定期備份，防止攻擊者竄改銷毀證據。
4. IDS 不能替代人工審計： IDS 依賴特徵庫，零時差攻擊與商業邏輯漏洞往往只有在原始日誌中才能發現蛛絲馬跡。

管理安全站點需要常識與警惕性並重。細讀日誌，發現 IDS 遺漏的真相，是資深管理員的必修課。