4、漏洞掃瞄
隨著攻擊的發展，我們可以用一些Web漏洞檢查的軟體，如 Whisker，它可以檢查已知曉的各種漏洞，如cgi程序導致的安全隱患等。下面是執行Whisker1.4的IIS和Apache的相關記錄：
IIS
12:07:56 10.22.1.81 GET /SiteServer/Publishing/viewcode.asp 404
12:07:56 10.22.1.81 GET /msadc/samples/adctest.asp 200
12:07:56 10.22.1.81 GET /advworks/equipment/catalog_type.asp 404
12:07:56 10.22.1.81 GET /iisadmpwd/aexp4b.htr 200
12:07:56 10.22.1.81 HEAD /scripts/samples/details.idc 200
12:07:56 10.22.1.81 GET /scripts/samples/details.idc 200
12:07:56 10.22.1.81 HEAD /scripts/samples/ctguestb.idc 200
12:07:56 10.22.1.81 GET /scripts/samples/ctguestb.idc 200
12:07:56 10.22.1.81 HEAD /scripts/tools/newdsn.exe 404
12:07:56 10.22.1.81 HEAD /msadc/msadcs.dll 200
12:07:56 10.22.1.81 GET /scripts/iisadmin/bdir.htr 200
12:07:56 10.22.1.81 HEAD /carbo.dll 404
12:07:56 10.22.1.81 HEAD /scripts/proxy/ 403
12:07:56 10.22.1.81 HEAD /scripts/proxy/w3proxy.dll 500
12:07:56 10.22.1.81 GET /scripts/proxy/w3proxy.dll 500
Apache
10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266
10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289
10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273
10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0
10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404
檢查這種攻擊的關鍵是看同一IP位址對cgi目錄（IIS是scripts，Apache是cgi-bin）文件請求出現多個404狀態。這時就要檢查相應cgi目錄裡的程序安全性。
5、遠端攻擊
下面我們以針對IIS的MDAC攻擊為例，來瞭解遠端攻擊在log裡的記錄情況。MDAC漏洞使得攻擊者可以在Web伺服器端執行任何指令。
17:48:49 10.22.1.80 GET /msadc/msadcs.dll 200
17:48:51 10.22.1.80 POST /msadc/msadcs.dll 200
當攻擊發生後，在log會留下對msadcs.dll請求的記錄。
另一個有名的攻擊是asp來源碼洩漏的漏洞，當這種攻擊發生時，log文件會有如下記錄：
17:50:13 10.22.1.81 GET /default.asp+.htr 200
對於未使用權訪問的攻擊記錄，Apache log會顯示：
[08/Oct/2002:18:58:29 -0700] "GET /private/ HTTP/1.0" 401 462
6、總結
管理一個安全站點要求系統管理人員具備安全的常識和警惕性，從不同的渠道瞭解安全的知識不僅能對付已發生的攻擊，還能對將會發生的攻擊做到較好的防範。而通過Log文件來瞭解、防範攻擊是很重要但又經常容易忽略的手段。
IDS（入侵檢測系統）能說明 你很多，但不能完全替代安全管理。仔細檢查Log，IDS所遺漏的東西，就可能在這裡發現。
|