木马入口常藏于返回200的异常请求中，需重点筛查含可疑参数、高危路径、非人UA及高频访问的PHP/JSP/ASP类请求，结合时间、频率、UA三重验证识别Webshell行为。
直接看访问日志里那些“不该出现却反复出现”的请求，尤其是带可疑参数、异常后缀、非业务路径的 200 响应——木马入口往往藏在看似正常的成功响应中，而不是报错里。
重点盯住返回 200 的异常请求
网页被植入木马后，攻击者通常会通过特定 URL 触发恶意行为（如执行命令、下载 payload、反弹 shell），这类请求多数返回 200，容易被忽略。不要只查 404 或 500。
- 筛选所有状态码为 200、但路径含高危特征的请求：
awk '$9 == 200 && ($7 ~ /\.php\?|\.jsp\?|\.asp\?|/shell\.|/cmd\.|/x\.|/1\.|/a\.|/test\.|/debug\.|/info\.|/env\.|/backup\.|/wp-config\.php\.bak|/\.git/config)' /var/log/nginx/access.log - 特别关注带长参数、多层编码、空格绕过痕迹的请求，例如：
GET /index.php?c=system&a=exec&cmd=whoami HTTP/1.1
或 URL 中含 %20OR%201=1、%2e%2e%2f、%00 等典型 Webshell 载荷
识别非人行为模式：时间+频率+UA 三重交叉验证
真实用户不会在凌晨 3 点连续 12 次访问 /admin/x.php?act=upload，且每次 User-Agent 都是 “python-requests/2.31”。
- 统计单 IP 在 5 分钟内对 PHP/JSP/ASP 文件发起的 200 请求次数：
awk '$9 == 200 && $7 ~ /\.(php|jsp|asp|aspx)\?/ {print $1}' /var/log/nginx/access.log | awk '{print $1, substr($4,2,15)}' | sort | uniq -c | awk '$1 > 8 {print $2,$3,$1}' - 过滤出 UA 为 “-”、“sqlmap”、“curl/7.”、“python-requests”、“Go-http-client” 且响应体极小（ awk '$9 == 200 && $12 ~ /(-|sqlmap|curl\/|python-requests|Go-http-client)/ && $10
关联 error.log 锁定文件系统级线索
木马常依赖写入或读取敏感文件（如 .user.ini、.htaccess、shell.php），这些操作失败时会在 error.log 留下硬证据。
- 搜索写入失败但路径可疑的日志：
grep -i 'failed.*open.*\.php\|\.ini\|\.htaccess\|shell\|x\.php' /var/log/nginx/error.log - 定位同一 IP 在 access.log 和 error.log 中的双重痕迹：
提取 error.log 中的客户端 IP：
awk '/failed.*\.php/ {print $12}' /var/log/nginx/error.log | sed 's/,$//' | sort | uniq -c | sort -nr | head -5
再用这些 IP 去 access.log 查对应请求：
grep '192.168.5.22' /var/log/nginx/access.log | grep -E '\.php\?|/shell\.|/cmd\.|/x\.php'
检查响应体长度与内容类型异常
Webshell 执行后常返回纯文本、JSON 或空响应，Content-Type 却是 text/html；或响应体长度固定为 0/12/32 字节（如 base64 回显结果）。
- 查找 Content-Type 不匹配但状态为 200 的请求：
awk '$9 == 200 && $13 ~ /text\/html/ && $10
（$13 是 $http_content_type，需确保 log_format 中已记录） - 若日志中记录了 $body_bytes_sent，重点关注该字段为 0、12、32、64 等整数倍的小值，且 URI 含动态脚本特征
