服务器被黑了，请问有什么好的日至分析方法吗

[lrvy]

服务器是 Server2008 IIS7 和 sqlserver ，有没有比较好用的日至分析工具啊，-_-#

[konakona]

你是说什么日志的？

[GPU]

重装

[lrvy]

@konakona iis 、 sqlserver 和 server2008 的日志

[lrvy]

@GPU 不要闹，目前要找到攻击者的攻击方式来修补漏洞啊，否则重装也没用啊

[veapon]

ELK ？
https://www.elastic.co/

[lrvy]

@veapon nginx 我们没有用啊，用的 IIS

[veapon]

@lrvy IIS 日志也能啃吧？不过没折腾过。

[hienchu]

IIS 貌似有专门的 LOG 分析工具 http://www.iis.net/downloads/community/2010/11/iis-and-apache-log-analyzer ， 但也就是简单的显示结构化数据吧。具体被黑原因还是自己查起来比较快：
1. 什么东西被黑了？
2. 什么时候被黑的？
3. 定位非法改动操作，然后具体差改动请求的来源，途经之类的

自己写的代码，应该不是很难；如果是别人写的，还是找作者来分析吧

[lrvy]

@veapon 我去看看

[pmpio]

基本上没太大意义，现在黑人家的机器，谁走时不隐藏好呀，很难发现的，或者用干净的 PE 启动后看看。。。。

[llhhss]

http://www.microsoft.com/en-us/download/details.aspx?id=24659

iis 专用

[canky]

我猜,应该是 sqlserver 被爆破了

[lrvy]

@pmpio 没办法，领导发下的任务啊

[dong3580]

权限，文件读写权限， iis 设置的网站文件读取写入权限，上传的文件夹读写权限，
这几个区分开基本上不会有事。

[Arnaud]

http://wangzhan.360.cn/xingtu

[hicdn]

直接在 sqlserver 日志里搜索 xp_cmdshell

[liuyi_beta]

最好的分析工具是 grep, sed, awk ，查一下日志里面有没有 xxoo.asp(x), cmd.asp(x), help.asp(x), system.ini, /etc 之类的访问记录，然后再去筛选对应 IP 的访问记录，如果日志齐全话应该很容易就能查到。

[liuyi_beta]

还有 selset, union 等关键字。

[paw]

就跟你们领导说 日志被删了~
嗯，就这样

[lrvy]

@paw -_-#