Интернетмагазин

ж
урналы
 
веб
-
сервера
 
При просмотре журналов веб-сервера
обратите особое внимание на веб-серве-
ры, где веб-приложения взаимодействуют с базами данных SQL. Файлы журна-
лов веб-сервера IIS расположены здесь: \WINDOWS\system32\LogFiles\W3SVC1. Они 
представляют собой текстовые файлы с раширением .log, которые можно от-
крыть с помощью Блокнота. Вы также можете использовать Excel или Microsoft 
Log Parser, чтобы открыть этот файл и выполнить основные запросы. 

Log Parser можно скачать на странице 
https://www.microsoft.com/en-us/download/de-
tails.aspx?id=24659.
При просмотре журнала IIS обратите особое внимание на поля cs-uri-query 
и sc-status. В этих полях будут отображаться сведения о выполненных HTTP-
запросах. Если вы используете Log Parser, можно выполнить запрос к файлу 
журнала, чтобы быстро определить, была ли совершена на систему атака с ис-
пользованием SQL-инъекций. Вот пример:
logparser.exe -i:iisw3c -o:Datagrid -rtp:100 "select date, time, c-ip, csuri-
stem, cs-uri-query, time-taken, sc-status from
C:wwwlogsW3SVCXXXexTEST*.log where cs-uri-query like '%CAST%'". 
Это пример потенциального вывода с ключевым словом CAST, расположен-
ным в поле cs-uriquery: 
80 POST /pages/Users/index.asp ID=UT-47-TPM17';
DECLARE%20@S%20NVARCHAR(4000);SET%30@S=CAST(0x4400);EXEC(@S);--
|31|80040e32|Timeout_expired 500
Обратите внимание, что в этом случае код ошибки – 500 (внутренняя ошиб-
ка сервера). Другими словами, сервер не смог выполнить запрос. Когда вы ви-
дите такой тип активности в своем журнале IIS, следует предпринять действия 
для усиления защиты на этом веб-сервере. В качестве альтернативы можно 
добавить межсетевой экран для веб-приложений.
Если вы просматриваете файл журнала Apache, файл журнала доступа на-
ходится здесь: /var/log/apache2/access.log. Его формат также очень прост для 
чтения, в чем вы можете убедиться благодаря следующему примеру: 

---

Резюме 