ITPub博客

首页 > Linux操作系统 > Linux操作系统 > Web服务器记录中查找黑客踪迹(2)(转)

Web服务器记录中查找黑客踪迹(2)(转)

原创 Linux操作系统 作者:rain0903 时间:2019-06-15 18:15:05 0 删除 编辑
3、Web站点镜像

  黑客经常镜像一个站点来帮助攻击服务器,常用来镜像的工具有Windows下的Teleport pro和Unix下的Wget。

  下面我们看使用这两个工具后在服务器记录里的信息:

  16:28:52 10.22.1.80 GET /Default.asp 200
  16:28:52 10.22.1.80 GET /robots.txt 404
  16:28:52 10.22.1.80 GET /header_protecting_your_privacy.gif 200
  16:28:52 10.22.1.80 GET /header_fec_reqs.gif 200
  16:28:55 10.22.1.80 GET /photo_contribs_sidebar.jpg 200
  16:28:55 10.22.1.80 GET /g2klogo_white_bgd.gif 200
  16:28:55 10.22.1.80 GET /header_contribute_on_line.gif 200
  16:49:01 10.22.1.81 GET /Default.asp 200
  16:49:01 10.22.1.81 GET /robots.txt 404
  16:49:01 10.22.1.81 GET /header_contribute_on_line.gif 200
  16:49:01 10.22.1.81 GET /g2klogo_white_bgd.gif 200
  16:49:01 10.22.1.81 GET /photo_contribs_sidebar.jpg 200
  16:49:01 10.22.1.81 GET /header_fec_reqs.gif 200
  16:49:01 10.22.1.81 GET /header_protecting_your_privacy.gif 200

  10.22.1.80是使用Wget的Unix客户端,10.22.1.81是使用Teleport pro的Windows客户端,都请求robots.txt文件,Robots.txt是请求没有被镜像的文件时所要用到的。所以看到有对robots.txt文件的请求,表明有镜像的企图。当然,在Wget和Teleport pro客户端,可以手工禁止对robots.txt文件的访问,这时,辨别方法可以看是否有从同一IP地址来的重复资源请求。

  4、漏洞扫描

  随着攻击的发展,我们可以用一些Web漏洞检查的软件,如 Whisker,它可以检查已知晓的各种漏洞,如cgi程序导致的安全隐患等。下面是运行Whisker1.4的IIS和Apache的相关记录:

  IIS
  12:07:56 10.22.1.81 GET /SiteServer/Publishing/viewcode.asp 404
  12:07:56 10.22.1.81 GET /msadc/samples/adctest.asp 200
  12:07:56 10.22.1.81 GET /advworks/equipment/catalog_type.asp 404
  12:07:56 10.22.1.81 GET /iisadmpwd/aexp4b.htr 200
  12:07:56 10.22.1.81 HEAD /scripts/samples/details.idc 200
  12:07:56 10.22.1.81 GET /scripts/samples/details.idc 200
  12:07:56 10.22.1.81 HEAD /scripts/samples/ctguestb.idc 200
  12:07:56 10.22.1.81 GET /scripts/samples/ctguestb.idc 200
  12:07:56 10.22.1.81 HEAD /scripts/tools/newdsn.exe 404
  12:07:56 10.22.1.81 HEAD /msadc/msadcs.dll 200
  12:07:56 10.22.1.81 GET /scripts/iisadmin/bdir.htr 200
  12:07:56 10.22.1.81 HEAD /carbo.dll 404
  12:07:56 10.22.1.81 HEAD /scripts/proxy/ 403
  12:07:56 10.22.1.81 HEAD /scripts/proxy/w3proxy.dll 500
  12:07:56 10.22.1.81 GET /scripts/proxy/w3proxy.dll 500

  Apache
  10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266
  10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289
  10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273
  10.22.1.80-[08/Oct/2002:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0
  10.22.1.80-[08/Oct/2002:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404


来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/7178747/viewspace-161933/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2006-04-07

  • 博文量
    708
  • 访问量
    535728