CentOS Apache日志中的安全问题与排查要点
一 日志暴露与信息泄露
- 风险点：默认或详细的访问/错误日志会记录客户端IP、请求方法、URI、User-Agent、响应状态码、错误堆栈等，若未做脱敏或访问控制，可能泄露目录结构、后端技术栈、脚本路径、内部错误细节，为后续攻击提供情报。
- 排查要点：
- 检查是否对外可访问日志目录（如通过Web直接访问**/var/log/），必要时将日志移出Web根目录并设置仅root/adm可读**。
- 在错误页面与响应头中避免输出完整堆栈/路径/版本，并关闭或精简ServerSignature/ServerTokens等版本暴露项。
- 对日志中的凭据、令牌、邮箱、手机号等敏感字段做脱敏后再集中存储或转发。
- 启用HTTPS/TLS并在传输链路上使用加密与校验，防止日志在传输中被窃听或篡改。
二 恶意扫描与探测行为
- 典型特征：
- 大量针对robots.txt的请求，常见于站点镜像或爬虫前期探测。
- 对**/cgi-bin、/scripts等可执行目录的反复404**或异常访问，提示漏洞扫描。
- 访问敏感文件（如**/etc/passwd、/root、.env、config.php、backup.zip**）的异常请求。
- 来自单一IP的高频请求/登录失败（如密集POST /login），疑似暴力破解。
- User-Agent/Referer中出现Shodan、ZoomEye、Censys、FOFA、IVRE等资产测绘平台特征。
- 快速排查示例（以CentOS常见路径为例）：
- 统计Top来源IP：
awk '{print $1}' /var/log/httpd/access_log | sort | uniq -c | sort -nr | head
- 查找对敏感文件的访问：
grep -Ei '\.(env|sql|bak|zip|rar|tar|gz|conf|config|passwd|shadow)$' /var/log/httpd/access_log
- 发现扫描器特征：
grep -i -E 'shodan|zoomeye|censys|fofa|ivre' /var/log/httpd/access_log
- 识别高频404（潜在目录爆破）：
awk '$9==404 {print $1}' /var/log/httpd/access_log | sort | uniq -c | sort -nr | head
三 异常状态码与攻击迹象
- 重点关注的响应码与含义：
- 400/404 大量出现：路径遍历、扫描探测、资源不存在。
- 403 集中出现：权限配置错误、.htaccess限制或SELinux策略阻断。
- 500 伴随脚本错误：可能暴露代码路径/语法错误，需尽快修复。
- 301/302 异常跳转：可疑重定向或开放重定向风险。
- 错误日志线索：
- PHP Fatal error/Parse error：暴露源码路径与变量，需修复并降低错误回显。
- Permission denied / client denied by server configuration：检查文件权限与SELinux布尔/上下文。
- Connection reset by peer / SSL handshake failure：可能遭遇拒绝服务或TLS探测。
四 日志完整性与可用性风险
- 主要问题：
- 日志文件权限过宽（如全局可写）导致被篡改或删除。
- 日志轮转/归档缺失致磁盘被占满，进而引发日志写入失败、服务异常或审计断档。
- 本地孤立存储，缺少集中化与备份，存在单点丢失风险。
- 加固建议：
- 设置最小权限：如日志目录750、日志文件640，属主root:adm/apache，禁止Web服务直写日志目录。
- 配置logrotate按日轮转、压缩与保留策略（如保留7–30天），并在轮转后通知进程重新打开日志句柄。
- 使用rsyslog将日志可靠传输（TCP 514）到远程日志服务器，或接入ELK/Loki做集中化存储与告警。
- 对敏感日志启用加密存储/传输与访问控制，满足保留周期与审计要求。
五 处置与加固清单
- 立即处置：
- 对识别出的恶意IP，结合firewalld/iptables或云安全组进行封禁；对持续攻击源考虑速率限制/地理封锁。
- 临时关闭不必要模块/目录（如目录浏览），对可疑URL路径返回通用错误页。
- 加固与预防：
- 部署**WAF（如ModSecurity）**并结合自定义规则拦截常见攻击（SQLi、XSS、文件包含、命令注入）。
- 持续更新Apache/模块/CMS/插件，修复已知漏洞；对外最小化暴露信息（关闭版本暴露、错误回显）。
- 建立基线告警（如单IP短时间大量404/403/500、敏感文件访问、测绘平台UA、异常响应大小），并纳入SOC流程。
