IIS Logs — Analyse des logs du serveur Microsoft

Emplacement et format W3C

C:\inetpub\logs\LogFiles\W3SVC1\

# Format W3C (champs configurables)
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query \
  s-port cs-username c-ip cs(User-Agent) sc-status sc-substatus

Analyse

# Avec LogParser (SQL sur les logs IIS)
LogParser "SELECT cs-uri-stem, COUNT(*) FROM ex*.log \
  WHERE sc-status=200 GROUP BY cs-uri-stem ORDER BY COUNT(*) DESC"

# Recherche de webshell (aspx suspect)
findstr /i "cmd.aspx eval request" *.log

Indicateurs

Statuts 500/200 sur des fichiers .aspx inhabituels (webshell), longues query strings encodées, accès depuis une seule IP à des chemins d'administration, et POST volumineux vers des uploads.