360查看攻击日志

服务器报警那天，攻击我正蹲在机房啃三明治。日志手机弹出一串告警，攻击某台Web服务器CPU飙到98%，日志流量图几乎垂直向上。攻击不用猜，日志又被打了。攻击

回到工位第一件事就是日志打开360主机卫士的控制台。这套东西平时存在感不高，攻击真出事的日志时候，它的攻击攻击日志就是第一手现场记录。

日志入口藏在哪

很多人装了360安全卫士或者360主机卫士之后，日志压根不知道攻击日志在哪儿看。攻击Web端登录进去，日志左侧菜单栏找到「安全防护」或者「入侵检测」，攻击点进去有个「攻击日志」标签页。别在首页瞎找，首页只给你一个总览数字，什么“今日拦截12次”——12次是什么攻击、从哪来的、打的是哪个端口，全在日志详情里。

我习惯先按时间倒序排。最新的一条通常就是正在发生的。

一条日志里有什么

点开某条记录，信息量其实不小。攻击类型、源IP、目标端口、请求URL、时间戳，有的还带payload片段。比如我那天看到的一条：

攻击类型：SQL注入 | 源IP：45.xx.xx.102 | 目标URL：/api/login?user=1' OR '1'='1 | 时间：2024-11-07 14:23:17

payload直接写在URL里，连编码都懒得做。这种就是扫描器批量跑出来的，没什么技术含量，但架不住量大。往下翻几页，果然，同一个IP在五分钟内换了十几个路径，全是经典注入语句。

另一种常见的是CC攻击。日志里表现为同一IP高频请求同一个动态页面，间隔极短，User-Agent还经常是空的或者伪造的。360这边会标记成「CC攻击」或「异常高频访问」，直接给出拦截次数。

怎么从日志里读出有用的东西

光看单条没意义，得做聚合。我一般关注三个维度：

源IP分布。如果攻击IP集中在某几个C段，大概率是同一伙人。360的日志界面支持按IP筛选，点一下源IP就能看到这个IP的所有攻击记录。有一次我发现某个IP打了三百多次，全是弱口令爆破，目标端口22。SSH端口暴露在公网，不爆破你爆破谁。

攻击类型占比。SQL注入、XSS、文件包含、命令执行、扫描探测——哪种最多，说明对方在用什么工具。全是扫描探测的话，可能只是被全网扫描器扫到了，不算定向攻击。但如果出现命令执行或者webshell上传的尝试，那就得认真对待了。

时间规律。有些攻击集中在凌晨两三点，明显是自动化工具定时跑。有些则在工作时间密集出现，可能是竞争对手或者人工渗透测试。时间维度能帮你判断威胁等级。

日志之外的动作

看完日志别就关了。360的日志页面通常带一个「加入黑名单」的快捷按钮，直接把攻击IP封掉。但说实话，封单IP意义不大，对方换个代理就绕过了。更有效的做法是：把攻击特征提取出来，加到WAF规则里。比如那个SQL注入的payload，直接在WAF里加一条正则匹配OR '1'='1，比封IP管用得多。

还有一点，360的攻击日志可以导出。我习惯每周导一次CSV，丢进Excel做个透视表。时间长了能看出趋势——这周比上周攻击量涨了多少，新出现了哪些攻击类型。数据攒够了，甚至能预判下一波攻击大概什么时候来。

机房那台服务器最后查清楚了，是被一个境外的扫描器盯上了，倒没造成实际入侵。但如果没有攻击日志，我可能到现在还在排查是不是代码bug导致的CPU飙升。日志这东西，平时看着烦，出事的时候就是救命稻草。