建设班级网站,南京专业的网站设计团队,大渡口的网站开发公司,wordpress 转中文一、溯源
你会溯源吗#xff1f;怎么溯
拿到日志#xff08;ssh登录日志#xff0c;Apache日志#xff09;#xff0c;通过日志溯到ip#xff0c;对日志进行每天的拆分#xff0c;第二通过awk日志分析工具对每天的日志进行拆分#xff0c;分析某一个ip今天对我访问多…一、溯源
你会溯源吗怎么溯
拿到日志ssh登录日志Apache日志通过日志溯到ip对日志进行每天的拆分第二通过awk日志分析工具对每天的日志进行拆分分析某一个ip今天对我访问多少次访问的地址是多少访问的地址是非恶意的还是不恶意的即使溯源未成功也可以将此ip封除
通过遗落工具
二、具体方法
1查看IP$1代表IP
#cat access_log | awk {print $1}
2对IP排序
#cat access_log | awk {print $1}|sort
3打印每一重复行出现的次数“uniq -c”表示标记出重复数量。
#cat access_log | awk {print $1}|sort|uniq -c
4排序并统计行数
#cat access_log | awk {print $1}|sort|uniq -c|sort -rn|wc -l
5显示访问前10位的IP地址便于查找攻击源
#cat access_log|awk {print $1}|sort|uniq-c|sort -nr|head -10
注意awk {print$1它表示取日志的第一段如果换成别的日志其IP地址在第3段那么就要改变相应数值。
6显示指定时间以后的日志$4代表时间
#cat access_log |awk$4[23/Jul/2012:01:00:01 access_log
推荐大家在排错时同时打开多个终端比如在一个窗口中显示错误日志在另一个窗口中显示访问日志,这样就能够随时获知网站上发生的情况。
7找出访问量最大的IP,并封掉(对排错很有帮助)
#cat access_log |awk {print $1}|sort|uniq -c|sort -nr |more
9999192.168.150.179
11 192.168.150.1
#iptables -I INPUT -s 192.168.150.179 -j DROP
#iptables -I INPUT -s 192.168.150.0/24 -j DROP
如果将上面的Shell做以下变形就可以得出访问量TOP 10
#cat access_log |awk {print $1}|sort|uniq -c|sort -nr |head -10
(8)找出Apache日志中下载最多的几个exe文件下载类网站常用,这里以.exe扩展名举例
[rootlocalhost httpd]# cataccess_log |awk ($7 ~/.exe/){print $10 $1 $4$7} |sort -n |uniq -c |sort -nr |head -10
2 - 192.168.150.1[25/Jul/2012:05:46:05/test.exe
1 -192.168.150.152[25/Jul/2012:05:46:47/test.exe
