خادم ويب تحت المسح

يراقب مركز العمليات الأمنية عندك shop.novaretail.example، وهو موقع تجارة إلكترونية عام. بعد ظهر اليوم صار بطيئاً، وسلّمك فريق التشغيل سجل الوصول الخاص بخادم الويب.

تقرأه كمدافع: الهجوم وقع بالفعل، ومهمتك أن تفهمه من الآثار التي تركها. السجل بصيغة combined، طلب واحد في كل سطر:

IP - - [date] "METHOD path HTTP/1.1" status size "referer" "user-agent"

ما يجب إعادة بنائه:

1. من: عميل واحد وراء معظم الضجيج.
2. ما تسرّب بالخطأ: أداة مسح تعثر على ملفات لم يُرِد أحد نشرها.
3. ما هوجم عمداً: حقن SQL على بحث المنتجات، واجتياز مسارات على رابط تنزيل. في كل حالة، يخبرك رمز الحالة هل نجح (200) أم حُظر (403/500).

تذكّر أن الخوادم تخزّن العناوين مرمّزة: %27 = '، و%20 = مسافة، و%2f = /، و%2C = ,. ابدأ بـ cat case-0533/NOTE.txt، ثم عُدّ العناوين بـ cut وsort | uniq -c. كل شيء محاكى: نطاقات محجوزة ونطاقات IP للتوثيق فقط.