# Kif tevalwaw il-logs tas-server tal-web wara attakk: aqraw sewwa l-log tal-aċċess

> Evalwa l-log tal-aċċess wara attakk: issalvaw il-logs l-ewwel, sibu t-traċċi tipiċi, uża kmandi għal Apache u Nginx u l-partikolaritajiet ta' PHP2Shell.

Sors: https://phpsos.de/mt/ratgeber/logfiles-auswerten/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Min irid jevalwa l-log tal-aċċess wara attakk l-ewwel jissalva l-logs mhux mibdula u mbagħad jaħdem biss b'kopji. Jinstabu talbiet bi stat 200 fuq fajls PHP mhux magħrufa, talbiet POST suspettużi, aċċessi għad-direttorji tal-upload u mudelli taż-żmien. Għal PHP2Shell ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati, għalhekk tgħodd l-istampa kumplessiva minn diversi sorsi tal-log.

## L-ewwel issalvaw, imbagħad evalwaw

Il-fajls tal-log fuq il-biċċa l-kbira tas-servers jiġu rotati awtomatikament u mħassra wara ħin fiss. Wara attakk l-ewwel pass għalhekk huwa li jiġu salvati l-logs eżistenti qabel ma jisparixxu. Dan japplika wkoll jekk għadkom ma tafux żgur jekk ġara xi ħaġa. Dwar PHP2Shell l-istampa speċjalizzata tirrakkomanda li l-logs jinżammu mill-20/10/2026.

```bash
# Ikkupjaw il-logs bit-timestamps u żommu l-checksums
ZIEL=/root/sicherung-logs-$(date +%F)
mkdir -p "$ZIEL"
cp -a /var/log/nginx /var/log/apache2 /var/log/php* "$ZIEL"/ 2>/dev/null
cp -a /var/log/auth.log* /var/log/syslog* "$ZIEL"/ 2>/dev/null
find "$ZIEL" -type f -exec sha256sum {} + > "$ZIEL.sha256"
```

Poġġu l-kopja addizzjonalment fuq sistema oħra. Attakkant b'aċċess għas-server inkella jista' jbiddel il-logs aktar tard. Iċ-checksums aktar tard juru li l-kopja ma nbidlitx. Jekk hija meħtieġa kopja li tgħodd quddiem il-qorti, pereżempju għal rapport jew għall-assigurazzjoni, [forensika tal-IT](https://phpsos.de/mt/leistungen/it-forensik/) għandha tieħu f'idejha s-salvataġġ.

> **Importanti:**
> Ivverifikaw ir-rotazzjoni tal-logs (`/etc/logrotate.d/`) u twalu temporanjament iż-żamma, biex waqt l-analiżi ma jitħassrux fajls oħra.

## Fejn jinsabu l-logs u kif hija mibnija linja

Il-postijiet ta' ħażna jiddependu mid-distribuzzjoni u mill-interface ta' amministrazzjoni. Mogħdijiet tipiċi:

| Sistema | Log tal-aċċess u tal-iżbalji |
|---|---|
| Debian, Ubuntu b'Apache | `/var/log/apache2/` |
| RHEL, AlmaLinux, Rocky b'Apache | `/var/log/httpd/` |
| Nginx | `/var/log/nginx/` |
| Plesk | `/var/www/vhosts/system/<domain>/logs/` |
| PHP-FPM | `/var/log/php*-fpm.log` jew fil-journal |

Fil-format Combined mifrux kull linja fiha l-indirizz tal-klijent, id-data u l-ħin, il-metodu u l-mogħdija tat-talba, il-kodiċi ta' stat, id-daqs tat-tweġiba f'bytes, ir-referer u l-user agent. Oqogħdu attenti għaż-żona tal-ħin fit-timestamp, speċjalment meta tqabblu logs ma' messaġġi f'UTC. Il-patches ta' PHP2Shell ġew ippubblikati, pereżempju, fil-21/10/2026 fis-14:00 UTC, jiġifieri fis-16:00 ta' ħin Ġermaniż.

Jekk il-websajt tagħkom tinsab wara proxy, CDN jew load balancer, fil-log jista' jidher biss l-indirizz tiegħu. L-indirizz veru tal-viżitatur jinstab allura f'qasam proprju jew fil-logs tas-servizz li jinsab quddiem.

### Mingħajr linja tal-kmand: logs fil-panel jew għand il-hoster

Mhux kull operatur għandu aċċess għal shell. Fi shared hosting jew servers amministrati l-interfaces ta' amministrazzjoni ġeneralment joffru veduta tal-logs u download tal-logs tal-aċċess u tal-iżbalji. Niżżlu l-fajls għall-perjodu kollu disponibbli u żommuhom b'mod sikur. Staqsu lill-hoster tagħkom bil-miktub kemm żmien jinżammu l-logs u jekk stati eqdem jistgħu jiġu salvati qabel ma jiskadu.

Ħudu in kunsiderazzjoni hawnhekk il-protezzjoni tad-data: il-logs fihom indirizzi IP u spiss dettalji personali oħra. Aħżnu l-kopji b'aċċess protett, għadduhom biss lil persuni li jeħtiġuhom għall-iċċarar, u iffissaw meta jitħassru wara li jingħalaq l-inċident.

## Evalwa l-log tal-aċċess: l-aktar mistoqsijiet importanti

Il-kmandi li ġejjin jaqraw biss u huma adattati għal Nginx u Apache fil-format Combined. Fajls rotati u kompressi tfittxuhom b'`zgrep` jew `zcat`.

```bash
LOG=/root/sicherung-logs-2026-10-25/nginx/access.log

# Talbiet b'suċċess fuq fajls PHP, skont il-frekwenza
awk '$9 == 200 && $7 ~ /\.php/ {split($7,p,"?"); print p[1]}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Sejħiet PHP f'direttorji tal-upload, tal-cache jew tal-immaġini
grep -E '"(GET|POST) /[^ ]*(uploads|cache|images|tmp)/[^ ]*\.php' "$LOG"

# Talbiet POST skont destinazzjoni u indirizz
awk '$6 == "\"POST" {print $1, $7}' "$LOG" | sort | uniq -c | sort -rn | head -40

# Żbalji 5xx fis-siegħa: akkumulazzjonijiet jistgħu jindikaw proċessi ta' PHP li jiġġarrfu
awk '$9 ~ /^5/ {print substr($4, 2, 14)}' "$LOG" | sort | uniq -c

# Inkludu l-logs rotati
zgrep -h ' 200 ' /var/log/nginx/access.log.*.gz | grep -c '\.php'
```

Fl-ewwel mistoqsija jinteressaw speċjalment ismijiet ta' fajls li ma tafux jew li ma jappartjenux għall-applikazzjoni. Qabblu fajls suspettużi mas-sistema tal-fajls: meta nħolqu, lil min jappartjenu, x'hemm fihom? Tagħrif dwar dan jagħti l-gwida [Kif tagħrfu u tneħħu webshells](https://phpsos.de/mt/ratgeber/webshell-erkennen/).

## Partikolaritajiet ta' PHP2Shell

F'PHP2Shell il-vulnerabbiltajiet jinsabu fl-ipproċessar tat-talbiet ta' PHP innifsu. B'mod_php intwera exploit qabel ma jaħdem anke kodiċi tal-applikazzjoni. Dan ifisser: talba lejn paġna għal kollox normali tista' tkun biżżejjed. Fil-log tal-aċċess talba bħal din tista' tidher innoċenti, għax il-kontenut tal-ġisem tat-talba ma jinsabx hemmhekk.

M'hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. Oqogħdu għalhekk attenti għall-imġiba u għar-rabtiet, pereżempju mis-17/10/2026, l-ewwel tentattiv ta' attakk osservat skont rapporti tal-midja:

- Akkumulazzjonijiet ta' żbalji 500 jew ta' tweġibiet interrotti fuq paġni ordinarji.
- Messaġġi dwar memorja eżawrita jew workers mitmuma fil-log tal-iżbalji u f'dak ta' PHP-FPM.
- Fajls PHP ġodda jew fajls mibdula ftit wara akkumulazzjonijiet bħal dawn.
- Cronjobs, proċessi jew konnessjonijiet 'il barra ġodda taħt l-utent tas-server tal-web.

Ebda wieħed minn dawn is-sinjali waħdu mhu prova. Flimkien ma' traċċi oħra, madankollu, jagħtu stampa li twieġeb il-mistoqsija dwar kompromess jew tiġġustifika investigazzjoni aktar profonda. Ħarsa ġenerali tas-sinjali issibu taħt [Diġà kompromessi?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## Sorsi oħra: log tal-iżbalji, PHP-FPM u protokolli tas-sistema

Il-log tal-aċċess juri biss parti. Għal stampa kompluta żidu sorsi oħra:

```bash
# PHP-FPM u s-server tal-web fil-journal minn data
journalctl -u 'php*-fpm*' --since "2026-10-17" --no-pager | tail -200

# Logins fuq is-server
last -Fa | head -40
grep -E 'Accepted|Failed' /var/log/auth.log | tail -100

# Ivverifikaw il-kompiti skedati tal-utenti kollha
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
```

Żbalji tipiċi fl-evalwazzjoni huma li jitfittex biss il-log attwali minflok ukoll dawk rotati, li ż-żona tal-ħin tiġi injorata u li sejbiet individwali ta' scanners awtomatizzati jitqiesu attakk b'suċċess. Bl-istess mod riskjuż hu l-kuntrarju: li log tal-aċċess li ma jaqbadx l-għajn jitqies bħala twissija li għaddiet, għalkemm il-log tal-iżbalji u s-sistema tal-fajls għadhom ma ġewx ivverifikati.

Innutaw kull sejba bil-ħin, is-sors u l-osservazzjoni fi skeda taż-żmien. Din l-iskeda taż-żmien hija aktar tard il-bażi għal deċiżjonijiet, għal notifiki lill-awtoritajiet jew lill-assiguraturi u għar-rapport finali.

## Kif tgħin PHP SOS b'mod konkret?

- Insalvaw il-logs u l-fajls rilevanti b'mod li jibqgħu traċċabbli għal verifiki aktar tard.
- Nevalwaw flimkien il-logs tal-aċċess, tal-iżbalji, ta' PHP u tas-sistema u nistabbilixxu skeda taż-żmien tal-inċident.
- B'indikazzjonijiet ta' kompromess nieħdu f'idejna l-[Incident Response](https://phpsos.de/mt/leistungen/incident-response/) bil-limitazzjoni u t-tindif.
- Nistabbilixxu r-rotazzjoni u ż-żamma tal-logs b'mod li fl-inċident li jmiss id-data meħtieġa tkun disponibbli.


## Mistoqsijiet frekwenti

**Kemm żmien għandi nżomm il-logs tas-server tal-web?**  
Safejn jippermetti l-kunċett tagħkom ta' protezzjoni tad-data u safejn l-analiżi hija sensata. Dwar PHP2Shell, l-istampa speċjalizzata tirrakkomanda li l-logs jinżammu mill-20/10/2026. Ivverifikaw ir-rotazzjoni tal-logs, biex fajls eqdem ma jitħassrux awtomatikament.

**Il-log tal-aċċess juri jekk attakk irnexxiex?**  
Mhux waħdu. Juri talbiet, kodiċijiet ta' stat u daqsijiet tat-tweġiba, imma mhux liema kodiċi ġie eżegwit fuq is-server. Biss flimkien mal-log tal-iżbalji, il-log ta' PHP-FPM, il-bidliet fil-fajls u l-protokolli tas-sistema tinħoloq stampa affidabbli.

**Nista' ngħaddi indirizzi IP mil-logs lil terzi?**  
L-indirizzi IP ġeneralment jitqiesu data personali. Għall-iċċarar ta' inċident u għal rapporti kriminali jeżistu bażijiet, imma t-trażmissjoni għandha tiġi miftehma mal-uffiċjal tal-protezzjoni tad-data.

**Għaliex nara ħafna attakki fil-log għalkemm ma ġara xejn?**  
Servers pubbliċi jiġu skennjati kontinwament b'mod awtomatizzat. Il-biċċa l-kbira ta' dawn it-talbiet jispiċċaw fix-xejn bi 404 jew 403. Interessanti huma fuq kollox talbiet bi stat 200 fuq fajls mhux magħrufa u mudelli li jikkoinċidu fiż-żmien ma' traċċi oħra.

## Sorsi

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)