mcpField
A
analyzing-web-server-logs-for-intrusion

analyzing-web-server-logs-for-intrusion

github.com/mukul975安全35.2k411 次安装8 周前更新
代码仓库

关于 analyzing-web-server-logs-for-intrusion

用于分析 Apache 和 Nginx 访问日志、排查入侵迹象的安全分析技能。它指导安全分析人员解析请求、应用检测规则、结合 GeoIP 丰富发现，并生成优先级报告。

主要功能

  1. 01解析 Apache 和 Nginx 日志
  2. 02检测 SQL 注入与路径遍历
  3. 03检测扫描器与暴力破解
  4. 04GeoIP 数据补充
  5. 05生成优先级 JSON 报告

适用场景

  1. 01调查疑似 Web 服务器入侵
  2. 02构建基于日志的检测规则
  3. 03搜寻扫描器和暴力破解活动

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-web-server-logs-for-intrusion

安装后在 Claude Code 中输入/analyzing-web-server-logs-for-intrusion确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 Web 服务器日志以检测入侵

适用场景

  • 调查需要分析 Web 服务器日志以检测入侵的安全事件时
  • 为此领域构建检测规则或威胁搜寻查询时
  • SOC 分析师需要此类分析的结构化流程时
  • 验证针对相关攻击技术的安全监控覆盖情况时

前置条件

  • 熟悉安全运营概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 已获得任何测试活动的适当授权

操作说明

  1. 安装依赖项：pip install geoip2 user-agents
  2. 收集采用 Combined Log Format（Apache）或 Nginx 默认格式的 Web 服务器访问日志。
  3. 解析每条日志记录，提取：IP、时间戳、方法、URI、状态码、响应大小、用户代理、引荐来源。
  4. 应用检测规则：
    • SQL 注入：UNION SELECT、OR 1=1、' OR '、十六进制编码模式
    • LFI/路径遍历：../、/etc/passwd、/proc/self、php://filter
    • XSS：<script>、javascript:、onerror=、onload=
    • 扫描器特征：nikto、sqlmap、dirbuster、gobuster、wfuzz 用户代理
    • 暴力破解：同一 IP 在 5 分钟内向登录端点发送超过 50 个 POST 请求
  5. 使用 GeoIP 数据补充信息，并生成按优先级排列的调查结果报告。
python scripts/agent.py --log-file /var/log/nginx/access.log --geoip-db GeoLite2-City.mmdb --output web_intrusion_report.json

示例

检测 URI 中的 SQL 注入
192.168.1.100 - - [15/Jan/2024:10:30:45 +0000] "GET /products?id=1' UNION SELECT username,password FROM users-- HTTP/1.1" 200 4532
检测扫描器用户代理
Nikto/2.1.6, sqlmap/1.7, DirBuster-1.0-RC1, gobuster/3.1.0

评论

支持 Markdown