如何分析 Nginx access.log 中的攻击行为

一、理解Nginx access.log日志结构

Nginx access.log默认格式包含以下核心字段（可通过log_format自定义）：

 示例日志条目
192.168.1.100 - - [15/Jul/2023:14:23:45 +0800] "GET /wp-admin.php HTTP/1.1" 404 162 "-" "Mozilla/5.0 (compatible; MSIE 6.0; Windows NT 5.1)"

关键字段说明：

• $remote_addr：客户端IP地址
• $request：HTTP请求方法、路径和协议
• $status：HTTP状态码
• $http_user_agent：客户端浏览器标识

二、常见攻击行为特征分析

1. 暴力破解攻击

特征表现：

 高频登录尝试
grep "POST /wp-login.php" access.log | awk '{print $1}' | sort | uniq -c | sort -nr

2. 目录遍历攻击

特征表现：

 检测../等特殊字符
grep "../" access.log | awk '{print $7}'

3. SQL注入尝试

特征表现：

 检测常见SQL关键词
grep -Ei "union.select|benchmark(|sleep(|information_schema" access.log

4. 扫描器活动

特征表现：

 识别常见扫描工具User-Agent
grep -Ei "(nikto|sqlmap|w3af|acunetix)" access.log

三、高级分析技术

1. 使用GoAccess可视化分析

goaccess access.log --log-format=COMBINED -a -o report.

2. 异常请求频率检测

 统计每分钟请求超过100次的IP
awk '{print $4,$1}' access.log | cut -d: -f2 | uniq -c | sort -nr | awk '$1 > 100'

3. 可疑地理位置分析

 使用GeoIP模块分析异常地区访问
zcat access.log..gz | awk '{print $1}' | sort | uniq | xargs -n1 geoiplookup

四、防御建议

• 配置fail2ban自动封禁恶意IP
• 启用Nginx的limit_req模块限制请求频率
• 定期更新Web应用和插件
• 设置log_format记录更多安全相关字段

五、日志分析工具推荐

通过系统化的日志分析，可以显著提升服务器安全性。建议至少每周进行一次全面日志审计，并建立自动化监控机制。