Apache, Erklärung für verdächtige Zeile im access.log [Archiv]

Geldmann3

2021-05-05, 05:46:08

Hallo zusammen,

heute habe ich folgende Zeile im access.log meines Apache-Webservers gefunden.
Die letzten 4 Stellen der IP-Adresse habe ich verfremdet.
80.94.00.00 - - [05/May/2021:04:43:10 +0200] "GET / HTTP/1.1" 200 - "-" "libwww-perl/6.53"
Das sieht mir fast nach dem Zugriff durch einen (bösartigen) Bot aus, kann mir jemand sagen, was die einzelnen Werte zwischen den Anführungsstrichen bedeuten, besonders der Letzte?

Exxtreme

2021-05-05, 09:17:00

Kann schon sein, dass das ein Bot war. Ist bei uns in der Firma auch ähnlich. Kaum ist ein Tomcat im Internet und schon kommen Verbindungsversuche mit typischen Passwörtern für den Tomcat und für Mysql.

Sephiroth

2021-05-05, 20:17:33

Das ist ein ganz normaler GET-Request mit HTTP/1.1 (Vgl. dazu HTTP/2) auf die Startseite ... 200 ist der status-code (erfolgreich), der erste "-" bedeutet das kein content geliefert wurde (0 byte) und der zweite "-" das kein referer vom client gesendet wurde und "libwww-perl/6.53" ist der user agent.

woher die ip kommt, kannst du z.b. über https://www.dshield.org/ herausfinden.

Geldmann3

2021-05-06, 01:54:26

Das ist ein ganz normaler GET-Request mit HTTP/1.1 (Vgl. dazu HTTP/2) auf die Startseite ... 200 ist der status-code (erfolgreich), der erste "-" bedeutet das kein content geliefert wurde (0 byte) und der zweite "-" das kein referer vom client gesendet wurde und "libwww-perl/6.53" ist der user agent.

woher die ip kommt, kannst du z.b. über https://www.dshield.org/ herausfinden.

Danke Dir für die Erklärung.