📌 Команда дня: мониторинг атак через access.log в реальном времени

Отслеживайте подозрительные HTTP-запросы к серверу с фильтрацией по признакам атак:

tail -f /var/log/nginx/access.log | grep --color=always -iE "(\.\./|%00|<script|<iframe|onerror=|UNION|SELECT|INSERT|OR 1=1|wget|curl|base64)»

tail -f — непрерывный просмотр журнала.

grep -iE — поиск по регулярному выражению без учёта регистра.

--color=always — подсвечивает найденные шаблоны.

Расширенное выражение захватывает XSS, LFI, SQL-инъекции и команды в URL.

Используется для:

➖ Быстрое выявление SQLi, XSS, LFI и командных инъекций (например: UNION, ../, <script>, wget).

➖ Реакции на инциденты без сложных средств.

➖ Мониторинга публичных сервисов в продуктиве или песочнице.

💡 Советы:

— Для анализа по IP добавьте агрегацию:

awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head

— Хотите больше контекста? Используйте lnav или multitail для просмотра с выделением.

— Расширьте фильтр под свои векторы или используйте его в связке с fail2ban.

🐸 Библиотека хакера

#буст