看到這個(gè)標(biāo)題，想必大家會(huì)不屑一顧，“需要分析IIS日志嗎？我有流量統(tǒng)計(jì)、51yes、cnzz、51la等等一大堆，功能全面，用起來(lái)也方便”，在這里請(qǐng)大家先別急著下結(jié)論，看完下面進(jìn)行的IIS日志分析后再說(shuō)。

　　先來(lái)說(shuō)說(shuō)如何下載IIS日志文件。如果自己有獨(dú)立的服務(wù)器，在IIS信息服務(wù)窗口中，點(diǎn)擊要設(shè)置的網(wǎng)站的屬性，在“網(wǎng)頁(yè)”選項(xiàng)卡上可以看到“啟動(dòng)日志記錄”項(xiàng)，可以設(shè)置日志的保存位置、日志的記錄格式等等，虛擬主機(jī)用戶可以通過(guò)空間商提供的后臺(tái)生成IIS日志，如萬(wàn)網(wǎng)中稱為“weblog日志下載”。

　　現(xiàn)在我們已經(jīng)找到了IIS日志文件，然后把它下載下來(lái)，用ultraedit將其打開（為什么不用記事本打開呢？記事本要打開一個(gè)幾十Ｍ、上百Ｍ的文本文件，其速度實(shí)在是不能讓人忍受）。下面就以我的一個(gè)網(wǎng)站（51baobao.net）的IIS日志為例進(jìn)行一下分析演示。

　　第一，通過(guò)IIS日志了解搜索引擎的到訪記錄：

　　用ultraedit打開后，按CTRL F鍵，彈出窗口（如圖１），輸入Googlebot，按回車，在新窗口中顯示的頁(yè)面就是google機(jī)器人的到訪問(wèn)記錄，選中其中之一雙擊，可以看到訪問(wèn)的時(shí)間和頁(yè)面（如圖2），在這里要注意的是所顯示的時(shí)間是國(guó)際標(biāo)準(zhǔn)時(shí)間，所以要在這個(gè)時(shí)間上加8個(gè)小時(shí)，這樣才是北京時(shí)間，如果是自己的獨(dú)立服務(wù)器可以設(shè)置為北京時(shí)間，這里就不詳述了。

（圖1）

（圖2）

　　我們繼續(xù)查找Baiduspider可以看到baidu蜘蛛的爬行記錄。其他搜索引擎通過(guò)查找如Yahoo、Sogou、msnbot、YodaoBot… 比如我們新做了一個(gè)網(wǎng)站，也在百度和google中提交了，可是site站點(diǎn)的時(shí)候就是看不到收錄的頁(yè)面，這時(shí)我們就可以利用上面的方法查看一下IIS日志，只要百度和google等搜索引擎的蜘蛛已經(jīng)爬行過(guò)我們的站點(diǎn)了，我們就不用擔(dān)心網(wǎng)站的收錄問(wèn)題了，搜索引擎會(huì)慢慢的放出已經(jīng)抓取的頁(yè)面，站長(zhǎng)們繼續(xù)增加內(nèi)容就行了。通過(guò)此項(xiàng)查找還可以了解搜索引擎的到訪時(shí)間和抓取頁(yè)面的時(shí)間及頻率。

　　上面是通過(guò)IIS日志查看搜索引擎的爬行記錄，可能有人會(huì)問(wèn)了，為什么搜索引擎的爬行記錄不能被流量統(tǒng)計(jì)工具統(tǒng)計(jì)到？因?yàn)榱髁拷y(tǒng)計(jì)代碼是采用JS調(diào)用的方式，搜索引擎蜘蛛爬行時(shí)不會(huì)調(diào)用JS文件。我們可以自己寫個(gè)流量統(tǒng)計(jì)功能，然后include流量統(tǒng)計(jì)功能的這個(gè)動(dòng)態(tài)頁(yè)面到各個(gè)頁(yè)面中，這樣所有對(duì)頁(yè)面的訪問(wèn)就都可以統(tǒng)計(jì)到了，并且通過(guò)agent參數(shù)，可以判斷來(lái)自哪個(gè)搜索引擎，這里不再詳述。

　　第二，通過(guò)IIS日志查找網(wǎng)站是否存在死鏈接： 在用ultraedit打開的IIS日志文件中按CTRL F鍵，在出現(xiàn)的窗口中（如圖１），選中第一和第三個(gè)復(fù)選框，輸入404，然后按回車，看看在彈出的窗口中有沒(méi)有找到記錄。如果找到，說(shuō)明你的網(wǎng)站存在死鏈接，大家都知道死鏈接對(duì)網(wǎng)站的收錄是有影響的，怎么去處理就不用我說(shuō)了吧。

　　下面是搜索404時(shí)我的網(wǎng)站IIS日志中出現(xiàn)的幾條記錄：

2008-07-24 16:05:08 GET /Login.asp - 60.182.153.56 HTTP/1.1 Mozilla/3.0 (compatible; Indy Library) - 404 0 1003
2008-07-24 16:05:08 POST /Login.asp - 60.182.153.56 HTTP/1.1 Mozilla/3.0 (compatible; Indy Library) http://www.51baobao.net　/Login.asp 404 0 1003
2008-07-24 16:05:08 GET /reg.asp - 60.182.153.56 HTTP/1.1 Mozilla/3.0 (compatible; Indy Library) http://www.51baobao.net　/Login.asp 404 0 1003
2008-07-24 16:05:09 POST /reg.asp - 60.182.153.56 HTTP/1.1 Mozilla/3.0 (compatible; Indy Library) http://www.51baobao.net　/reg.asp?action=apply 404 0 1003

　　相信有經(jīng)驗(yàn)的站長(zhǎng)都明白了吧？這是有人在用一些漏洞掃描工具對(duì)網(wǎng)站進(jìn)行漏洞測(cè)試，看看有沒(méi)有漏洞，使用通用的CMS、DIG、BBS、BLOG系統(tǒng)的站長(zhǎng)可要注意了，你所用的網(wǎng)頁(yè)程序如果有漏洞，網(wǎng)站就會(huì)有被黑掉的危險(xiǎn)！

　　第三、通過(guò)IIS日志查找網(wǎng)站是否存在程序錯(cuò)誤：

　　我們?cè)佥斎?00進(jìn)行查找，如果查找到相關(guān)頁(yè)面，說(shuō)明網(wǎng)站 的程序在運(yùn)行過(guò)程中出現(xiàn)了錯(cuò)誤，需要對(duì)程序進(jìn)行修改。

　　第四、通過(guò)IIS日志查找網(wǎng)站是否被入侵過(guò)：

　　通過(guò)IIS日志可以判斷網(wǎng)站是否曾被通過(guò)SQL注入過(guò)，是怎樣被入侵的。在網(wǎng)站IIS日志我們搜索一下 和’單引號(hào)（半角的），看看是否有相關(guān)的頁(yè)面存在，當(dāng)然不是所有包括 和’的頁(yè)面都是被注入頁(yè)面，但一般的SQL注入都是通過(guò) （空格的ＡＳＣ碼的16進(jìn)制值是20）和單引號(hào)進(jìn)行的。此方法可以判斷出程序上的漏洞，這樣我們可以修改程序防止SQL注入。我曾經(jīng)用這個(gè)辦法將網(wǎng)站被SQL注入的全過(guò)程及入侵的破壞程度進(jìn)行了解，然后修改了程序，防止了網(wǎng)站再次被入侵。

　　介紹以上幾點(diǎn)，以供大家參考。

　　對(duì)于apache的日志，分析方法也類似。現(xiàn)在有一些IIS日志分析軟件可以幫助我們分析出搜索引擎的到訪情況以及404錯(cuò)誤的網(wǎng)頁(yè)，但對(duì)于通過(guò)網(wǎng)站漏洞被入侵的問(wèn)題只能靠我們手工查找了。

　　由于平時(shí)很少寫文章，寫的詞不達(dá)意還望各位諒解，歡迎與我進(jìn)行MSN交流（51baobao.net#live.cn），同時(shí)歡迎訪問(wèn)我的網(wǎng)站51baobao.net。

　　轉(zhuǎn)載時(shí)請(qǐng)尊重作者的版權(quán)，保持文章的完整，請(qǐng)不要對(duì)本文進(jìn)行修改。