使用探针排查来自网闸的告警攻击成功的信息

Question

#探针都是抓取的网闸的告警，但是我分析了一下数据包payload发现确实存在一些敏感命令，比如.git源码泄露发现get请求有/.git/目录
这个访问目录，源IP是网闸的地址，然后目的IP是内网服务器，这时候网页进行排查判断是没有的，然后如果提示别的漏洞但是攻击成功了，我发现也是网闸的数据攻击的内网服务器，这时候如何排查判断成功没有成功？

Answer 1

针对这个问题，有以下几种可能的排查方法：

1. 检查服务器日志：服务器的日志通常会记录所有的请求信息，包括请求的源IP、目标IP、URL等。通过分析服务器日志，你可以找到是否有来自网闸地址的请求，以及这些请求是否成功。

2. 检查响应数据：如果你能够获取到请求的响应数据，也可以通过分析响应数据来判断请求是否成功。例如，如果请求的是一个文件，那么响应数据中应该包含这个文件的内容；如果请求的是一个需要身份验证的资源，那么响应数据可能包含一个错误码或者错误信息。

3. 使用网络监控工具：有一些网络监控工具（例如Wireshark）可以抓取网络数据包，并分析这些数据包的内容。通过这些工具，你可以查看请求的详细信息，以及请求的响应。

4. 检查服务器的状态：如果请求成功，那么可能会对服务器的状态产生影响。例如，如果请求是一个写操作，那么可能会修改服务器上的某个文件或者数据库；如果请求是一个执行命令的操作，那么可能会启动一个新的进程。

以上四种方法都可以用来判断攻击是否成功。具体使用哪种方法，取决于你能获取到哪些信息，以及你对网络和服务器的理解。