日志分析 on SoulJian小站

应急响应处置与事件溯源实战

Sat, 29 Aug 2026 23:10:00 +0800

写在前面：合法学习边界

应急响应面向真实事件，处理过程须保留证据、合法合规。

一、不同攻击类型 → 不同处置方式

先取证再隔离（内存 → 磁盘 → 隔离），下图是标准取证流程。

0. 应急处置通用步骤

1
2
3
4
5
6


第 1 步：确认事件并判断类型
第 2 步：先做内存取证（易失证据）
第 3 步：磁盘快照/镜像（持久证据）
第 4 步：隔离主机（断外网/禁网卡/安全组）
第 5 步：按类型排查（见下）
第 6 步：清理加固、复测、溯源报告

1. 勒索软件事件

1
2
3
4


第一时间：断网隔离，防止加密扩散
保留证据：快照、样本（别乱删）
处置：查入口（RDP爆破/漏洞/钓鱼）→ 找解密点
善后：备份恢复、打补丁、封端口

2. WebShell / 网站入侵

1
2
3
4


先断外网或限制目录写执行
扫描全站 webshell，溯源上传入口
查 Web 日志（上传/访问特征）
清后门 → 修漏洞 → 加 WAF

3. 弱口令爆破 / 账号被盗

1
2
3
4


查登录日志（成功登录时间、来源 IP）
锁定异常登录，强制改密、下线会话
查是否已横向（看该账号是否登录多机）
收紧口令策略、开双因子

4. 横向移动 / 内网沦陷

1
2
3
4


重点：找到“失陷源头”和“扩散路径”
查多主机同账号登录、异常计划任务/服务
分段隔离，防继续扩散
全量排查后门与凭据

5. 挖矿 / 资源异常

1
2
3


看异常进程、异常外联（矿池地址）
杀进程、清持久化（计划任务/服务）
查入口，加固暴露面

二、事件溯源方法论

1

目标：还原“怎么进来的 → 做了什么 → 留下了什么”

1. 定起点

1
2


从告警/最早异常时间找入口
入口优先级：Web 漏洞 > 弱口令 > 钓鱼 > 供应链

2. 串时间线

1
2


按时间排列：登录、命令、文件、外联、持久化
多主机日志交叉比对，找“跳板”路径

3. 找证据链

1
2
3


日志：登录/Web/防火墙/EDR
文件：webshell、恶意样本、被改配置
行为：进程、计划任务、服务、外联

4. 定影响面

1
2


哪些主机/账号/数据受影响
哪些凭据可能已泄露

三、溯源的关键证据源

1
2
3
4
5
6


登录日志（SSH/RDP/应用登录）
Web 访问日志（攻击 payload）
EDR/杀软告警（行为时间线）
防火墙/态势感知（外联、横向）
系统日志与命令历史
文件时间线（mtime/ctime）

四、处置原则

1
2
3
4


先取证再处置（证据优先）
遏制优先于清理（先止血）
逐层清理（进程→文件→持久化→入口）
处置后复测（确认后门不复活）

五、小结

应急响应的核心不是“会几条命令”，而是按事件类型选对处置路径 + 按方法论做溯源。勒索先隔离、Webshell 先查入口、爆破先锁账号、横向先分段。把“定起点 → 串时间线 → 找证据 → 定影响面”这套溯源流程练熟，才能把事件讲清楚、处置干净。

Linux 应急响应实战（处置全流程）

Sat, 29 Aug 2026 21:30:00 +0800

写在前面：合法学习边界

应急响应面向真实事件，处置必须保留证据、合法合规。取证优先于处置，先保全再分析。

一、目标与原则

1
2


目标：遏制 → 定位 → 清除 → 恢复 → 溯源
原则：先保全证据，再隔离处置；不要在取证前乱删乱改

顺序很重要：内存（易失）→ 磁盘（持久）→ 隔离 → 分析。

二、第一步：判断“发生了什么”

先确认现象，判断事件类型，决定后续动作：

1
2
3
4
5
6


现象 → 类型
CPU 飙高/挖矿进程 → 挖矿事件
Web 目录异常文件 → WebShell 入侵
勒索提示/文件加密 → 勒索事件
异常登录/新账号 → 弱口令/失陷
外联可疑 IP → C2 回连

三、第二步：内存取证（最先做）

内存里有运行中的进程、网络连接、解密后的密码、无文件攻击痕迹，一旦断电/断网就丢失，必须最先抓。

方法 1：LiME（推荐）

1
2
3
4


# 加载 LiME 模块，把内存写到证据盘
insmod lime-4.15.0-xxx-generic.ko "path=/mnt/evidence/mem.lime format=lime"
# 解释：LiME 是专门的内存取证内核模块
# 为什么：/dev/mem 在高版本内核被限制，LiME 绕过限制直接抓

方法 2：fmem + dd

1
2
3
4


insmod fmem.ko
dd if=/dev/fmem of=/mnt/evidence/mem.dd bs=1M
# 解释：fmem 暴露 /dev/fmem，dd 拷贝内存
# 注意：bs 大小影响速度，大内存较慢

方法 3：/proc/kcore（免装驱动）

1
2
3


dd if=/proc/kcore of=/mnt/evidence/mem.raw bs=1M
# 解释：/proc/kcore 是内存的原始接口，root 可读
# 缺点：体积大、可能有空洞，但无需编译内核模块

分析内存

1
2
3
4
5


# Volatility3
vol -f mem.lime linux.info
vol -f mem.lime linux.pslist
vol -f mem.lime linux.bash
# 解释：从内存还原进程列表、命令历史等

为什么先抓内存：断网/关机后这些证据就没了。

四、第四步：磁盘快照/镜像

磁盘证据持久，但要防止在分析时改动原始盘。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 1. 整盘镜像（原始证据）
dd if=/dev/sda of=/mnt/evidence/sda.img bs=4M conv=noerror,sync
# 解释：conv=noerror,sync 遇到坏块继续、不足补零，保证镜像完整

# 2. 只读挂载原盘，避免污染
mount -o ro,noexec,nodev /dev/sda1 /mnt/evidence/ro

# 3. LVM 快照（生产环境好用）
lvcreate -L 10G -s -n snap /dev/vg/root
# 解释：秒级创建快照，不影响业务

# 4. 云主机：先在云控制台做磁盘快照

五、第五步：隔离主机

遏制扩散，但在内存/磁盘取证完成之后再做。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 断外网（保留内网便于排查）
iptables -A OUTPUT -o eth0 -j DROP
# 解释：把去往外网的流量全丢，阻止 C2 回连与横向外联

# 2. 彻底下线网卡（取证已完成时）
ifdown eth0

# 3. 从管理面隔离（最稳妥）
# 云控制台：安全组拒绝所有入站
# 交换机：端口 shutdown
# 解释：物理/管理面隔离比在主机内断网更可靠

为什么先取证再隔离：隔离（尤其断电）会丢失内存和实时进程证据。

六、第六步：五查排查（命令 + 解释）

1. 账号排查

1
2
3
4
5
6


awk -F: '$3==0{print $1}' /etc/passwd
# 解释：UID 为 0 的都是 root 权限账号，非 root 的 UID0 就是后门
last / lastlog
# 解释：查看成功登录记录，找异常登录时间/IP
cat /etc/sudoers | grep -v '^#'
# 解释：检查是否有异常的 sudo 提权

2. 进程与网络排查

1
2
3
4
5
6


ps -ef --forest
# 解释：进程树，找异常进程（挖矿/陌生程序）
ss -antlp
# 解释：监听与连接，找外联 IP 和异常端口
ls -l /proc/<pid>/exe
# 解释：定位异常进程对应的可执行文件

3. 文件排查

1
2
3
4
5
6


find / -mtime -3 -type f ! -path '/proc/*' ! -path '/sys/*' 2>/dev/null | head -100
# 解释：找近 3 天修改的文件（webshell/后门常在这）
grep -rl 'eval(\|base64_decode\|assert' /var/www/html/ 2>/dev/null
# 解释：扫 Web 目录里的一句话木马特征
ls -la /tmp /var/tmp /dev/shm
# 解释：临时目录常被用来藏文件

4. 启动项与计划任务

1
2
3
4
5
6
7
8


crontab -l && ls -la /etc/cron.* /var/spool/cron/
# 解释：计划任务是持久化高发点
cat /etc/rc.local
# 解释：开机自启脚本
systemctl list-unit-files | grep enabled
# 解释：查看开机自启服务
cat /etc/ld.so.preload
# 解释：LD_PRELOAD 劫持后门

5. 日志分析

1
2
3
4
5
6
7
8


grep 'Accepted' /var/log/secure | tail
# 解释：SSH 成功登录记录
grep 'Failed password' /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
# 解释：统计爆破来源 IP 次数
grep -E 'POST|\.php' /var/log/nginx/access.log | tail
# 解释：Web 攻击痕迹
cat ~/.bash_history
# 解释：攻击者执行过的命令

七、第七步：清理加固与溯源

1
2
3
4


清理：删恶意文件/账号/计划任务/服务，杀进程
加固：改口令、打补丁、收敛暴露面、上 WAF/EDR
溯源：把时间线+日志+文件证据串起来还原攻击链
复测：确认后门不再复活

八、小结

Linux 应急响应是“判断事件 → 内存取证 → 磁盘快照 → 隔离 → 五查 → 清理加固”。核心是先保住证据（尤其内存），再隔离处置。每条命令都要知道它“看什么、为什么这么写”，才能真正排得动。

日志分析入门：access.log 找攻击痕迹

Sat, 29 Aug 2026 06:25:00 +0800

写在前面：合法学习边界

日志分析是防守方常用技能。本文只讲如何在授权范围内分析自己系统的日志。请不要把日志内容、账号信息、用户数据或敏感路径发布到公共位置。

一、为什么 access.log 重要

Nginx/Apache 的 access.log 记录了每个 HTTP 请求的基本信息。它通常能告诉分析师：

1
2
3
4


谁在什么时候访问了什么路径
请求状态是什么
来自哪个 IP
响应大小和耗时是多少

安全分析不是只看 500，还要看：

1
2
3
4
5
6


大量 404
短时间大量 401/403
异常 User-Agent
异常路径
异常请求方法
重复失败登录

二、access.log 的基本结构

典型字段包括：

1
2
3
4
5
6
7


IP
时间
请求行
状态码
响应字节数
Referer
User-Agent

示例：

1

1.2.3.4 - - [29/Aug/2026:06:25:00 +0800] "GET /login HTTP/1.1" 200 1234 "https://example.com/" "Mozilla/5.0"

三、常见攻击痕迹

1. 扫描探测

特征：

1
2
3
4


大量 404
访问不存在路径
目录枚举
工具 User-Agent

2. 爆破尝试

特征：

1
2
3


大量 401/403
重复请求同一登录接口
短时间高频访问

3. SQL 注入尝试

特征：

1
2
3
4
5


单引号
and 1=1
union select
%27
sleep

4. XSS 尝试

特征：

1
2
3


<script>
onerror
javascript:

5. 文件遍历

特征：

1
2


../../etc/passwd
%2e%2e/

四、常用分析命令

1. 查看最近日志

1

tail -n 100 /var/log/nginx/access.log

2. 统计状态码

1

awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c | sort -nr

3. 查找 404

1

grep '" 404 ' /var/log/nginx/access.log

4. 查找可疑关键字

1

grep -Ei "select|union|script|passwd|\.env" /var/log/nginx/access.log

5. 统计高频 IP

1

awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head

五、日志保留原则

1
2
3
4


不要随意删除原始日志
先备份再排查
不要把敏感信息复制到公共位置
记录分析过程

六、日志分析的结论写法

示例：

1
2
3


发现：10.0.0.20 在 10 分钟内对 /admin/login 发起 400 多次请求，返回大量 401。
风险：可能存在口令爆破尝试。
建议：锁定来源 IP；检查是否成功登录；增强 MFA 和告警。

七、小结

日志不是流水账，而是时间线。会看日志的人，能把碎片信息拼成攻击链路。

Linux/Windows 入侵排查指南

Fri, 26 Sep 2025 10:30:48 +0800

Linux/Windows 入侵排查指南

先取证、再隔离：内存 → 磁盘 → 隔离 → 分析。下图是标准流程。

🐧 Linux 入侵排查思路

步骤	检查项目	具体操作	关键文件/命令
1	分析安全日志	检查SSH爆破和异常登录	`/var/log/secure`
2	检查系统账户	排查恶意新增用户	`/etc/passwd`
3	分析命令历史	查看恶意命令执行记录	`~/.bash_history`
4	检查Root邮箱	日志被删时的补充分析	`/var/spool/mail/root`
5	分析中间件日志	Web攻击痕迹排查	`access_log`等
6	检查登录日志	成功/失败登录分析	`last`/`lastb`
7	分析计划任务	可疑定时任务排查	`/var/log/cron`
8	分析操作历史	系统命令审计	`history`日志
9	数据库日志分析	数据库安全审计	Redis/MySQL/Oracle等日志

🪟 Windows 入侵排查思路

步骤	检查项目	具体操作	工具/命令
1	账号安全检查	弱口令、网络连接、进程分析	`Netstat`, `tasklist`
2	登录日志分析	成功/失败登录事件筛查	事件ID: 4776, 4624
3	系统账户排查	可疑账户检查	`lusrmgr.msc`
4	本地用户组检查	隐藏账户检测	`compmgmt.msc`
5	管理员行为分析	登录时间异常分析	Log Parser
6	计划任务排查	可疑定时任务检查	`taskschd.msc`
7	近期文件分析	最近访问文件检查	`%UserProfile%\Recent`
8	中间件日志分析	Web攻击痕迹排查	Tomcat/Apache日志
9	近期修改文件	文件变更时间线分析	`%UserProfile%\Recent`

🪟 Windows 隔离与取证（命令详解）

1. 先内存取证（最先做）

1
2
3
4


:: DumpIt：一键生成内存镜像（raw 格式）
DumpIt.exe
:: 或 FTK Imager → File → Capture Memory
:: 解释：内存里有进程、连接、解密后的密码，断电/断网即丢

1
2
3
4


# 用 Volatility3 分析
vol -f mem.raw windows.pslist
vol -f mem.raw windows.netscan
vol -f mem.raw windows.cmdline

2. 再磁盘镜像

1
2
3


FTK Imager → File → Create Disk Image
或 dd for Windows：
dd if=\\.\C: of=C:\evidence\c.img --size

3. 隔离主机（取证完成后）

1
2
3
4


:: 禁用网卡（断网络，保留现场）
netsh interface set interface "以太网" admin=disable
:: 解释：比拔线更可控，便于记录时间点
:: 或从管理面隔离：云安全组拒绝所有入站

4. Windows 重点排查命令（含解释）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


net user
:: 解释：列出所有账号，找可疑新建用户
net localgroup administrators
:: 解释：管理员组成员，找被加进管理组的后门账号
wmic useraccount list full
:: 解释：查看账号是否启用、是否有异常权限
netstat -ano | findstr ESTABLISHED
:: 解释：找当前外联连接与对应 PID
netstat -ano | findstr LISTENING
:: 解释：找异常监听端口（后门端口）
tasklist /svc
:: 解释：查看进程与服务，找陌生进程
schtasks /query /fo LIST /v
:: 解释：查看计划任务（持久化高发点）
wmic startup list full
:: 解释：查看开机启动项
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
:: 解释：注册表 Run 启动项，常见后门位置

5. 事件日志重点 ID

1
2
3


4624 登录成功 / 4625 登录失败
4672 特殊权限登录 / 4720 创建用户
4698 创建计划任务 / 4724 重置密码

日志分析 on SoulJian小站

应急响应处置与事件溯源实战

写在前面：合法学习边界

一、不同攻击类型 → 不同处置方式

0. 应急处置通用步骤

1. 勒索软件事件

2. WebShell / 网站入侵

3. 弱口令爆破 / 账号被盗

4. 横向移动 / 内网沦陷

5. 挖矿 / 资源异常

二、事件溯源方法论

1. 定起点

2. 串时间线

3. 找证据链

4. 定影响面

三、溯源的关键证据源

四、处置原则

五、小结

Linux 应急响应实战（处置全流程）

写在前面：合法学习边界

一、目标与原则

二、第一步：判断“发生了什么”

三、第二步：内存取证（最先做）

方法 1：LiME（推荐）

方法 2：fmem + dd

方法 3：/proc/kcore（免装驱动）

分析内存

四、第四步：磁盘快照/镜像

五、第五步：隔离主机

六、第六步：五查排查（命令 + 解释）

1. 账号排查

2. 进程与网络排查

3. 文件排查

4. 启动项与计划任务

5. 日志分析

七、第七步：清理加固与溯源

八、小结

日志分析入门：access.log 找攻击痕迹

写在前面：合法学习边界

一、为什么 access.log 重要

二、access.log 的基本结构

三、常见攻击痕迹

1. 扫描探测

2. 爆破尝试

3. SQL 注入尝试

4. XSS 尝试

5. 文件遍历

四、常用分析命令

1. 查看最近日志

2. 统计状态码

3. 查找 404

4. 查找可疑关键字

5. 统计高频 IP

五、日志保留原则

六、日志分析的结论写法

七、小结

Linux/Windows 入侵排查指南

Linux/Windows 入侵排查指南

🐧 Linux 入侵排查思路

🪟 Windows 入侵排查思路

🪟 Windows 隔离与取证（命令详解）

1. 先内存取证（最先做）

2. 再磁盘镜像

3. 隔离主机（取证完成后）

4. Windows 重点排查命令（含解释）

5. 事件日志重点 ID

🔍 排查要点说明

Linux 重点关注

Windows 重点关注