IIS服务器出现未知编码随机长查询字符串，求助排查是否为攻击

• 深挖请求日志细节
  导出完整的请求日志，重点核对这些字段：

  • 客户端IP段、User-Agent标识，看是否来自同一集群或带有恶意爬虫/扫描工具特征
  • 请求的响应状态码（比如是否全是200，还是混有404/500），以及请求频率——是持续高频轰炸还是间歇性试探，有没有时间规律
  • Referer字段，判断请求是否来自某个特定站点或无来源的随机请求

• 拆解查询字符串的结构规律
  别只盯着解码，先统计特征：

  • 键和值的长度是否固定（比如示例里键长5-7位、值长10-12位）
  • 字符集范围：是不是只有大小写字母+数字，有没有符合Base32、Base58这类小众编码的特征，或者自定义字符映射的可能
  • 键值对的数量、末尾的&符号是否固定，有没有重复出现的键名（哪怕概率极低）

• 验证服务器端的潜在触发点

  • 手动模拟这类请求，对比正常请求的响应内容：有没有细微差异？会不会意外触发shtml的SSI解析（比如读取环境变量、执行隐藏指令）——哪怕页面没用到查询串，也要确认IIS的SSI配置是否安全
  • 检查应用程序日志、系统安全日志：有没有异常的文件访问记录、权限变更，或者与该页面相关的错误提示
  • 排查该shtml页面的源码：是否存在被遗忘的SSI指令、动态脚本片段，可能被攻击者利用传递参数

• 排查外部环境因素

  • 如果服务器前端有CDN、反向代理，确认是不是服务商的缓存测试、节点健康检查流量
  • 确认是否有其他站点收到同类请求，判断是定向攻击还是全网扫描行为

• 临时拦截做验证
  在IIS里配置URL重写规则，直接拦截带查询串的该shtml页面请求，观察：

  • 后续是否出现其他针对该页面的异常请求
  • 服务器资源占用（CPU、带宽）有没有明显下降，判断这类请求是否在消耗资源

内容的提问来源于stack exchange，提问作者Luke Bailey