日志分析——被入侵的 WordPress

最新推荐文章于 2025-04-11 16:02:11 发布

原创

最新推荐文章于 2025-04-11 16:02:11 发布 · 1k 阅读

9 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #web安全 #网络安全 #安全

免责声明：请勿使用本文中提到的技术进行非法测试或行为。使用本文中提供的信息或工具所造成的任何后果和损失由使用者自行承担，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

1.1 介绍

WordPress 网站已经被盗用，但目前不确定是怎么回事。假设是已安装的插件容易受到远程代码执行漏洞的攻击，该漏洞使攻击者能够访问服务器的底层操作系统。
在这里插入图片描述

1.2 分析

如果攻击者攻击 Web 应用程序，可能会尝试登录管理面板。如果没有凭据，可能会尝试暴力破解帐户。在 access.log 文件中会出现大量登录失败事件。所以首先统计每个 IP 的身份验证失败次数。

cat access.log | grep "403" | cut -d " " -f 1 | sort | uniq -c | sort -nr   //使用cat输出日志内容，并通过grep "403" 筛选出所有返回403错误的请求行;使用cut -d " " -f 1提取每个请求的 IP 地址（假设IP地址是日志的第一个字段）;使用sort对IP地址进行排序，确保相同的 IP 地址相邻;