Access.log on SoulJian小站

日志分析入门：access.log找攻击痕迹

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

日志分析只在授权环境进行。

一、日志分析流程

1

① 采集日志 → ② 关键词过滤 → ③ IP 聚类 → ④ 路径分析 → ⑤ UA 分析 → ⑥ 取证

二、常用命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# SQL 注入
grep -E "union|select|sleep" access.log

# XSS
grep -E "<script|alert\(" access.log

# 路径遍历
grep -E "\.\./|\.\.\\\\|/etc/passwd" access.log

# WebShell
grep -E "\.jsp\?cmd|cmd=" access.log

# IP 请求统计
awk '{print $1}' access.log | sort | uniq -c | sort -rn

三、分析维度

1
2
3
4
5


IP 维度：异常高频 IP · 扫描器 IP
路径维度：敏感路径访问 · 404 高频
UA 维度：扫描器 UA（sqlmap/nikto）
时间维度：深夜异常访问 · 频率突变
状态码维度：500 错误 · 200/404 比例异常

四、小结

日志分析是应急响应和安全审计的核心技能。掌握 grep/awk/sort/uniq 组合，可快速定位攻击痕迹和异常行为。