謎ログ
ハッカー・不正侵入にはウイルスバスター2004で対策！
全国のアルバイト情報 - 楽天仕事市場
[all] [apache] [exploit] [ftp] [robot] [webalizer] [SEO_SPAM] [others]
Mac用 Mozilla 由来のブラウザが referrer に bookmarks って入れてくるからだ。
http から始まらないので、そのディレクトリにある bookmarks というファイルを探しに行っちゃうわけなんだ、ロボット君たちは。
Webalizer の解析ファイルへのアクセスなら referrer のランキングから外すこともできるけど、トップページへのアクセスは外すわけにはいかないから・・・かなり厄介。
で、辿り着いたのが、
一見、メールにかわいいスマイルマークのスタンプを付けることができるワ！とかいってソフトをインストールすると、スパイウェアを仕込まれるらしい。
でもこのページ、Free!! とか目立つボタンつけてるくせに、
Please read carefully. By clicking one of the "FunWebProducts" above,
you accept and agree to abide by the End User License Agreement.
は、ひっそりと書いてあるんだもの、なんだかなぁ・・・
ロボットが探しているのは、webalizer の解析情報のあるディレクトリの bookmarks。こんなに探されると、置いてあげなきゃいけないのかしらん？と思ってしまう（うそ）。
google で usage/bookmaarks を検索すると、置いてないはずのファイルへのリンクがヒットしてるし・・・なにやってんだか・・・
2003.12.11 追記 判明 そうだったのか！
inazuma ▲
pl1051.nas926.o-tokyo.nttpc.ne.jp - - [29/Dec/2003:02:00:39 +0900] "GET /mokko/w64_06.gif HTTP/1.1" 200 1838 "http://inazuma/content?Type=Data&KIND=&PARAM=&QUERY=網戸+張替え&WATCH=&EXTRA=&URL=http://iandu.s7.xrea.com/mokko/amido.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
pl1051.nas926.o-tokyo.nttpc.ne.jp - - [29/Dec/2003:02:00:39 +0900] "GET /mokko/arrowu_1.gif HTTP/1.1" 200 944 "http://inazuma/content?Type=Data&KIND=&PARAM=&QUERY=網戸+張替え&WATCH=&EXTRA=&URL=http://iandu.s7.xrea.com/mokko/amido.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
referrer に残った URL。こんなドメインってあり？ と思って調べてみたら、
http://www.misuzilla.org/docs/inazuma
っていうのを見つけた。Ninja かぁ・・・
/_vti_bin/_vti_aut/author.exe ▲
a212-113-164-98.netcabo.pt - - [27/Dec/2003:06:40:33 +0900] "POST /_vti_bin/_vti_aut/author.exe HTTP/1.0" 302 210 "-" "MSFrontPage/4.0"
a212-113-164-98.netcabo.pt - - [27/Dec/2003:06:40:33 +0900] "POST /_vti_bin/_vti_aut/author.exe HTTP/1.0" 302 210 "-" "MSFrontPage/4.0"
a212-113-164-98.netcabo.pt - - [27/Dec/2003:06:40:33 +0900] "POST /_vti_bin/_vti_aut/author.dll HTTP/1.0" 302 210 "-" "MSFrontPage/4.0"
http://www.google.co.jp/search?q=cache:9_BiW8r3eD8J:www.hostnexus.com/forum/showthread.php%3Fthreadid%3D1999+/_vti_bin/_vti_aut/author.exe&hl=ja&ie=UTF-8
http://www.google.co.jp/search?q=cache:m66_Mw0KdgEJ:www.lec.netnfu.ne.jp/textpj/lmsinfo/fp/security.htm+/_vti_bin/_vti_aut/author.exe&hl=ja&lr=lang_ja&ie=UTF-8
FrontPage Server Extensions に含まれるモジュールで、FrontPage でファイルを作成するときに POST メソッドで要求されるらしい。
けど、うちにはインストールしてないぜ、FrontPage Server Extensions。
"Mozilla/4.0 compatible ZyBorg/1.0 Dead Link Checker (wn.zyborg@looksmart.net; http://www.WISEnutbot.com)" ▲
216.88.158.142 - - [25/Dec/2003:00:51:29 +0900] "GET /~genome/links.html HTTP/1.1" 200 6280 "-" "Mozilla/4.0 compatible ZyBorg/1.0 Dead Link Checker (wn.zyborg@looksmart.net; http://www.WISEnutbot.com)"
$ for i in 12 11 10 09 08 07 06
> do
> grep "Dead Link Checker" 2003.$i.* | wc
> done
343 7203 78967
39 837 8917
53 1120 12023
35 735 7931
0 0 0
0 0 0
0 0 0
$
今月だけやけに多いなぁ。
backlinks.seguru.net ▲
64.239.138.76 - - [25/Dec/2003:04:52:10 +0900] "GET / HTTP/1.1" 200 1427 "backlinks.seguru.net/?link-popularity" "Mozilla/5.0 (compatible; Konqueror/2.2.2; Linux 2.2.19; i686)"
goo から Wget されたら ▲
202.229.44.68 - - [15/Dec/2003:10:48:13 +0900] "GET /%7Emyhome/index.html HTTP/1.0" 200 2506 "-" "Wget/1.8.2"
Name: kids06.goo.ne.jp
Address: 202.229.44.68
Aliases: 68.44.229.202.in-addr.arpa
それは キッズgoo 経由でアクセスされたってこと。
usage/bookmarks を探す理由 ▲
193.55.10.104 - - [02/Dec/2003:01:30:43 +0900] "GET /~ppp/pppkey.html HTTP/1.0" 200 3736 "bookmarks" "Mozilla/4.5 [fr] (Macintosh; U; PPC)"host)
133.39.9.117 - - [06/Dec/2003:18:56:15 +0900] "GET /%7Eggggg/index.html HTTP/1.0" 200 2080 "bookmarks" "Mozilla/4.7 [ja] (Macintosh; U; PPC)"
Webalizer の解析ページを眺めていたら、referrers のところに bookmarks の文字が。
以前変なログがあって、何だろう？って思っていたのだが・・・
ＵＡにランダムな文字列を入れてくるブラウザ ▲
adsl-211-228-28.mia.bellsouth.net - - [22/Nov/2003:15:47:54 +0900] "GET /unimama/logwatch.html HTTP/1.1" 200 101684 "-" "nyuspswpddxWmuskco dityxp"
adsl-211-228-28.mia.bellsouth.net - - [22/Nov/2003:17:56:16 +0900] "GET /unimama/logwatch.html HTTP/1.1" 200 101684 "-" "leymisgaoVmjsnxb lbmocpsiqsaVi"
adsl-211-228-28.mia.bellsouth.net - - [22/Nov/2003:22:54:06 +0900] "GET /unimama/logwatch.html HTTP/1.1" 200 50536 "-" "plvipnrc9Aq9kdAxgfuuyxxr"
HEAD /xyzzy ▲
wooster.netcraft.com - - [19/Nov/2003:22:30:51 +0900] "HEAD / HTTP/1.1" 200 0 "http://www.netcraft.com/survey/" "Mozilla/4.0 (compatible; Netcraft Web Server Survey)"
wooster.netcraft.com - - [19/Nov/2003:22:30:55 +0900] "HEAD /xyzzy HTTP/1.0" 302 0 "http://www.netcraft.com/survey/" "Mozilla/4.0 (compatible; Netcraft Web Server Survey)"
えび日記参照。
ま、404エラーさえ出させればいいと思ってるんだろうけど。
でも、xrea は404を302に飛ばしちゃってるから、サーベイはできないかも。
逆アクセスログランキングを狙った検索エンジンスパム ▲
141.85.3.130 - - [17/Nov/2003:04:34:29 +0900] "GET / HTTP/1.0" 200 955 "http://www.saulem.com/" "MSIE 6.0"
141.85.3.130 - - [17/Nov/2003:11:10:10 +0900] "GET / HTTP/1.0" 200 955 "http://www.bongohome.com/" "MSIE 6.0"
141.85.3.130 - - [17/Nov/2003:17:49:41 +0900] "GET / HTTP/1.0" 200 955 "http://www.akksess.com/" "MSIE 6.0"
141.85.3.130 - - [18/Nov/2003:00:53:42 +0900] "GET / HTTP/1.0" 200 955 "http://www.kwlablog.com/" "MSIE 6.0"
217.73.164.106 - - [18/Nov/2003:10:57:55 +0900] "GET / HTTP/1.0" 200 955 "http://www.jennifersblog.com/" "MSIE 6.0"
こんどはポルノサイトではなくブログサイトへの誘導を狙ってる？
脳ざらし紀行によると、一見ブログっぽいけどアダルトサイトなんだと。
FunWebProducts ▲
195.93.32.8 - - [17/Nov/2003:00:59:35 +0900] "GET /~tttt/html/TT5.dmel0.mas.135.html HTTP/1.0" 200 2912 "XXXX:++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++" "Mozilla/4.0 (compatible; MSIE 5.5; AOL 8.0; Windows NT 5.0; FunWebProducts)"
最初は referrer が気にくわなかったので調べ始めたところ、
FunWebProducts で検索するとユーザーエージェントとして出るわ出るわ。
最近流行のブラウザなの？ と思ったのだが、特定のブラウザって言うわけではなく、いろいろな UA に FunWebProducts という文字列が入っている。
プラグインなのか。そんなに流行ってるのならどこかのニュースサイトででも読んでるはずだが。。。
www.funwebproducts.com
と
www.pestpatrol.com/pestinfo%5Cf%5Cfunwebproducts.asp
偶然なんだろうけれど ▲
Nov 17 11:43:15 myhost ftpd[25380]: FTPD: connection from defense-4-81-57-92-161.fbx.proxa at Mon Nov 17 11:43:15 2003
Nov 17 11:43:15 myhost ftpd[25380]: <--- 220
Nov 17 11:43:15 myhost ftpd[25380]: myhost FTP server () ready.
Nov 17 11:43:16 myhost ftpd[25380]: FTPD: command: USER anonymous^M
Nov 17 11:43:16 myhost ftpd[25380]: <--- 331
Nov 17 11:43:16 myhost ftpd[25380]: Guest login ok, send ident as password.
Nov 17 11:43:16 myhost ftpd[25380]: FTPD: command: PASS Igpuser@home.com^M
Nov 17 11:43:16 myhost ftpd[25380]: <--- 230
Nov 17 11:43:16 myhost ftpd[25380]: Guest login ok, access restrictions apply.
Nov 17 11:43:17 myhost ftpd[25380]: FTPD: command: CWD /pub/^M
Nov 17 11:43:17 myhost ftpd[25380]: <--- 250
Nov 17 11:43:17 myhost ftpd[25380]: CWD command successful.
Nov 17 11:43:18 myhost ftpd[25380]: FTPD: command: MKD 031117034322p^M
Nov 17 11:43:18 myhost ftpd[25380]: <--- 550
Nov 17 11:43:18 myhost ftpd[25380]: 031117034322p: Permission denied.
:
:
Nov 17 11:43:28 myhost ftpd[25380]: FTPD: command: CWD /home/^M
Nov 17 11:43:28 myhost ftpd[25380]: <--- 550
Nov 17 11:43:28 myhost ftpd[25380]: /home/: No such file or directory.
Nov 17 11:43:29 myhost ftpd[25380]: <--- 221
Nov 17 11:43:29 myhost ftpd[25380]: You could at least say goodbye.
Nov 17 12:08:29 myhost ftpd[25516]: FTPD: connection from pD9ED3888.dip.t-dialin.net at Mon Nov 17 12:08:29 2003
Nov 17 12:08:29 myhost ftpd[25516]: <--- 220
Nov 17 12:08:29 myhost ftpd[25516]: myhost FTP server () ready.
Nov 17 12:08:30 myhost ftpd[25516]: FTPD: command: USER anonymous^M
Nov 17 12:08:30 myhost ftpd[25516]: <--- 331
Nov 17 12:08:30 myhost ftpd[25516]: Guest login ok, send ident as password.
Nov 17 12:08:31 myhost ftpd[25516]: FTPD: command: PASS Igpuser@home.com^M
Nov 17 12:08:31 myhost ftpd[25516]: <--- 230
Nov 17 12:08:31 myhost ftpd[25516]: Guest login ok, access restrictions apply.
Nov 17 12:08:31 myhost ftpd[25516]: FTPD: command: CWD /pub/^M
Nov 17 12:08:31 myhost ftpd[25516]: <--- 250
Nov 17 12:08:31 myhost ftpd[25516]: CWD command successful.
Nov 17 12:08:32 myhost ftpd[25516]: FTPD: command: MKD 031117041022p^M
Nov 17 12:08:32 myhost ftpd[25516]: <--- 550
Nov 17 12:08:32 myhost ftpd[25516]: 031117041022p: Permission denied.
:
:
連続して残った Grim's Ping のパスワードが同じ！
偶然見たデジタル時計の文字がゾロ目だったときみたいに、
なんだかちょっとうれしい！ ＞ おぃおぃ
自分の物でもないのに ▲
219.117.176.252 - - [16/Nov/2003:00:21:50 +0900] "OPTIONS / HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:50 +0900] "OPTIONS /%7Eppp HTTP/1.1" 301 322 "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:50 +0900] "OPTIONS /%7Eppp/ HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:51 +0900] "GET /_vti_inf.html HTTP/1.1" 404 294 "-" "Mozilla/2.0 (compatible; MS FrontPage 5.0)"
219.117.176.252 - - [16/Nov/2003:00:21:51 +0900] "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 308 "-" "MSFrontPage/5.0"
219.117.176.252 - - [16/Nov/2003:00:21:52 +0900] "OPTIONS / HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:52 +0900] "OPTIONS /%7Eppp HTTP/1.1" 301 322 "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:52 +0900] "OPTIONS /%7Eppp/ HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:53 +0900] "GET /_vti_inf.html HTTP/1.1" 404 294 "-" "Mozilla/2.0 (compatible; MS FrontPage 5.0)"
219.117.176.252 - - [16/Nov/2003:00:21:53 +0900] "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 308 "-" "MSFrontPage/5.0"
219.117.176.252 - - [16/Nov/2003:00:21:53 +0900] "OPTIONS / HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:53 +0900] "OPTIONS /%7Eppp/whatppp-j.html HTTP/1.1" 200 - "-" "Microsoft Data Access Internet Publishing Provider Protocol Discovery"
219.117.176.252 - - [16/Nov/2003:00:21:53 +0900] "GET /_vti_inf.html HTTP/1.1" 404 294 "-" "Mozilla/2.0 (compatible; MS FrontPage 5.0)"
219.117.176.252 - - [16/Nov/2003:00:21:54 +0900] "POST /_vti_bin/shtml.exe/_vti_rpc HTTP/1.1" 404 308 "-" "MSFrontPage/5.0"
219.117.176.252 - - [16/Nov/2003:00:21:54 +0900] "GET /~ppp/whatppp-j.html HTTP/1.1" 304 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.0.3705)"
219.117.176.252 - - [16/Nov/2003:00:21:55 +0900] "GET /~ppp/IMG/logoM.gif HTTP/1.1" 304 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.0.3705)"
219.117.176.252 - - [16/Nov/2003:00:22:19 +0900] "PROPFIND /%7Eppp HTTP/1.1" 301 322 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:19 +0900] "PROPFIND /~ppp/ HTTP/1.1" 405 324 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:19 +0900] "PROPFIND /%7Eppp HTTP/1.1" 301 322 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:20 +0900] "PROPFIND /~ppp/ HTTP/1.1" 405 324 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:20 +0900] "OPTIONS / HTTP/1.1" 200 - "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:20 +0900] "PROPFIND /%7Eppp HTTP/1.1" 301 322 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
219.117.176.252 - - [16/Nov/2003:00:22:20 +0900] "PROPFIND /~ppp/ HTTP/1.1" 405 324 "-" "Microsoft-WebDAV-MiniRedir/5.1.2600"
検索して当ったページを見るのはいいけどさ、自分に関わるページでもないのになんでいきなり Webフォルダとして開こうとするのかな？
検索エンジンはなぜ usage/bookmarks を探すのか？ ▲
216.39.48.112 - - [25/Oct/2003:12:10:43 +0900] "GET /~ppp/usage/bookmarks HTTP/1.1" 404 301 "-" "Scooter/3.2"
64.68.82.170 - - [25/Oct/2003:19:19:10 +0900] "GET /~ppp/usage/bookmarks HTTP/1.0" 404 289 "-" "Googlebot/2.1 (+http://www.googlebot.com/bot.html)"
64.68.82.18 - - [25/Oct/2003:19:22:16 +0900] "GET /~ppp/usage/bookmarks HTTP/1.0" 404 289 "-" "Googlebot/2.1 (+http://www.googlebot.com/bot.html)"
64.68.82.136 - - [25/Oct/2003:22:07:12 +0900] "GET /~ppp/usage/bookmarks HTTP/1.0" 404 289 "-" "Googlebot/2.1 (+http://www.googlebot.com/bot.html)"
10月は34回、9月は11回・・・
msnbot/0.11 (+http://search.msn.com/msnbot.htm) ▲
204.95.98.252 - - [04/Nov/2003:04:04:04 +0900] "GET /%7Eggggg/mailto/:gggg-admin/@mydomain.xxx.xxx.xxx.xxx HTTP/1.0" 404 321 "-" "msnbot/0.11 (+http://search.msn.com/msnbot.htm)"
Sprint SPRINTLINK-BLKB (NET-204-94-0-0-1)
204.94.0.0 - 204.97.255.255
Microsoft Corp SPRINT-CC5F6F (NET-204-95-96-0-1)
204.95.96.0 - 204.95.111.255
# ARIN WHOIS database, last updated 2003-11-04 19:15
# Enter ? for additional hints on searching ARIN's WHOIS database.
