CentOS上识别PHP日志中的安全威胁
一 日志来源与关键信号
- 建议同时关注三类日志：PHP错误日志、Web服务器访问/错误日志、系统认证日志，并配合数据库日志进行交叉验证。下表给出常见威胁与对应日志中的信号：
| 日志类型 |
常见路径（CentOS） |
需要重点留意的信号 |
| PHP错误日志 |
由 php.ini 的 error_log 指定（如：/var/log/php_errors.log） |
Fatal error/Parse error 伴随可疑文件/路径；SQL 语句片段出现在错误信息中（疑似 SQL 注入）；open_basedir 违规、include 失败指向敏感文件（疑似目录遍历）；异常堆栈指向 eval()/assert() 等危险调用 |
| Apache 访问日志 |
/var/log/httpd/access_log |
高频 POST /login.php；访问不存在的敏感路径（如 /wp-admin、/phpmyadmin、.env、config.php.bak）；可疑 User-Agent（如 sqlmap、nikto、wget、curl）；异常 HTTP 4xx/5xx 爆发 |
| Apache 错误日志 |
/var/log/httpd/error_log |
PHP 错误与 SQL 注入/路径遍历 特征；脚本执行被拒绝；文件权限/包含错误指向 Web 目录外 |
| MySQL 通用查询日志 |
需开启（临时调试） |
来自 Web 的异常查询：UNION SELECT、OR 1=1、DROP TABLE、sleep() 等 |
| 系统认证日志 |
/var/log/secure |
大量失败 SSH 登录、可疑 IP 成功登录、sudo 滥用（与 Web 异常可能关联） |
上述路径与信号是定位 Web 攻击（暴力破解、扫描、注入、文件包含/上传、Webshell）的高价值线索，建议纳入日常巡检与告警规则。
二 命令行快速筛查命令
- 高频登录爆破（按 IP 聚合）
- grep “POST /login.php” /var/log/httpd/access_log | awk ‘{print $1}’ | sort | uniq -c | sort -nr
- 扫描器与可疑 UA
- grep -i “sqlmap|nikto|wget|curl|harvest” /var/log/httpd/access_log
- 敏感路径探测
- grep -E “wp-admin|wp-login|adminer|phpmyadmin|.env|.git|.bak” /var/log/httpd/access_log
- PHP 致命错误与解析错误
- grep -E “PHP (Fatal|Parse) error” /var/log/php_errors.log
- 目录遍历与包含错误特征
- grep -E “open_basedir restriction|failed to open stream: No such file or directory” /var/log/php_errors.log
- 实时跟踪错误日志
- tail -f /var/log/php_errors.log | grep -E “Fatal|Warning|Call Stack”
- 按时间段截取日志
- awk ‘/2025-11-30 10:00:00/,/2025-11-30 11:00:00/’ /var/log/httpd/access_log > /tmp/hour.log
这些命令可快速定位异常来源 IP、可疑请求路径、错误类型与发生时段，适合作为日常巡检与应急处置的“第一响应”。
三 模式与阈值示例
- 暴力破解：同一 IP 在 5 分钟 内对 /login.php 的 POST 请求超过 5 次 即触发告警/封禁。
- 敏感路径探测：任意 IP 在 1 小时 内访问 /wp-admin、/phpmyadmin、/.env、/.git、/*.bak 等超过 3 次 触发告警。
- 扫描器特征：出现 sqlmap、nikto、wget、curl 等 UA 或异常 404/403 爆发即告警。
- PHP 注入迹象：错误日志中出现 SQL 片段（如 UNION SELECT、OR 1=1、sleep(）或 Call Stack 指向用户输入处理位置。
- 文件包含/遍历：错误日志出现 open_basedir restriction 或 failed to open stream: No such file or directory，且路径包含 /etc/passwd、/var/www/…/config.php 等敏感目标。
- 异常错误激增：单位时间 Fatal/Parse error 数量较基线突增 3 倍 以上。
以上阈值可按业务规模与基线动态调整，优先从“高频+敏感路径+错误特征”组合入手，减少误报。
四 监控告警与日志治理
- 实时与报表
- 实时查看：tail -f /var/log/php_errors.log；结合 grep 过滤关键级别（如 Fatal）。
- 日报/周报：logwatch 汇总分析并邮件发送（配置输出方式与收件人）。
- 自动阻断
- fail2ban：监控 Apache/PHP-FPM 日志，匹配登录爆破与敏感路径探测，自动封禁 IP（配置 bantime、findtime、maxretry 与 action）。
- 集中化与可视化
- ELK Stack（Elasticsearch/Logstash/Kibana）：收集 PHP/Apache 日志，Grok 解析，构建错误趋势、来源 IP 分布与高频错误面板，并设置阈值告警。
- 日志轮转与保护
- logrotate 管理大小与保留周期，防止磁盘被占满；日志文件设置最小权限（如 640），仅授权用户可读写；必要时通过 rsyslog 将日志集中到远程服务器；启用 SELinux 限制对日志的非法访问。
五 加固与排查要点
- 降低攻击面
- 禁用危险函数（如 eval、exec、passthru、shell_exec）；使用 open_basedir 限制脚本目录；Web 服务以非 root 运行；为数据库使用最小权限账户与参数化查询；严格校验与过滤输入、输出编码防 XSS；文件上传限制类型/大小并隔离存储；保持 PHP/Web/组件 及时更新；启用 HTTPS。
- 联合排查思路
- 将 PHP 错误日志 与 Apache 访问/错误日志、/var/log/secure 交叉比对：例如发现 SQL 注入 错误时，回溯对应时间窗的 access_log 找出来源 IP/UA 与请求参数，再检查是否存在异常 MySQL 查询；对可疑 IP 进一步核查 /var/log/secure 是否伴随系统层入侵迹象。