如何保护Web服务器中日志安全？

Web日志记录了web服务器接收处理请求，以及其运行时的错误等各种原始信息。通过对日志进行统计、分析、综合，就能有效地掌握服务器的运行状况，发现和排除错误、了解客户访问分布等，方便管理员更好地加强服务器的维护和管理。另外，Web日志也是判断服务器安全的一个重要依据，通过其可以分析判断服务器是否被入侵，并通过其可以对攻击者进行反向跟踪等。因此，对于Web日志攻击者往往以除之而后快。

一、攻击者清除日志的常用伎俩 1、Web服务器系统中的日志 以WindowsServer 2003平台的Web服务器为例，其日志包括：安全日志、系统日志、应用程序日志、WWW日志、FTP日志等。对于前面的三类日志可以通过“开始→运行”输入eventvwrmsc打开事件查看器进行查看，WWW日志和FTP日志以log文件的形式存放在硬盘中。具体来说这些日志对应的目录和文件为： (1)安全日志文件:C:WINDOWSsystem32configSecEventEvt (2)系统日志文件:C:WINDOWSsystem32configSysEventEvt (3)应用程序日志文件:C:WINDOWSsystem32configAppEventEvt (4)FTP日志默认位置:C:WINDOWSsystem32LogfilesMSFTPSVC1 (5)WWW日志默认位置:C:WINDOWSsystem32LogfilesW3SVC12、非法清除日志 上述这些日志在服务器正常运行的时候是不能被删除的，FTP和WWW日志的删除可以先把这2个服务停止掉，然后再删除日志文件，攻击者一般不会这么做的。系统和应用程序的日志是由守护服务Event Log支持的，而它是没有办法停止的，因而是不能直接删除日志文件的。攻击者在拿下Web服务器后，一般会采用工具进行日志的清除，其使用的工具主要是CL和CleanIISLog。 (1)利用CL彻底清除日志 这个工具可以彻底清除IIS日志、FTP日志、计划任务日志、系统日志、安全日志等，使用的操作非常简单。 在命令下输入“cl -logfiles 127001”就可以清除Web服务器与Web和FTP和计划任务相关的日志。其原理就是先把FTP、WWW、Task Scheduler服务停止再删除日志，然后再启动三个服务。(图2)celialin 该工具还可以选择性地清除相应的日志，比如输入“cl -eventlog All”就会清除Web服务器中与系统相关的日志。另外，此工具支持远程清理，这是攻击者经常采用的方法。首先他们通过命令“netuse ipipc$ 密码/user:用户名”在本地和服务器建立了管理员权限的IPC管理连接，然后用“CL -LogFile IP”命令远程清理服务日志。(图3)

(2)利用CleanIISLog选择性地清理IIS日志 比如攻击者通过Web注入方式拿下服务器，这样他的入侵痕迹(IP地址)都留在了IIS日志里。他们利用该工具只把其在IIS日志中的IP地址进行清除，这样就不会让对方管理员起疑心。 在命令中执行“CleanIISLog IP”就可以清除IIS日志中有关该IP的连接记录同时保留其它IP记录。如果管理做了防范，比如更改了IIS日志的路径，攻击者在确定了日志的路径后，也可以通过该工具进行清除，其操作是，在命令行下执行“CleanIISLog IIS日志路径 IP地址”来清除指定IIS路径的IP记录。(图4)二、打造日志服务器保护日志 通过上面的演示可以看到，如果将服务器的日志保存在本地是非常不安全的。而且，如果企业中的服务器非常多的话，查看日志会非常麻烦。基于以上考虑，打造专门的日志服务器，即有利于服务器日志的备份又有利用于集中管理。 笔者的做法是，搭建一个FTP服务器用来日志的集中和备份，可以在服务器中通过专门的工具或者计划任务来实现日志的自动上传备份。这部分内容比较简单，笔者就不演示了。其实不仅可以将服务器日志备份到专门的日志服务器上，日志服务器还可以实现网络设备的日志备份。 以路由器为例，首先在其上进行设置，指定记录日志的服务器，最后通过FTP协议将日志数据传输到FTP服务器上。搭建FTP服务器可以利用IIS的FTP或者Serv-u，但是笔者觉得IIS的FTP在权限分配上不够方便，而Serv-u有漏洞太多，因此推荐TYPSoft FTP。 1、架设日志服务器 TYPSoft FTP是绿色软件，下载解压后双击ftpservexe文件，启动typsoft fip主程序。启动后，点击主界面菜单中的“设定→用户”，建立新账户log。接着在用户界面中设置log账号所对应的用户密码和日志保存的目录，最后点击“保存”按钮使设置生效，这样日志服务器就架好了。(图5)2、日志服务器的指定 当搭建好日志服务器后，只需要到相应的网络设置中通过SYSLOG或LOG命令指定要保存日志的服务器地址即可，同时加上设置好的账户名和密码即可完成传输配置工作。下面笔者就以Cisco6509设备上配置及指定日志服务器为例。 正常登录到设备上然后在全局配置模式下输入logging 192168110，它的意思是在路由器上指定日志服务器地址为192168110。接着输入logging trap，它的意思是设置日志服务器接收内容，并启动日志记录。trap后面可以接参数0到7，不同级别对应不同的情况，可以根据实际情况进行选择。如果直接使用logging trap进行记录的话是记录全部日志。配置完毕后路由交换设备可以发送日志信息，这样在第一时间就能发现问题并解决。日志服务器的IP地址，只要是能在路由交换设备上ping通日志服务器的IP即可，不一定要局限在同一网段内。因为FTP属于TCP/IP协议，它是可以跨越网段的。(图6) 总结：本文从攻击者的角度解析对Web日志的删除和修改，目的是让大家重视服务器日志的保护。另外，搭建专门的日志服务器不仅可以实现对日志的备份，同时也更利用对日志的集中管理。

net user 查看有哪些用户 net user 帐户名 查看帐户的属性 net localgroup administrators 用户名 /add 把“用户”添加到管理员中使其具有管理员权限,注意：administrator后加s用复数 net start 查看开启了哪些服务 net start 服务名　 开启服务；(如:net start telnet， net start schedule) net stop 服务名 停止某服务 net time \\目标ip 查看对方时间 net time \\目标ip /set 设置本地计算机时间与“目标IP”主机的时间同步,加上参数/yes可取消确认信息 net view 查看本地局域网内开启了哪些共享 net view \\ip 查看对方局域网内开启了哪些共享 net config 显示系统网络设置 net logoff 断开连接的共享 net pause 服务名 暂停某服务 net send ip "文本信息" 向对方发信息 net ver 局域网内正在使用的网络连接类型和信息 net share 查看本地开启的共享 net share ipc$ 开启ipc$共享 net share ipc$ /del 删除ipc$共享 net share c$ /del 删除C：共享 net user guest 12345 用guest用户登陆后用将密码改为12345 net password 密码 更改系统登陆密码 netstat -a 查看开启了哪些端口,常用netstat -an netstat -n 查看端口的网络连接情况，常用netstat -an netstat -v 查看正在进行的工作 netstat -p 协议名 例：netstat -p tcq/ip 查看某协议使用情况（查看tcp/ip协议使用情况） netstat -s 查看正在使用的所有协议使用情况 nbtstat -A ip 对方136到139其中一个端口开了的话，就可查看对方最近登陆的用户名（03前的为用户名）-注意：参数-A要大写 tracert -参数 ip(或计算机名) 跟踪路由（数据包），参数：“-w数字”用于设置超时间隔。 ping ip(或域名) 向对方主机发送默认大小为32字节的数据，参数：“-l[空格]数据包大小”；“-n发送数据次数”；“-t”指一直ping。 ping -t -l 65550 ip 死亡之ping(发送大于64K的文件并一直ping就成了死亡之ping) ipconfig (winipcfg) 用于windows NT及XP(windows 95 98)查看本地ip地址，ipconfig可用参数“/all”显示全部配置信息 tlist -t 以树行列表显示进程(为系统的附加工具，默认是没有安装的，在安装目录的Support/tools文件夹内) kill -F 进程名 加-F参数后强制结束某进程(为系统的附加工具，默认是没有安装的，在安装目录的Support/tools文件夹内) del -F 文件名 加-F参数后就可删除只读文件,/AR、/AH、/AS、/AA分别表示删除只读、隐藏、系统、存档文件，/A-R、/A-H、/A-S、/A-A表示删除除只读、隐藏、系统、存档以外的文件。例如“DEL/AR ”表示删除当前目录下所有只读文件，“DEL/A-S ”表示删除当前目录下除系统文件以外的所有文件#2 二：del /S /Q 目录 或用：rmdir /s /Q 目录 /S删除目录及目录下的所有子目录和文件。同时使用参数/Q 可取消删除操作时的系统确认就直接删除。（二个命令作用相同） move 盘符\路径\要移动的文件名　存放移动文件的路径\移动后文件名 移动文件,用参数/y将取消确认移动目录存在相同文件的提示就直接覆盖 fc onetxt twotxt > 3sttxt 对比二个文件并把不同之处输出到3sttxt文件中，"> "和"> >" 是重定向命令 at id号 开启已注册的某个计划任务 at /delete 停止所有计划任务，用参数/yes则不需要确认就直接停止

工具/原料

网站服务器、运行中网站

网站日志分析工具、FTP工具

网站日志查看流程

登录虚拟主机的管理系统（本经验以万网为例），输入主机的账号以及密码，登陆。操作如下图所示：

登录系统后台，找到"网站文件管理"中的"weblog日志下载",并点击。操作如下图所示：

点击"weblog日志下载"，可以看到很多以"ex"+时间命名的压缩文件可以下载。选择所需要下载的网站日志，点击下载。操作如下图所示：

登录FTP工具，在根目录下找到"wwwlogs"文件，下载所需的压缩文件。注意：不同程序，日志存放目录不一样。操作如下图所示：

网上有很多日志分析软件，本经验以"光年seo日志分析系统"这款软件为例子,点击"新建分析任务"。操作如下图所示：

在"任务导向"中，按照实际要求改任务名以及日志类别。一般情况下可以不用修改。点击系下一步，操作如下图所示：

接着上一步，在"任务导向"中添加所需要分析的网站日志（也就是本经验第三步下载的文件），添加文件可以是一个或者多个。点击系下一步，操作如下图所示：

接着上一步，在"任务导向"中选择报告保存目录。点击系下一步，操作如下图所示：

完成之后，软件会生成一件文件夹，包含一个"报告"网页以及"files"文件，点击"报告"网页就可以查看网站日志数据了。