BT宝塔网站防篡改溯源日志查看及失效问题排查

BT宝塔网站防篡改功能非常强大，对于网站的安全可以起到很好的保护作用，同时也支持很多功能，比如溯源日志，有时候使用多年估计又不会使用了，这里搬主题就分享一下BT宝塔网站防篡改溯源日志查看及失效问题排查教程。

什么？还没安装免费的BT宝塔面板？点击进行下载安装

宝塔服务器面板，一键全能部署及管理，送你3188元礼包，点我领取

一、溯源日志查看

1.功能描述        

目前支持web上的攻击链可溯源查看，如果黑客从web应用上，进行一系列攻击操作，会记录其相关的最近20条攻击链。

2.效果展示

-针对网站的防御测试

首先把php 的system函数删除 （测试完之后记得把system函数写回去）

删除之后得重启php

写一个test.php文件

<?php
system($_GET['shell']);

访问一下，访问url拼接下,尝试往22323.php文件上，写入信息

http://192.168.77.150:12345/test.php?shell=echo%20%22hello%20world%22%20%3E%3E%20/www/wwwroot/bacon.com/22323.php

没有开启前，会成功将内容写入文件上，开启后，会拦截住这一行为

目前溯源日志只处理了一层的数据，在这里你可以查看详细信息，主要就看三个地方

• 是哪一个ip攻击的：图示为192.168.7.88（测试ip）
• 请求什么内容：图示为调用test.php,尝试往22323.php文件写入内容
• 是否成功：看状态码

二、模拟各种情况模拟测试

1. 防护400个网站测试

400多个网站其中包含有20个不同开源CMS、1个占用3G的纯php文件网站、380个左右的小网站

• 防护时间：7min左右
• 占用内存：100M左右
• 防护目录数量：20w

效果如图

内存占用查看：可以使用【任务管理器】进行查看内存使用情况

2. 短时间快速写入文件情况

写一份BTTest.php文件：遍历9000次，尝试往一个已知文件22.php添加内容，

通过浏览器访问下这个文件，查看下拦截日志，拦截成功，查看22.php文件正常

http://url:端口/BTTest.php

此时，由于短时间的多次文件操作，如1秒10次文件修改，会被识别为恶意操作，直接锁定文件60s，若再次尝试修改文件，将会显示”无权限”修改，如图所示

关于网站防护的一些注意事项

• 防护前，先查看下磁盘空间是否充足，尽可能磁盘空间要大于5G，网站较多的，需要预留多一点磁盘空间；
• 由于每个网站的目录结构都是不一样的，在防护前，需要先剔除掉那些存放缓存文件、日志文件等目录;
• 若出现配置完排除列表和保护列表，发现部分目录防护失效了，可以尝试重启下防篡改服务

三、防篡改失效问题排查

接下来，我们来看看一些常见的防篡改失效的原因：

常见原因一：防护服务未开启      

这应该是最常见的一种情况了，由于站点系统开关默认关闭，且防篡改系统依赖文件监控组件，这种情况下，我们只要打开对应站点开关即可使防护生效。

常见原因二：排除名单错误设置

【现象】网站打不开，正常上传文件被拦截等等
【原因】缓存文件企图进行新增/删除/修改，被拦截了

刚开始安装的时候，每一个站点都会分配默认配置，这是相关默认配置，分别为cache、threadcache、log、logs、config、runtime、temp、tmp、caches、
tmps、data/temp，只要路径包含这些字段的都将会排除掉，打个比方，如/www/wwwroot/bt.cn/temp/test.php里包含”temp”，所以在监控过程中，会被当作排除名单处理。

建议：在开启前，需要查看下自己的网站有哪些目录路径需要排除掉的，例如存放缓存文件、日志、配置文件等路径都需要排除掉

常见原因三：保护名单只针对某个文件

因为保护名单只配置几条特定的防护路径，导致防护失效问题，这种情况不怎么常见，通常来说，我们会比较少改动保护名单列表，主要是针对php、html、htm、js、css这五种文件后缀进行防护，其余的文件则放行。如果误删除了这五条黑名单，并错误配置了保护名单，就会导致无法有效防护。

【例子说明】如果你想防护网站bt.cn的core目录里的11.php文件，只加了”/www/wwwroot/bt.cn/11.php”到防护列表，其余非11.php文件就可进入，如configs.php。你需要设置的应该是”php”这个后缀文件，如果想要放行某个php文件，就直接在排除名单添加相关的文件路径即可。

注意：排除列表的优先级 > 保护列表

常见原因四：服务器运行内存不足

如果是服务器运行内存不足，而且防护站点很大的情况，会发现一个现象”开启防护后，进行模拟测试一次，服务会断开”，查看服务日志情况，可以看到提示信息”内存不足”，在这里，就有几个解决方法，

• 一是清理下无用进程，释放内存；
• 二是排查下网站哪些是缓存目录、日志目录等，添加到排除名单上；
• 三是扩充运行内存【注：成本高】
• 开启后，如果想手动测试看看效果，可以先在网站根目录进行测试，需要留意下排除列表的路径；
• 在排除列表目录下，进行手动测试，会使得测试非保护目录，不会触发防篡改拦截机制；

什么？还没安装免费的BT宝塔面板？点击进行下载安装

宝塔服务器面板，一键全能部署及管理，送你3188元礼包，点我领取