L'analyse du journal FTP n'est pas compliquée, la clé est de comprendre la signification du champ et le code d'état. Le journal est au format W3C par défaut. Chaque ligne d'enregistrements contient des champs tels que la date, l'heure, le c-ip, le nom de cs-username, le s-ip, le sport, le cs-méthode, le cs-uri-seme, le statut SC, le statut SC-win32, etc., qui sont utilisés pour décrire une opération FTP. Les commandes CS-Method communes incluent l'utilisateur (connexion), PASS (Vérification du mot de passe), RetT (Download), Stor (Upload), List (Colonne RéPERTOIRE), etc. Ces commandes peuvent déterminer le comportement de l'utilisateur. Le code d'état SC-Status est utilisé pour juger le résultat de l'opération. Par exemple, 226 indique que la transmission est réussie, 530 indique que la connexion a échoué, 550 indique que le fichier n'est pas disponible et 425 indique que la connexion de données a échoué. Pendant l'analyse, vous pouvez utiliser Excel pour ouvrir les journaux, filtrer par IP ou nom d'utilisateur, et faire attention aux connexions fréquentes ou en grand nombre de transferts de fichiers. Combiné avec des journaux d'événements Windows, vous pouvez dépanner davantage la cause profonde du problème. Après avoir ma?trisé ces points clés, vous pouvez rapidement localiser les exceptions de connexion FTP, les problèmes d'autorisation ou les attaques potentielles.

L'interprétation des fichiers journaux IIS FTP n'est en fait pas compliquée, mais pour ceux qui y sont nouveaux, ils peuvent trouver les informations désordonnées et le format difficile à comprendre. Les journaux IIS FTP utilisent le format de journal étendu W3C par défaut. Chaque enregistrement contient plusieurs champs, indiquant IP du client, type d'opération, chemin de fichier, code d'état, etc. La compréhension de ces contenus peut aider à résoudre les problèmes de connexion, à analyser le comportement d'accès et même à détecter des activités anormales.

1. Comprendre la structure de base des fichiers journaux

Chaque ligne du journal IIS FTP représente une opération et se compose de plusieurs champs. Les champs communs sont les suivants:

• date : date
• time : heure
• c-ip : Adresse IP du client
• cs-username : Nom d'utilisateur de connexion
• s-ip : Adresse IP du serveur
• s-port : Port serveur
• cs-method : Commandes FTP (telles que l'utilisateur, le pass, RETR, Stor, List, etc.)
• cs-uri-stem : le fichier ou le chemin demandé
• sc-status : code d'état de réponse
• sc-win32-status : code d'erreur système Windows (le cas échéant)

Par exemple, une ligne de journaux peut ressembler à ceci:

 2024-03-15 10:23:45 192.168.1.100 21 FTP - - 192.168.1.101 50000 Retr /files/report.txt 226 0

Cela signifie que l'IP client est 192.168.1.101 /files/report.txt a été téléchargé à partir du serveur à une heure spécifiée, et l'opération a réussi (code d'état 226).

2. Opérations FTP courantes et commandes correspondantes (CS-Method)

Comprendre cs-method est très important pour juger le comportement des utilisateurs. Voici quelques commandes FTP courantes et leurs significations:

• USER / PASS : tentative de connexion de l'utilisateur
• RETR : Téléchargez le fichier
• STOR : Télécharger le fichier
• LIST : énumérez le contenu du répertoire
• DELE : supprimez le fichier
• MKD : Créez un répertoire
• RMD : Supprimer le répertoire
• CWD : changez le répertoire actuel

Si vous voyez un grand nombre d'opérations RETR ou STOR dans le journal, cela signifie que l'utilisateur transfère fréquemment des fichiers. Et si vous voyez beaucoup d' USER et PASS échec, vous essayez peut-être de force brute.

3. Interprétation du code d'état (SC-statut)

Le code d'état est la clé pour déterminer si l'opération est réussie:

• 226 : Transmission terminée (télécharger ou télécharger avec succès)
• 230 : Connectez-vous avec succès
• 530 : l'échec de la connexion
• 550 : le fichier n'est pas disponible ou a des autorisations insuffisantes (comme essayer de télécharger un fichier inexistant ou aucune autorisation de lecture)
• 425 : Impossible d'ouvrir la connexion de données (généralement liée aux problèmes de configuration du pare-feu ou du NAT)
• 421 : Le service n'est pas disponible ou déconnecté du délai d'expiration

Si vous voyez beaucoup de 550 ou 425 , vous devez vérifier les paramètres d'autorisation ou la configuration du réseau.

4. Conseils d'analyse des journaux et suggestions d'outils

• Ouvrez les journaux à l'aide d'un éditeur Excel ou de texte : le journal est au format de texte brut et peut être ouvert dans le bloc-notes, mais il est plus pratique d'afficher les colonnes de champ avec Excel.
• Filtrez une adresse IP ou une opération spécifique : par exemple, pour trouver une opération d'un certain utilisateur, il peut être filtré via cs-username ou c-ip .
• Faites attention au comportement de connexion anormal : si un grand nombre de connexions défaillantes apparaissent dans le journal (code d'état 530) et que plusieurs noms d'utilisateurs sont essayés, il peut s'agir d'une attaque par force brute.
• Analyser avec les journaux système : les journaux FTP n'enregistrent pas des raisons d'erreur détaillées, mais il peut y avoir des informations d'erreur plus détaillées dans la visionneuse de l'événement Windows.

Fondamentalement, c'est tout. Après avoir ma?trisé ces points clés, vous ne serez plus confus lorsque vous lisez le journal IIS FTP. Tant que vous connaissez la signification du champ et des codes d'état communs, vous pouvez rapidement localiser des problèmes, tels que les défaillances de connexion des utilisateurs, les exceptions de téléchargement de fichiers, etc.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!