Apache訪問日誌 - 是否有可能訪問一個頁面，並沒有Apache日誌呢？

Question

我一直在與黑客鬥爭了一個多月，儘管我已經關閉了幾個漏洞，但有一個問題讓我很難找出答案。

我們有一個「內部」開發的內容管理系統，我最近爲了確定是否有人登錄誰不應該是唯一的目的登錄跟蹤。現在有幾次有人登錄了兩個不同的站點（CMS管理員），但是儘管事實上我擁有CMS登錄驗證過程中的日誌記錄，但在apache日誌中沒有任何法庭證據。

黑客MO已經登錄到CMS並找到一個文件上傳器來上傳/注入php shell和/或後門。我已經關閉了涉及的漏洞，但這些登錄事件仍在繼續。

有人可以請幫助照亮任何人可以訪問一個網頁或任何東西，並不留下任何apache日誌中的任何痕跡？

我們在WHM/cpanel平臺上使用Apache 2.2和PHP 5.3。

Answer 1

如果您的郵箱被黑客入侵，您可能無法相信日誌 - 黑客可能已經更改了它們。

我認爲，如果您想要一個明確的答案，最好的辦法是將您的網絡端口鏡像到另一臺計算機，並進行流量轉儲，直到您看到可疑的東西，然後查看流量日誌以查看發生了什麼。

取決於黑客有多好，你可能會逃避在有問題的盒子上運行數據包捕獲 - 它可能沒有被注意到。但用一粒鹽吧。

另一種可能是黑客已經手動設置了一個cookie（假設你使用cookies來跟蹤登錄信息）。他們似乎是「登錄」，沒有登錄。