Kif tevalwaw il-logs tas-server tal-web wara attakk: aqraw sewwa l-log tal-aċċess

Fil-qosor: Min irid jevalwa l-log tal-aċċess wara attakk l-ewwel jissalva l-logs mhux mibdula u mbagħad jaħdem biss b'kopji. Jinstabu talbiet bi stat 200 fuq fajls PHP mhux magħrufa, talbiet POST suspettużi, aċċessi għad-direttorji tal-upload u mudelli taż-żmien. Għal PHP2Shell ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati, għalhekk tgħodd l-istampa kumplessiva minn diversi sorsi tal-log.

L-ewwel issalvaw, imbagħad evalwaw

Il-fajls tal-log fuq il-biċċa l-kbira tas-servers jiġu rotati awtomatikament u mħassra wara ħin fiss. Wara attakk l-ewwel pass għalhekk huwa li jiġu salvati l-logs eżistenti qabel ma jisparixxu. Dan japplika wkoll jekk għadkom ma tafux żgur jekk ġara xi ħaġa. Dwar PHP2Shell l-istampa speċjalizzata tirrakkomanda li l-logs jinżammu mill-20/10/2026.

# Ikkupjaw il-logs bit-timestamps u żommu l-checksums
ZIEL=/root/sicherung-logs-$(date +%F)
mkdir -p "$ZIEL"
cp -a /var/log/nginx /var/log/apache2 /var/log/php* "$ZIEL"/ 2>/dev/null
cp -a /var/log/auth.log* /var/log/syslog* "$ZIEL"/ 2>/dev/null
find "$ZIEL" -type f -exec sha256sum {} + > "$ZIEL.sha256"

Poġġu l-kopja addizzjonalment fuq sistema oħra. Attakkant b'aċċess għas-server inkella jista' jbiddel il-logs aktar tard. Iċ-checksums aktar tard juru li l-kopja ma nbidlitx. Jekk hija meħtieġa kopja li tgħodd quddiem il-qorti, pereżempju għal rapport jew għall-assigurazzjoni, forensika tal-IT għandha tieħu f'idejha s-salvataġġ.

Fejn jinsabu l-logs u kif hija mibnija linja

Il-postijiet ta' ħażna jiddependu mid-distribuzzjoni u mill-interface ta' amministrazzjoni. Mogħdijiet tipiċi:

Fil-format Combined mifrux kull linja fiha l-indirizz tal-klijent, id-data u l-ħin, il-metodu u l-mogħdija tat-talba, il-kodiċi ta' stat, id-daqs tat-tweġiba f'bytes, ir-referer u l-user agent. Oqogħdu attenti għaż-żona tal-ħin fit-timestamp, speċjalment meta tqabblu logs ma' messaġġi f'UTC. Il-patches ta' PHP2Shell ġew ippubblikati, pereżempju, fil-21/10/2026 fis-14:00 UTC, jiġifieri fis-16:00 ta' ħin Ġermaniż.

Jekk il-websajt tagħkom tinsab wara proxy, CDN jew load balancer, fil-log jista' jidher biss l-indirizz tiegħu. L-indirizz veru tal-viżitatur jinstab allura f'qasam proprju jew fil-logs tas-servizz li jinsab quddiem.

Mingħajr linja tal-kmand: logs fil-panel jew għand il-hoster

Mhux kull operatur għandu aċċess għal shell. Fi shared hosting jew servers amministrati l-interfaces ta' amministrazzjoni ġeneralment joffru veduta tal-logs u download tal-logs tal-aċċess u tal-iżbalji. Niżżlu l-fajls għall-perjodu kollu disponibbli u żommuhom b'mod sikur. Staqsu lill-hoster tagħkom bil-miktub kemm żmien jinżammu l-logs u jekk stati eqdem jistgħu jiġu salvati qabel ma jiskadu.

Ħudu in kunsiderazzjoni hawnhekk il-protezzjoni tad-data: il-logs fihom indirizzi IP u spiss dettalji personali oħra. Aħżnu l-kopji b'aċċess protett, għadduhom biss lil persuni li jeħtiġuhom għall-iċċarar, u iffissaw meta jitħassru wara li jingħalaq l-inċident.

Evalwa l-log tal-aċċess: l-aktar mistoqsijiet importanti

Il-kmandi li ġejjin jaqraw biss u huma adattati għal Nginx u Apache fil-format Combined. Fajls rotati u kompressi tfittxuhom b'zgrep jew zcat.

LOG=/root/sicherung-logs-2026-10-25/nginx/access.log

# Talbiet b'suċċess fuq fajls PHP, skont il-frekwenza
awk '$9 == 200 && $7 ~ /\.php/ {split($7,p,"?"); print p[1]}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Sejħiet PHP f'direttorji tal-upload, tal-cache jew tal-immaġini
grep -E '"(GET|POST) /[^ ]*(uploads|cache|images|tmp)/[^ ]*\.php' "$LOG"

# Talbiet POST skont destinazzjoni u indirizz
awk '$6 == "\"POST" {print $1, $7}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Żbalji 5xx fis-siegħa: akkumulazzjonijiet jistgħu jindikaw proċessi ta' PHP li jiġġarrfu
awk '$9 ~ /^5/ {print substr($4, 2, 14)}' "$LOG" | sort | uniq -c

# Inkludu l-logs rotati
zgrep -h ' 200 ' /var/log/nginx/access.log.*.gz | grep -c '\.php'

Fl-ewwel mistoqsija jinteressaw speċjalment ismijiet ta' fajls li ma tafux jew li ma jappartjenux għall-applikazzjoni. Qabblu fajls suspettużi mas-sistema tal-fajls: meta nħolqu, lil min jappartjenu, x'hemm fihom? Tagħrif dwar dan jagħti l-gwida Kif tagħrfu u tneħħu webshells.

Partikolaritajiet ta' PHP2Shell

F'PHP2Shell il-vulnerabbiltajiet jinsabu fl-ipproċessar tat-talbiet ta' PHP innifsu. B'mod_php intwera exploit qabel ma jaħdem anke kodiċi tal-applikazzjoni. Dan ifisser: talba lejn paġna għal kollox normali tista' tkun biżżejjed. Fil-log tal-aċċess talba bħal din tista' tidher innoċenti, għax il-kontenut tal-ġisem tat-talba ma jinsabx hemmhekk.

M'hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. Oqogħdu għalhekk attenti għall-imġiba u għar-rabtiet, pereżempju mis-17/10/2026, l-ewwel tentattiv ta' attakk osservat skont rapporti tal-midja:

• Akkumulazzjonijiet ta' żbalji 500 jew ta' tweġibiet interrotti fuq paġni ordinarji.
• Messaġġi dwar memorja eżawrita jew workers mitmuma fil-log tal-iżbalji u f'dak ta' PHP-FPM.
• Fajls PHP ġodda jew fajls mibdula ftit wara akkumulazzjonijiet bħal dawn.
• Cronjobs, proċessi jew konnessjonijiet 'il barra ġodda taħt l-utent tas-server tal-web.

Ebda wieħed minn dawn is-sinjali waħdu mhu prova. Flimkien ma' traċċi oħra, madankollu, jagħtu stampa li twieġeb il-mistoqsija dwar kompromess jew tiġġustifika investigazzjoni aktar profonda. Ħarsa ġenerali tas-sinjali issibu taħt Diġà kompromessi?.

Sorsi oħra: log tal-iżbalji, PHP-FPM u protokolli tas-sistema

Il-log tal-aċċess juri biss parti. Għal stampa kompluta żidu sorsi oħra:

# PHP-FPM u s-server tal-web fil-journal minn data
journalctl -u 'php*-fpm*' --since "2026-10-17" --no-pager | tail -200

# Logins fuq is-server
last -Fa | head -40
grep -E 'Accepted|Failed' /var/log/auth.log | tail -100

# Ivverifikaw il-kompiti skedati tal-utenti kollha
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done

Żbalji tipiċi fl-evalwazzjoni huma li jitfittex biss il-log attwali minflok ukoll dawk rotati, li ż-żona tal-ħin tiġi injorata u li sejbiet individwali ta' scanners awtomatizzati jitqiesu attakk b'suċċess. Bl-istess mod riskjuż hu l-kuntrarju: li log tal-aċċess li ma jaqbadx l-għajn jitqies bħala twissija li għaddiet, għalkemm il-log tal-iżbalji u s-sistema tal-fajls għadhom ma ġewx ivverifikati.

Innutaw kull sejba bil-ħin, is-sors u l-osservazzjoni fi skeda taż-żmien. Din l-iskeda taż-żmien hija aktar tard il-bażi għal deċiżjonijiet, għal notifiki lill-awtoritajiet jew lill-assiguraturi u għar-rapport finali.

Kif tgħin PHP SOS b'mod konkret?

• Insalvaw il-logs u l-fajls rilevanti b'mod li jibqgħu traċċabbli għal verifiki aktar tard.
• Nevalwaw flimkien il-logs tal-aċċess, tal-iżbalji, ta' PHP u tas-sistema u nistabbilixxu skeda taż-żmien tal-inċident.
• B'indikazzjonijiet ta' kompromess nieħdu f'idejna l-Incident Response bil-limitazzjoni u t-tindif.
• Nistabbilixxu r-rotazzjoni u ż-żamma tal-logs b'mod li fl-inċident li jmiss id-data meħtieġa tkun disponibbli.

Mistoqsijiet frekwenti

Sorsi

• TechTarget: PHP2Shell, 22M exposed servers at risk
• php.net: Avviżi tas-sigurtà
• BSI IT-Grundschutz