Nginx日志可提前识别越权访问，需自定义log_format注入请求者身份、目标资源、操作意图和真实IP字段，分离后台接口审计日志，并通过结构化分析发现平行/上下越权及ID篡改行为，联动告警与自动封禁。
直接通过 Nginx 日志识别越权访问尝试，关键不是等漏洞发生后“回溯”，而是提前把权限相关行为变成可记录、可过滤、可告警的字段。后台管理接口（如 /admin/、/api/v1/users/{id}、/sys/role）是越权高发区，日志必须暴露“谁在操作谁”、“是否越界”、“是否绕过校验”三个维度。
在日志格式中显式标记越权风险要素
默认日志无法区分普通查询和越权探测。需自定义 log_format，注入以下可审计字段：
-
请求者身份标识：用
$http_x_user_id或$http_authorization的哈希前缀（如substr(md5($http_authorization),1,8)）记录认证凭据指纹，不存明文 -
目标资源标识：提取 URL 中的关键参数，例如对
/api/v1/users/123提取123作为$target_id，用map或perl_set模块实现 -
操作意图标记：用
map判断是否为高危路径或方法：map "$request_method:$uri" $is_privileged {<br> ~^(GET|POST|PUT|DELETE):/admin/|/sys/|/api/v1/(users|roles|permissions) "1";<br> default "0";<br> } -
客户端真实归属：用
$realip_remote_addr（配合set_real_ip_from）替代$remote_addr，避免代理 IP 掩盖真实攻击源
分离并聚焦后台接口的审计日志
不要把管理接口日志混在通用 access.log 里。用条件日志单独捕获：
- 在对应
location /admin/或location ^~ /api/v1/块中，添加：access_log /var/log/nginx/admin_audit.log admin_format if=$is_privileged; - 对含 ID 路径（如
/api/v1/users/(\d+)）启用正则匹配，只记录带数字 ID 的请求，排除静态资源干扰 - 该日志文件权限设为
640，属主为nginx:audit，仅安全团队成员可读
从日志中识别典型越权模式
有了结构化字段，就能用简单命令快速筛查异常：
-
平行越权线索：同一用户（
$http_x_user_id相同）短时间内访问多个不同$target_id，且 ID 无业务连续性（如 101→205→98→307），可用awk统计：awk '$12 ~ /user_id=[^&]+/ && $13 ~ /target_id=[0-9]+/ {print $1,$12,$13}' /var/log/nginx/admin_audit.log | sort | uniq -c | sort -nr | head -20 -
上下越权线索：普通用户（如
role=member来自请求头）发出DELETE /api/v1/roles或POST /sys/config请求，直接匹配$is_privileged == "1"且$request_method == "DELETE"的组合 -
ID 篡改痕迹：对 GET 请求中的 ID 参数（如
?id=123）做采样解析，发现大量非递增、非 UUID 格式的随机数字（如 999999、000001、111111），说明在暴力枚举
联动告警与响应闭环
日志只是起点，需接入分析链路：
- 用 Filebeat + Logstash 将
admin_audit.log推送至 Elasticsearch，建立索引时对target_id、user_id、status做 keyword 类型映射，支持精确聚合 - 配置 Kibana 告警规则：单 IP 5 分钟内触发 >10 次不同
target_id的 200 响应，或出现403后立即重试其他 ID，即触发 Slack 通知 - 将高频异常 IP 自动写入 Nginx 的
deny列表，或同步至 WAF 黑名单
