Logaí an fhreastalaí gréasáin a anailísiú tar éis ionsaithe: an Access-Log a léamh i gceart

Go achomair: An té ar mian leis an Access-Log a anailísiú tar éis ionsaithe, sábhálann sé na logaí gan athrú ar dtús agus ní oibríonn sé ina dhiaidh sin ach le cóipeanna. Cuardaítear iarratais le stádas 200 ar chomhaid PHP anaithnide, iarratais POST shuntasacha, rochtain ar chomhadlanna uaslódála agus patrúin ama. Do PHP2Shell níl aon Indicators of Compromise deimhnithe foilsithe, agus dá bhrí sin is é an pictiúr iomlán ó roinnt foinsí logála a chuireann i gcás.

Sábháil ar dtús, ansin anailís

Rothlaítear logchomhaid go huathoibríoch ar fhormhór na bhfreastalaithe agus scriostar iad tar éis tréimhse seasta. Tar éis ionsaithe is é an chéad chéim dá bhrí sin na logaí atá ann a shábháil sula n-imíonn siad. Baineann sé sin leis fiú mura bhfuil tú cinnte go fóill an tharla aon rud ar chor ar bith. Maidir le PHP2Shell, molann an preas teicniúil logaí a choinneáil ón 20.10.2026.

# Logaí a chóipeáil le stampaí ama agus seicsumaí a thaifeadadh
ZIEL=/root/sicherung-logs-$(date +%F)
mkdir -p "$ZIEL"
cp -a /var/log/nginx /var/log/apache2 /var/log/php* "$ZIEL"/ 2>/dev/null
cp -a /var/log/auth.log* /var/log/syslog* "$ZIEL"/ 2>/dev/null
find "$ZIEL" -type f -exec sha256sum {} + > "$ZIEL.sha256"

Stóráil an chóip chúltaca ar chóras eile ina theannta sin. D'fhéadfadh ionsaitheoir le rochtain ar an bhfreastalaí logaí a athrú ina dhiaidh sin murach sin. Léiríonn na seicsumaí níos déanaí go bhfuil an chóip gan athrú. Má tá sábháil a sheasann sa chúirt riachtanach, mar shampla d'fhógra ciona nó don árachas, ba cheart Fóiréineachas TF an tsábháil a ghlacadh air.

Cá bhfuil na logaí agus conas atá líne dá chéile

Braitheann na láithreacha stórála ar an dáileachán agus ar an gcomhéadan bainistíochta. Cosáin thipiciúla:

Sa fhormáid Combined atá forleathan, tá i ngach líne seoladh an chliaint, dáta agus am, modh agus cosán an iarratais, an cód stádais, méid an fhreagra i mbearta, an Referer agus an User-Agent. Tabhair aird ar an gcrios ama sa stampa ama, go háirithe nuair a chuireann tú logaí i gcomparáid le teachtaireachtaí in UTC. Foilsíodh paistí PHP2Shell, mar shampla, an 21.10.2026 ag 14:00 UTC, is é sin 16:00 am na Gearmáine.

Má tá do shuíomh gréasáin taobh thiar de phróicsaí, CDN nó cothromaitheoir ualaigh, d'fhéadfadh nach mbeadh ach a sheoladh sa lóg. Faightear fíorsheoladh an chuairteora ansin i réimse ar leith nó i logaí na seirbhíse roimhe.

Gan líne ordaithe: logaí sa phainéal nó ag an soláthraí óstála

Níl rochtain shliogáin ag gach oibreoir. Le hóstáil roinnte nó freastalaithe bainistithe, bíonn radharc logála agus íoslódáil de logaí Access agus Error ar fáil de ghnáth sna comhéadain bainistíochta. Íoslódáil na comhaid don tréimhse iomlán atá ar fáil agus stóráil go sábháilte iad. Fiafraigh de do sholáthraí óstála i scríbhinn cá fhad a choinnítear logaí agus an féidir staideanna níos sine a shábháil sula rachaidh siad in éag.

Tabhair aird ar chosaint sonraí anseo: bíonn seoltaí IP agus sonraí pearsanta eile go minic sna logaí. Stóráil na cóipeanna le rochtain chosanta, ná tabhair ar aghaidh iad ach do dhaoine a theastaíonn uathu chun an cás a shoiléiriú, agus socraigh cathain a scriosfar iad tar éis an teagmhas a chríochnú.

Access-Log a anailísiú: na fiosruithe is tábhachtaí

Ní léann na horduithe seo a leanas ach agus tá siad oiriúnach do Nginx agus Apache san fhormáid Combined. Cuardaíonn tú comhaid rothlaithe agus comhbhrúite le zgrep nó zcat.

LOG=/root/sicherung-logs-2026-10-25/nginx/access.log

# Iarratais rathúla ar chomhaid PHP, de réir minice
awk '$9 == 200 && $7 ~ /\.php/ {split($7,p,"?"); print p[1]}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Glaonna PHP i gcomhadlanna uaslódála, taisce nó íomhánna
grep -E '"(GET|POST) /[^ ]*(uploads|cache|images|tmp)/[^ ]*\.php' "$LOG"

# Iarratais POST de réir sprice agus seolta
awk '$6 == "\"POST" {print $1, $7}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Earráidí 5xx in aghaidh na huaire: d'fhéadfadh carnadh pointe a dhéanamh ar phróisis PHP a thuairteann
awk '$9 ~ /^5/ {print substr($4, 2, 14)}' "$LOG" | sort | uniq -c

# Logaí rothlaithe a chur san áireamh
zgrep -h ' 200 ' /var/log/nginx/access.log.*.gz | grep -c '\.php'

Sa chéad fhiosrúchán is spéisiúla ainmneacha comhad nach bhfuil aithne agat orthu nó nach mbaineann leis an bhfeidhmchlár. Cuir comhaid amhrasacha i gcomparáid leis an gcóras comhad: Cathain a cruthaíodh iad, cé leis iad, cad atá iontu? Tugann an treoir Webshells a aithint agus a bhaint leideanna faoi seo.

Sainiúlachtaí PHP2Shell

Le PHP2Shell tá na bearnaí i bpróiseáil iarratais PHP féin. Le mod_php léiríodh exploit sula ritheann cód an fheidhmchláir fiú. Is é sin le rá: is féidir le hiarratas ar leathanach go leor gnáth a bheith leordhóthanach. Sa Access-Log d'fhéadfadh iarratas den sórt sin a bheith neamhshuntasach, mar nach bhfuil inneachar chorp an iarratais ann.

Níl aon Indicators of Compromise deimhnithe foilsithe ann. Tabhair aird dá bhrí sin ar iompar agus ar chomhthéacsanna, mar shampla ón 17.10.2026, an chéad iarracht ionsaithe a breathnaíodh de réir tuairiscí meán:

• Carnadh earráidí 500 nó freagraí tobscortha ar ghnáthleathanaigh.
• Teachtaireachtaí faoi chuimhne ídithe nó oibrithe a críochnaíodh san Error-Log agus i logchomhad PHP-FPM.
• Comhaid PHP nua nó comhaid athraithe go gairid tar éis carnadh den sórt sin.
• Cronjobs nua, próisis nó naisc amach faoi úsáideoir an fhreastalaí gréasáin.

Ní fianaise iad aon cheann de na comharthaí seo ina n-aonar. Le chéile le rianta eile, cruthaíonn siad pictiúr, áfach, a fhreagraíonn an cheist faoi chomprometeacht nó a chuireann fiosrúchán níos doimhne i bhfeidhm. Gheobhaidh tú forbhreathnú ar na comharthaí ag An bhfuil briseadh isteach déanta orm cheana?.

Foinsí eile: Error-Log, PHP-FPM agus logaí córais

Ní thaispeánann an Access-Log ach cuid. Chun pictiúr iomlán a fháil, tarraing foinsí breise isteach:

# PHP-FPM agus freastalaí gréasáin san iris ó dháta ar aghaidh
journalctl -u 'php*-fpm*' --since "2026-10-17" --no-pager | tail -200

# Logálacha isteach ar an bhfreastalaí
last -Fa | head -40
grep -E 'Accepted|Failed' /var/log/auth.log | tail -100

# Tascanna sceidealaithe gach úsáideora a sheiceáil
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done

Is earráidí tipiciúla san anailís gan ach na logaí reatha a chuardach seachas na logaí rothlaithe freisin, an crios ama a fheiceáil mícheart agus torthaí aonair ó scanóirí uathoibrithe a mheas mar ionsaí rathúil. Chomh riosca céanna is ea an mhalairt: Access-Log neamhshuntasach a mheas mar chead dul ar aghaidh, cé nach bhfuil an Error-Log agus an córas comhad seiceáilte go fóill.

Tabhair faoi deara gach fionnachtain le huair, foinse agus breathnú in amlíne. Is í an amlíne seo níos déanaí bunús do chinntí, do thuairiscí d'údaráis nó d'árachóirí agus don tuarascáil dheiridh.

Conas a chabhraíonn PHP SOS go nithiúil?

• Sábhálaimid logaí agus comhaid ábhartha ar bhealach a fhanann intrasáidte le haghaidh seiceálacha níos déanaí.
• Anailísímid logaí Access, Error, PHP agus córais le chéile agus cruthaímid amlíne den teagmhas.
• Má tá leideanna ar chomprometeacht ann, glacaimid orainn an Incident Response le cuimsiú agus glanadh.
• Socraímid rothlú logaí agus coinneáil ionas go mbeidh na sonraí riachtanacha ann ag an gcéad teagmhas eile.

Ceisteanna coitianta

Foinsí

• TechTarget: PHP2Shell, 22M exposed servers at risk
• php.net: tuarascálacha slándála
• BSI IT-Grundschutz (bonnchosaint TF)