黑客還可以用網頁漏洞稽核軟件：Whisker（網址：http://www.wiretrip.net/），來偵查網頁服務器有沒有安全后門（主要是檢查有沒有cgi-bin程序，這種程序會讓系統產生安全漏洞）。以下是IIS和Apache網頁服務器在執行Whisker后產生的部分記錄文件。

　　IIS：

　　13:17:56 11.1.1.50 GET /SiteServer/Publishing/viewcode.asp 404

　　13:17:56 11.1.1.50 GET /msadc/samples/adctest.asp 200

　　13:17:56 11.1.1.50 GET /advworks/equipment/catalog_type.asp 404

　　13:17:56 11.1.1.50 GET /iisadmpwd/aexp4b.htr 200

　　13:17:56 11.1.1.50 HEAD /scripts/samples/details.idc 200

　　13:17:56 11.1.1.50 GET /scripts/samples/details.idc 200

　　13:17:56 11.1.1.50 HEAD /scripts/samples/ctguestb.idc 200

　　13:17:56 11.1.1.50 GET /scripts/samples/ctguestb.idc 200

　　13:17:56 11.1.1.50 HEAD /scripts/tools/newdsn.exe 404

　　13:17:56 11.1.1.50 HEAD /msadc/msadcs.dll 200

　　13:17:56 11.1.1.50 GET /scripts/iisadmin/bdir.htr 200

　　13:17:56 11.1.1.50 HEAD /carbo.dll 404

　　13:17:56 11.1.1.50 HEAD /scripts/proxy/ 403

　　13:17:56 11.1.1.50 HEAD /scripts/proxy/w3proxy.dll 500

　　13:17:56 11.1.1.50 GET /scripts/proxy/w3proxy.dll 500

　　Apache：

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfide/Administrator/startstop.html HTTP/1.0" 404 289

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273

　　11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0

　　11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404 0

　　大家要偵測這類攻擊的關鍵，就在于從單一IP地址發出大量的404 HTTP狀態代碼。只要注意到這類信息，就可以分析對方要求的資源；于是它們就會拼命要求提供 cgi-bin scripts（Apache 服務器的 cgi-bin 目錄；IIS服務器的 scripts目錄）。

　　小結

　　網頁如果被人探訪過，總會在記錄文件留下什么線索。如果網頁管理員警覺性夠高，應該會把分析記錄文件作為追查線索，并且在檢查后發現網站真的有漏洞時，就能預測會有黑客攻擊網站。

　　接下來我要向大家示范兩種常見的網頁服務器攻擊方式，分析服務器在受到攻擊后黑客在記錄文件中痕跡。

　　（1）MDAC攻擊

　　MDAC攻擊法可以讓網頁的客戶端在IIS網頁服務器上執行命令。如果有人開始攻擊IIS服務器，記錄文件就會記下客戶端曾經呼叫msadcs.dll文檔：

　　17:48:49 12.1.2.8 GET /msadc/msadcs.dll 200

　　17:48:51 12.1.2.8 POST /msadc/msadcs.dll 200

　　（2）利用原始碼漏洞

　　第二種攻擊方式也很普遍，就是會影響ASP和Java網頁的暴露原始碼漏洞。 最晚被發現的安全漏洞是 +.htr 臭蟲，這個bug會顯示ASP原始碼。 如果有人利用這個漏洞攻擊，就會在IIS的記錄文件里面留下這些線索：

　　17:50:13 11.1.2.80 GET /default.asp+.htr 200

　　網頁常會只讓有權限的使用者進入。接下來我們要讓各位看 Apache的access_log記錄文件會在登錄失敗時留下什么線索：

　　12.1.2.8 - user [08/Mar/2001:18:58:29 -0700] "GET /private/ HTTP/1.0" 401 462

　　注：第三欄里面的使用者名稱是「user」。還有要注意HTTP的狀態代號是401，代表非法存取。