如何使用GoAccess工具分析Web日志？
美国、香港服务器
如何使用GoAccess工具分析Web日志？
07-02 来源:
一、前置说明
之前配置的是 Nginx JSON 格式审计日志，所有命令都要带上 --log-format=JSON；
如果是 Nginx 默认混合日志格式用 --log-format=COMBINED。
二、三种运行模式
模式 1：终端交互式实时查看（快速排查）
适合临时看访问 TOP、异常请求、爬虫、报错
bash
运行
# JSON日志格式执行
goaccess /var/log/nginx/access.log --log-format=JSON
终端常用快捷键
表格
按键 作用
F1 帮助说明
F5 刷新数据
TAB 切换不同统计面板
↓↑ 上下选择
Enter 展开详情
q 退出
可查看维度：
访问 IP 排行、请求 URL、状态码、UA 客户端、来路 Referer、请求耗时、操作系统、浏览器。
模式 2：一次性生成静态 HTML 报表（日志归档审计）
适合导出历史日志做安全复盘、等保报表
bash
运行
# 生成静态页面
goaccess /var/log/nginx/access.log \
--log-format=JSON \
-o /usr/share/nginx/html/nginx_static_report.html
访问：http://你的域名/nginx_static_report.html
分析历史压缩归档日志（logrotate 切割的 gz 日志）
bash
运行
zcat /var/log/nginx/access-20260701.log.gz | goaccess - --log-format=JSON -o /tmp/20260701_report.html
模式 3：后台常驻 实时网页可视化面板（最常用）
bash
运行
# 先关闭之前残留进程
pkill goaccess
# 启动实时面板
goaccess /var/log/nginx/access.log \
--log-format=JSON \
--real-time-html \
--output=/usr/share/nginx/html/nginx_realtime.html \
--daemonize \
--port=7890
监听端口：7890，防火墙必须放行
访问地址：http://域名/nginx_realtime.html
网页会自动秒级刷新最新访问数据
三、GoAccess 核心分析维度（安全审计常用）
1. 访客（Visitors）
访问量 TOP IP：排查 CC 攻击、端口扫描、暴力破解
每个 IP 的访问次数、请求占比
2. 请求 URL（Requested Files）
高频访问接口，判断爬虫、扫描器批量探测后台路径
可发现 /admin、/phpmyadmin、/backup 等敏感路径扫描
3. 静态资源（Static Files）
图片、js、css 等静态访问，用来判断带宽消耗来源。
4. HTTP 状态码（Status Codes）安全重点
2xx：正常请求
3xx：重定向
401/403：未授权、禁止访问 → 大概率后台爆破、目录扫描
404：路径不存在 → 漏洞扫描、爬虫瞎爬
5xx：服务异常，程序崩溃、接口报错
5. 访问来源 Referrers
判断是否被恶意刷流量、盗链。
6. User Agents（客户端 UA）
识别：爬虫、扫描器、恶意工具、浏览器、移动端设备。
常见恶意 UA：python-requests、curl、wget、sqlmap、nmap。
四、常用高级分析命令
1. 只分析近 1 小时日志
结合 tail 截取最新日志分析
bash
运行
tail -n 10000 /var/log/nginx/access.log | goaccess - --log-format=JSON
2. 过滤指定 IP 所有访问记录
bash
运行
grep "112.xx.xx.xx" /var/log/nginx/access.log | goaccess - --log-format=JSON
3. 只分析 POST 请求（排查上传木马、登录爆破、注入攻击）
bash
运行
grep ""request":"POST" /var/log/nginx/access.log | goaccess - --log-format=JSON
4. 只分析 403、404 扫描行为
bash
运行
grep -E ""status":403|"status":404" /var/log/nginx/access.log | goaccess - --log-format=JSON
五、配置文件自定义优化（/etc/goaccess/goaccess.conf）
预设日志格式，不用每次命令带参数
conf
log-format JSON
开启 IP 地理位置解析，可看到攻击者归属地
conf
enable-geoip true
修改配置后重启 GoAccess 生效。
六、安全审计实操排查步骤
打开实时 HTML 面板，查看状态码统计：403、404 是否突增
进入访客面板，查看 TOP 高频 IP，短时间几百次请求直接拉黑
查看 UA 列表，过滤爬虫、扫描工具类客户端
查看请求 URL，搜索eval、base64、sql、cmd等恶意特征
结合之前写的钉钉告警脚本，异常自动推送并封禁 IP
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
