黑客還可以用網(wǎng)頁(yè)漏洞稽核軟件：Whisker（網(wǎng)址：http://www.wiretrip.net/），來(lái)偵查網(wǎng)頁(yè)服務(wù)器有沒(méi)有安全后門（主要是檢查有沒(méi)有cgi-bin程序，這種程序會(huì)讓系統(tǒng)產(chǎn)生安全漏洞）。以下是IIS和Apache網(wǎng)頁(yè)服務(wù)器在執(zhí)行Whisker后產(chǎn)生的部分記錄文件。

　　IIS：

　　13:17:56 11.1.1.50 GET /SiteServer/Publishing/viewcode.asp 404

　　13:17:56 11.1.1.50 GET /msadc/samples/adctest.asp 200

　　13:17:56 11.1.1.50 GET /advworks/equipment/catalog_type.asp 404

　　13:17:56 11.1.1.50 GET /iisadmpwd/aexp4b.htr 200

　　13:17:56 11.1.1.50 HEAD /scripts/samples/details.idc 200

　　13:17:56 11.1.1.50 GET /scripts/samples/details.idc 200

　　13:17:56 11.1.1.50 HEAD /scripts/samples/ctguestb.idc 200

　　13:17:56 11.1.1.50 GET /scripts/samples/ctguestb.idc 200

　　13:17:56 11.1.1.50 HEAD /scripts/tools/newdsn.exe 404

　　13:17:56 11.1.1.50 HEAD /msadc/msadcs.dll 200

　　13:17:56 11.1.1.50 GET /scripts/iisadmin/bdir.htr 200

　　13:17:56 11.1.1.50 HEAD /carbo.dll 404

　　13:17:56 11.1.1.50 HEAD /scripts/proxy/ 403

　　13:17:56 11.1.1.50 HEAD /scripts/proxy/w3proxy.dll 500

　　13:17:56 11.1.1.50 GET /scripts/proxy/w3proxy.dll 500

　　Apache：

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404 0

　　大家要偵測(cè)這類攻擊的關(guān)鍵，就在于從單一IP地址發(fā)出大量的404 HTTP狀態(tài)代碼。只要注意到這類信息，就可以分析對(duì)方要求的資源；于是它們就會(huì)拼命要求提供 cgi-bin scripts（Apache 服務(wù)器的 cgi-bin 目錄；IIS服務(wù)器的 scripts目錄）。

　　小結(jié)

　　網(wǎng)頁(yè)如果被人探訪過(guò)，總會(huì)在記錄文件留下什么線索。如果網(wǎng)頁(yè)管理員警覺(jué)性夠高，應(yīng)該會(huì)把分析記錄文件作為追查線索，并且在檢查后發(fā)現(xiàn)網(wǎng)站真的有漏洞時(shí)，就能預(yù)測(cè)會(huì)有黑客攻擊網(wǎng)站。

　　接下來(lái)我要向大家示范兩種常見(jiàn)的網(wǎng)頁(yè)服務(wù)器攻擊方式，分析服務(wù)器在受到攻擊后黑客在記錄文件中痕跡。

　　（1）MDAC攻擊

　　MDAC攻擊法可以讓網(wǎng)頁(yè)的客戶端在IIS網(wǎng)頁(yè)服務(wù)器上執(zhí)行命令。如果有人開(kāi)始攻擊IIS服務(wù)器，記錄文件就會(huì)記下客戶端曾經(jīng)呼叫msadcs.dll文檔：

　　17:48:49 12.1.2.8 GET /msadc/msadcs.dll 200

　　17:48:51 12.1.2.8 POST /msadc/msadcs.dll 200

　　（2）利用原始碼漏洞

　　第二種攻擊方式也很普遍，就是會(huì)影響ASP和Java網(wǎng)頁(yè)的暴露原始碼漏洞。 最晚被發(fā)現(xiàn)的安全漏洞是 +.htr 臭蟲(chóng)，這個(gè)bug會(huì)顯示ASP原始碼。 如果有人利用這個(gè)漏洞攻擊，就會(huì)在IIS的記錄文件里面留下這些線索：

　　17:50:13 11.1.2.80 GET /default.asp+.htr 200

　　網(wǎng)頁(yè)常會(huì)只讓有權(quán)限的使用者進(jìn)入。接下來(lái)我們要讓各位看 Apache的access_log記錄文件會(huì)在登錄失敗時(shí)留下什么線索：

　　12.1.2.8 - user [08/Mar/2001:18:58:29 -0700] "GET /private/ HTTP/1.0" 401 462

　　注：第三欄里面的使用者名稱是「user」。還有要注意HTTP的狀態(tài)代號(hào)是401，代表非法存取。