Debian Tomcat日志中如何识别攻击尝试

Debian Tomcat日志识别攻击尝试的实用指南

一 日志位置与关键文件

• 常见路径（按安装方式不同可能为**/var/log/tomcat*/或/opt/tomcat/logs/**）：
  • 运行与异常：catalina.out、localhost.log
  • 访问日志：localhost_access_log.*.txt（记录客户端IP、时间、方法、URL、状态码等）
  • 配置：/opt/tomcat/conf/server.xml（连接器、端口、AJP等）、/opt/tomcat/conf/logging.properties（日志级别与滚动）
• 建议先用以下命令快速确认文件与实时输出：
  • 实时查看：tail -f /var/log/tomcat/catalina.out*
  • 访问日志样例：head /var/log/tomcat/localhost_access_log..txt
  • 错误与告警：grep -iE “ERROR|WARN” /var/log/tomcat/catalina.out*

二 快速判别思路与高频信号

• 访问日志（localhost_access_log）异常模式
  • 高频404：目录/文件探测（如大量对**/admin/、/manager/、/wp-、/.git/**的访问）
  • 大量401/403：口令猜测、越权访问尝试
  • 同一来源短时高并发：疑似DoS/暴力扫描
  • 可疑路径与文件：如**/shell.jsp、/cmd.jsp、/uploads/xxx.php、/phpmyadmin/、/manager/html**等
  • 可疑参数与编码：含union select、select * from、’ or ‘1’='1、