本文目录一览：
- 1、如何在操作系统日志，数据库日志，web服务器日志中提取入侵痕迹
- 2、如何在操作系统日志，数据库日志，web服务器日志中查看入侵痕迹
- 3、网站被黑了。日志怎么查找出来 ？
- 4、怎么查看网站日志
- 5、网站被入侵后如何解决
- 6、windows下如何通过日志查看入侵记录
如何在操作系统日志，数据库日志，web服务器日志中提取入侵痕迹
（1）设置用户验证和记账功能，可按用户进行记账，没有登记的用户无权通过代理服务器访问Internet网。并对用户的访问时间、访问地点、信息流量进行统计。
(2）对用户进行分级管理，设置不同用户的访问权限，对外界或内部的Internet地址进行过滤，设置不同的访问权限。
(3）增加缓冲器（Cache)，提高访问速度，对经常访问的地址创建缓冲区，大大提高热门站点的访问效率。通常代理服务器都设置一个较大的硬盘缓冲区（可能高达几个GB或更大），当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，则直接由缓冲区中取出信息，传给用户，以提高访问速度。
如何在操作系统日志，数据库日志，web服务器日志中查看入侵痕迹
① 你是否改变过计算机名称。
② 站点所在的文件目录是否自定义了安全属性。
③ 安装了域控制器后是否调整了域策略。如果是其中的一种情况，请一一将
改变的参数设置回来看是否解决问题。
如果静态空间也无法访问，则说明解析还没生效．
首先你要确定错误的原因：
让IE显示详细的出错信息：
菜单--工具--Internet选项--高级--显示友好的HTTP错误信息，去掉这个选择吧
，然后刷新出错页，就可以看到详细的出错信息，对帮助你确定错误所在非常有
帮助！
造成500错误常见原因有：ASP语法出错、ACCESS数据库连接语句出错、文件引用
与包含路径出错、使用了服务器不支持的组件如FSO等。
网站被黑了。日志怎么查找出来 ？
一般是网站程序有漏洞才会被黑的。看日志是看不出黑客IP的一般都是代理型的IP，我的网站，以前也遇到过网站被黑客黑了，搞得网站流量一下子没了，损失太大了，心情真的没法说了，当时被黑客挂了木马，我把木马代码清除了还是被挂马，文件还被篡改了，木马删都删不掉！没办法 在朋友的推荐下 让我去找sinesafe 听说他们专业做网站安全和服务器安全 ，找到他们后 我把情况详细的介绍了一下，然后他们根据这个情况做了 网站防黑 防挂马的安全方案和服务器安全策略，直至这样公司的网站才恢复，直到现在我的网站再也没被黑过，再也没被挂马过，公司还跟sinesafe签了2年的安全维护合同、。他们的技术真的很厉害 很专业 挺佩服的 省了我不少心。
怎么查看网站日志
因为网站环境分为两种，一种windows服务器，一种是linux服务器，所以网站日志也有所不同。
我们所说的日志通常是指IIS日志，简单易懂。linux主机就是Apache日志，敲代码，比较难懂。
一般的虚拟主机都自带有网站日志下载，打开wwwlogos这里面每天会保存一周的日志。如果是独立服务器的话，由于开启的服务不同，就会有多种情况。
1、Nginx日志文件名称及路径介绍
nginx的log网站日志分为errorlog和accesslog
accesslog记录了用户在什么IP地址、什么时候访问的、用的什么操作系统、通过哪个浏览器、显示器分辨率是多少、访问了你网站的哪个页面，做什么操作，是否访问成功等等信息；
errorlog则是记录服务器错误日志。
2、Apache日志文件名称及路径介绍
Apache的网站日志分别是访问日志access_log（在Windows上是access.log）和错误日志error_log（在Windows上是error.log）。如果使用SSL服务的话，还可能存在ssl_error_log和ssl_access_log和ssl_request_log三种日志文件。
日志文件的路径根据安装方式不同位置也是不一样的，一般都是在Apache安装目录的logs子目录中，日志文件路径可根据实际安装情况在Apache的配置文件中进行查找。
将网站日志下载下来后，打开你会发现，内容跟代码一样，看不懂！
网站日志怎么查看？
查看网站日志的方法有两种，第一种比较简单粗暴，用Excel打开网站日志文件，直接查看即可；第二种方式更加适合新手，通过专业的软件查看，将下载到本地的网站日志文件上传至软件中，软件会将重要的信息提取出来以供阅读。
网站被入侵后如何解决
怎么及时地发现黑客的入侵，找到入侵者并采取有效的解决措施是非常关键的。 如何发现入侵者 系统被入侵而全无知晓恐怕是最糟糕的事情了，下面就将以UNIX系统为例告诉你如何在分析网络异常现象的基础上确定你的网络系统是否有入侵者。 异常的访问日志 入侵者在入侵并控制系统之前，往往会用扫描工具或者手动扫描的方法来探测系统，以获取更多的信息。而这种扫描行为都会被系统服务日志记录下来。比如：一个IP连续多次出现在系统的各种服务日志中，并试图越漏洞;又如一个IP连续多次在同一系统多个服务建立了空连接，这很有可能是入侵者在搜集某个服务的版本信息。 注意!在 UNIX 操作系统中如果有人访问了系统不必要的服务或者有严重安全隐患的服务比如：finger、rpc;或者在 Telnet、FTP、POP3 等服务日志中连续出现了大量的连续性失败登录记录，则很有可能是入侵者在尝试猜测系统的密码。这些都是攻击的前兆! 网络流量增大 如果发现服务器的访问流量突然间增大了许多，这就预示着你的系统有可能已经被入侵者控制，并被入侵用来扫描和攻击其他的服务器。事实证明，许多入侵者都是利用中介主机对远程主机进行扫描并找出安全漏洞，然后再进行攻击的。而这些行为都会造成网络流量突然增大。 非法访问 如果你发现某个用户试图访问控制并修改/etc/shadow、系统日志和系统配置文件，那么很有可能这个用户已经被入侵者控制，并且试图夺取更高的权限。 正常服务终止 比如系统的日志服务突然奇怪的停掉，或你的IDS程序突然终止，这都暗示着入侵者试图要停掉这些有威胁的服务，以避免在系统日志上留下“痕迹”。 可疑的进程或非法服务的出现 系统中任何可疑的进程都应该仔细检查，比如以root启动的http服务，或系统中本来关闭的服务又重新被启动。这些可疑进程和服务都有可能是入侵者启动的攻击进程、后门进程或Sniffer进程。 系统文件或用户 者通常会更改系统中的配置文件来逃避追查，或者加载后门、攻击程序之类的软件以方便下次进入。比如对于UNIX而言，入侵者或修改syslog.conf文件以去掉secure的条目来躲避login后门的审计，或修改hosts.deny、hosts.allow来解除tcpwrapper对入侵者IP的过滤;甚至增加一个条目在rc.d里面，以便系统启动的时候同时启动后门程序。所以被非法修改的系统文件或莫明其妙地增加了一个用户等一些现象都意味着你的系统很可能被入侵者控制了。
windows下如何通过日志查看入侵记录
Windows的日志文件通常有应用程序日志，安全日志、系统日志、DNS服务器日志、FTP日志、WWW日志等等。
应用程序日志文件：%systemroot%\system32\config\AppEvent.EVT;
安全日志文件：%systemroot%\system32\config\SecEvent.EVT;
系统日志文件：%systemroot%\system32\config\SysEvent.EVT;
DNS日志默认位置：%sys temroot%\system32\config，默认文件大小512KB
Internet信息服务FTP日志默认位置：%systemroot%\system32\logfiles\msftpsvc1\，默认每天一个日志;
Internet信息服务WWW日志默认位置：%systemroot%\system32\logfiles\w3svc1\，默认每天一个日志;
Scheduler服务日志默认位置：%sys temroot%\schedlgu.txt;