网站访问日志怎么看？从日志里发现攻击、爬虫与异常请求

网站出了问题，多数人先看后台报表，再看服务器状态，往往最后才想起来去看访问日志。但日志恰恰是记录最完整、最不容易骗人的一份材料：每一个到达服务器的请求，无论来自真人、搜索引擎还是攻击脚本，都会在里面留下一条记录。这篇文章按实际排查的顺序，讲讲一份普通企业网站的日志该怎么看。

一、日志在哪里，先认清字段

虚拟主机和云服务器通常把日志放在控制台的「日志管理」或服务器上的 /var/log/nginx/、/var/log/apache2/ 目录下，按天切分文件，命名类似 access.log.20261030。Windows 主机一般提供打包下载。拿到一份日志，每行大致是这样：

203.0.113.25 - - [30/Oct/2026:09:12:04 +0800] "GET /products/ HTTP/1.1" 200 5123 "https://www.baidu.com/" "Mozilla/5.0 ..."

从左到右依次是：来源 IP、请求时间、请求方法和路径、状态码、返回字节数、来源页面（Referer）、User-Agent（客户端标识）。日常排查主要盯四个字段：IP（谁在访问）、路径（要什么）、状态码（给没给到）、UA（用什么工具来的）。

二、每天值得关注的四个信号

日志一行行看不现实，重点看以下四类异常，出现任何一类都值得展开细查：

• 5xx 状态码集中出现：500、502、503 代表服务器内部出错或过载，正常网站 5xx 占比应在千分之一以内。某一时段突然密集出现，多半是程序报错、数据库连不上，或正在被人高并发请求压垮。
• 单个 IP 请求量异常大：企业官网日常单 IP 一天几十到几百次请求属正常。如果某个 IP 一小时请求几千上万次，基本可以判定为脚本行为，要么是恶意抓取，要么是撞库爆破。
• 404 集中指向不存在的路径：少量 404 正常（旧链接、输错地址）。如果 404 集中在 /wp-login.php、/admin.php、.env、phpmyadmin 之类的路径上，这是典型的漏洞扫描，对方在批量试探你有没有可入侵的后台。
• 流量曲线突然抬升但没有对应询盘：日志里某天请求数翻了几倍，路径却集中在某几个页面或某个接口，大概率是采集器或 CC 攻击，而不是真实客户变多。

三、怎么区分正常爬虫和恶意抓取

搜索引擎的爬虫（如 Baiduspider、Googlebot）对网站有好处，不能一刀切屏蔽。区分方法有三步：第一看 UA 和频率，正常搜索爬虫频率平稳、遵守 robots.txt，会请求 sitemap 里的页面；恶意脚本往往频率忽高忽低，专挑后台路径和接口打。第二做反向验证，把可疑 IP 拿来做反向解析，真正的 Googlebot 会解析到 *.googlebot.com 或 *.google.com 域名，伪造 UA 的脚本不会。第三看行为特征，正常爬虫请求间隔有规律，攻击脚本常常毫秒级连发，还会带着奇怪的参数（比如 URL 里拼 SQL 语句或 ../ 目录穿越字符）。

还有一种常见情况：UA 写着Mozilla/5.0，伪装成浏览器，但请求的全是 /api/ 接口和动态地址，Referer 全为空。这类基本是脚本，按 IP 频率限制处理即可。

四、发现可疑请求后的处置顺序

确认存在恶意访问后，建议按这个顺序处理，避免一步到位反而伤到正常用户：

• 1. 统计影响面：把可疑 IP 按请求量排序，确认是单个 IP 还是 IP 段，是否影响了正常访客的网段。
• 2. 先限流再封禁：在 Nginx/Apache 或主机控制台对该 IP 限流，观察一天；仍持续再封 IP 或 IP 段。云服务器可用安全组规则，虚拟主机多数控制台有「IP 黑名单」功能。
• 3. 检查有没有被打进来：翻日志里可疑 IP 是否有过状态码 200 的 POST 请求、是否访问过上传接口；如有，立即检查网站目录有没有陌生的 php/asp 文件，必要时改后台密码、重置管理员账号。
• 4. 保留证据：把涉事日期的日志文件下载备份一份，后续若需要向主机商申诉或报案，这是唯一凭证。

五、把日志检查变成固定动作

日志分析不难，难的是没人看。建议给企业网站定一个每周十分钟的固定动作：周一登录主机控制台，看过去七天四个指标——5xx 数量、请求总量趋势、404 Top10 路径、请求量 Top5 的 IP。四项都正常就归档，有任何一项异常按上面第四节的顺序处理。日常维护服务里通常也包含这项巡检，日志能提前几天暴露入侵和故障的前兆，等页面打不开再看就晚了。如果贵司网站没有专人看日志，可以致电 137-9839-1694 了解锐客网的网站维护服务，我们把日志巡检纳入每月的固定检查项，并出具简明的巡检记录。