Windows 2000 Server 入侵偵測實戰技巧：IIS 日誌分析、Unicode 攻擊識別、命令列快速過濾

前言：安全配置非終點，偵測與響應才是常態

精心配置可防禦 90%+ 攻擊，但新漏洞、高手攻擊、補丁真空期持續存在。入侵偵測是漫長乏味安全工作的起點。本文聚焦利用 Win2000 自身功能 (IIS 日誌、系統工具) 與自製腳本偵測，不涉及防火牆/IDS 專用設備。

核心偵測對象：基於 80 埠 Web 服務

• WWW 服務最常見、流量最大、漏洞最多、攻擊技巧最豐富
• IIS 內建日誌功能是偵測利器：預設 %SystemRoot%\System32\LogFiles，24 小時滾動
• 關鍵配置：W3C 擴充日誌格式，至少記錄：Time、Client IP、Method、URI Stem、URI Query、Protocol Status

實戰案例：Unicode 漏洞攻擊日誌分析

攻擊向量

https://127.0.0.1/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir

• %c1%1c 經解碼為 \ (視語言版本略有差異)，實現目錄遍歷
• 執行 cmd.exe /c dir 列出系統目錄

IIS 日誌記錄 (Ex010318.log)

07:42:58 127.0.0.1 GET /scripts/..../winnt/system32/cmd.exe /c+dir 200

• 時間：07:42:58 GMT (北京時間 15:42:58)
• 攻擊者 IP：127.0.0.1 (本機測試)
• 方法：GET
• 請求資源：/scripts/..../winnt/system32/cmd.exe
• 查詢參數：/c+dir
• 狀態碼：200 (成功執行) — 這是關鍵入侵指標

日誌分析自動化：從人工到腳本

挑戰

• 日誌動輒數十 MB、高流量站點達數十 GB，人工檢查不可能
• 唯一選擇：日誌分析軟體 (文本過濾器)，任何語言均可快速開發

緊急情況零依賴方案：Windows 內建 find.exe / findstr.exe

• 場景：管理員不會寫程式、伺服器暫無分析工具
• 指令範例：搜尋嘗試存取 Global.asa 的記錄

  find "Global.asa" ex010318.log /i
  

• 參數說明："Global.asa" 搜尋字串、ex010318.log 目標檔案、/i 忽略大小寫
• findstr.exe 支援正則表達式、多檔案、行號顯示等進階功能

擴展偵測維度

持續偵測體系建議

1. 集中化日誌收集 (Syslog/WinRM/事件轉送)
2. 基準線建立：正常流量/錯誤率/響應時間分佈
3. 自動化告警：閾值觸發 (失敗登入、200 狀態碼異常 URI、流量暴增)
4. 定期審計：每日/每週樣本深度分析，發現低慢速攻擊
5. 應急響應預案：證據保全、遏制、根因分析、恢復、事後報告

結語：日誌是真相的載體，分析是洞察的鑰匙

IIS 日誌忠實記錄每個請求 (含攻擊)，W3C 格式提供結構化分析基礎。find/findstr 等內建工具提供零依賴應急能力。但持續有效的偵測需要：集中化基礎設施、基準線建模、自動化規則、專業分析師、成熟響應流程。入侵偵測不是工具部署，而是安全運營體系建設。