是否可以过滤从 Apache -> logger -> rsyslog 到远程日志服务器上的 syslog-ng 的不良请求？

Question 1

如果您想保持日志设置相同，并在 syslog-ng 中处理这些奇怪的文件，您可以尝试定义“已知主机”过滤器，并将其添加到所有日志指令中。

然后在“后备”日志中捕获那些不存在的日志，该日志的名称不依赖于日志消息中的信息。

destination hosts_acc { file("/var/log/hosts/$HOST/${APACHE.VIRTUAL_HOST}_acc.log"); };
destination hosts_def { file("/var/log/hosts/unk/unmatched.log"); };
filter f_apacheacc   { facility(local6); };
filter f_known { host("myserver1") or host("myserver2") or...); };
log { source(s_net); parser(p_apache); filter(f_known); filter(f_apacheacc); destination(hosts_acc); flags("final"); };
log { source(s_net); parser(p_apache); filter(f_apacheacc); destination(hosts_def); flags("fallback"); };

您可以对任何变量做类似的事情，比如 APACHE.VIRTUAL_HOST 或您喜欢的任何变量

Answer

如果您想保持日志设置相同，并在 syslog-ng 中处理这些奇怪的文件，您可以尝试定义“已知主机”过滤器，并将其添加到所有日志指令中。

然后在“后备”日志中捕获那些不存在的日志，该日志的名称不依赖于日志消息中的信息。

destination hosts_acc { file("/var/log/hosts/$HOST/${APACHE.VIRTUAL_HOST}_acc.log"); };
destination hosts_def { file("/var/log/hosts/unk/unmatched.log"); };
filter f_apacheacc   { facility(local6); };
filter f_known { host("myserver1") or host("myserver2") or...); };
log { source(s_net); parser(p_apache); filter(f_known); filter(f_apacheacc); destination(hosts_acc); flags("final"); };
log { source(s_net); parser(p_apache); filter(f_apacheacc); destination(hosts_def); flags("fallback"); };

您可以对任何变量做类似的事情，比如 APACHE.VIRTUAL_HOST 或您喜欢的任何变量

Question 2

没有默认的 vhost 日志。

（在此处添加更多内容以便我可以使用格式。）

你可能需要日志。你可以像这样配置默认的 vhost：

LogFormat "default %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" vcombineddefault
CustomLog "|/usr/bin/logger -p local6.info -t access " vcombineddefault

我已将其替换%v为default。

（我假设 rsyslog 正确解析了 apache 日志。我不知道那部分。）

Answer

没有默认的 vhost 日志。

（在此处添加更多内容以便我可以使用格式。）

你可能需要日志。你可以像这样配置默认的 vhost：

LogFormat "default %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" vcombineddefault
CustomLog "|/usr/bin/logger -p local6.info -t access " vcombineddefault

我已将其替换%v为default。

（我假设 rsyslog 正确解析了 apache 日志。我不知道那部分。）

Question 3

（根据您提供的新信息，我用这个新答案覆盖了我的旧答案。遗憾的是，我还没有答案。）

这些都是格式错误的请求到您的网络服务器。没有 GET 或 POST 方法等，这会让您的 syslog-ng 解析器崩溃。syslog-ng 假设诸如“xc3\x9d\xc3\x9ed$yA;”之类的内容是“APACHE.VIRTUAL_HOST”，并按照您的指示构建目录。

根据http mod_log_config 文档，这个 /xhh 文本代表请求中的不可打印字符：

出于安全原因，从 2.0.46 版本开始，%r、%i 和 %o 中的不可打印字符和其他特殊字符使用 \xhh 序列进行转义

我很困惑为什么这些请求会出现在您的访问日志中。没有 GET、HEAD、POST 等，所以在我看来这不是一个有效的请求。

您能否将日志文件中的几行内容发布到上述问题中（在评论中很难读懂它们），以便我们更好地了解这些请求是如何进来的？

Answer