本指南整合了Linux安全日志异常痕迹分析、Web恶意文件上传溯源与异常访问行为攻击链路绘制三项核心技能，适用于企业安全管理员在发现 Web 服务器可疑入侵后，进行系统化取证、溯源、绘制攻击链并输出处置报告。第一阶段：准备工作（环境检查与工具就绪）目标：确认分析环境可用、日志文件完整、权限充足。步骤操作内容验证命令/截图要求1.1以 root 或 sudo 权限登录 Linux 服务器，确认审计服务运行中systemctl status rsyslog auditd1.2检查关键日志文件是否存在且非空ls -lh /var/log/secure /var/log/messages /var/log/audit/audit.log /var/log/httpd/access.log1.3验证常用分析工具可用（grep, awk, sed, journalctl, ausearch, find, md5sum）which grep awk sed journalctl ausearch find md5sum1.4（可选）将 Web 日志复制到工作站，便于使用图形化工具分析scp /var/log/httpd/access.log user@workstation:/tmp/截图要点：终端显示日志文件大小不为0，工具路径均存在。第二阶段：Linux 系统层安全日志异常分析2.1 SSH 登录暴力破解与异常登录分析命令：# 查看所有失败登录尝试（暴力破解痕迹）grep"Failed password"/var/log/secure# 查看失败登录汇总（lastb 读取 /var/log/btmp）sudolastb|head-20# 查看成功登录记录，重点排查异常时间或陌生 IPgrep"Accepted"/var/log/secure分析要点：统计同一 IP 的失败尝试次数，若短时间内超过 10 次即属暴力破解。若发现攻击 IP 同时有成功登录记录（如Accepted password for root from x.x.x.x），判定为密码被破解，已遭未授权访问。关注非常规时间段（凌晨）的登录成功。2.2 Sudo 权限提升与认证失败事件命令：# 查看 sudo 使用记录（包括成功和失败）grep"sudo"/var/log/secure# 查看 PAM 层认证失败（辅助确认攻击细节）grep"authentication failure"/var/log/messages# 查看审计日志中的会话开启（含来源 IP 和账户）grep"session opened"/var/log/audit/audit.log# 若不存在则用 ausearchausearch-mUSER_LOGIN# 需要 root 权限分析要点：检查是否有非授权用户尝试执行sudo（如www-data不在 sudoers 中）。注意多次密码错误提示，可能是提权爆破。会话开启记录中的addr字段，若与攻击 IP 一致，则确认攻击者已建立交互会话。2.3 SSH 服务整体异常连接与无效用户枚举
