Onderwerp: Vreemde referer stats. Gehackt?

Hoi,

Ik bekijk met stijgende verbazing de awstats van mijn site
www.plusleo.nl, een onschuldige site over een theatergroep in Deventer.
Als ik in de statistieken van awstats kijk, zie ik bij het hoofdstukje
'Link vanuit een externe pagina (andere web sites behalve zoek
machines)' heel veel URL's staan van aggressieve sex-sites en
penis-vergroot-sites en een 'Get a loan today' site (onder diverse
domeinnamen). Het lijkt me enigszins onwaarschijnlijk dat die sites een
link hebben naar onze site, dus ik heb het gevoel dat er iets niet in de
haak is.

Ik kan geen verdachte bestanden vinden, het dataverkeer is niet ongewoon.

Heeft iemand enig idee wat hiervan de oorzaak zou kunnen zijn?


--
Arjen Haayman
-- cogito ergo bicyclo --

Arjen Haayman:
>Als ik in de statistieken van awstats kijk, zie ik bij het hoofdstukje
>'Link vanuit een externe pagina (andere web sites behalve zoek
>machines)' heel veel URL's staan van

.... onzin-sites.

De herkomst van dat stukje statistiek is de referer-header, en die kan
door de client naar believen ingevuld worden.

>Heeft iemand enig idee wat hiervan de oorzaak zou kunnen zijn?

Je bent, met andere woorden, het gewillige slachtoffer van 'referer spam'.
Kijk er niet naar, en het probleem is opgelost.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

On Thu, 20 Oct 2005 00:52:01 +0200,
Rene Pijlman <reply.in.the.newsgroup@my.address.is.invalid> wrote:
> Arjen Haayman:
>>Als ik in de statistieken van awstats kijk, zie ik bij het hoofdstukje
>>'Link vanuit een externe pagina (andere web sites behalve zoek
>>machines)' heel veel URL's staan van
>
> ... onzin-sites.
>
> De herkomst van dat stukje statistiek is de referer-header, en die kan
> door de client naar believen ingevuld worden.
>
>>Heeft iemand enig idee wat hiervan de oorzaak zou kunnen zijn?
>
> Je bent, met andere woorden, het gewillige slachtoffer van 'referer spam'.
> Kijk er niet naar, en het probleem is opgelost.

En wellicht is het voor de OP belangrijk om even te kijken of Google en
andere botjes de statistieken mogen indexeren. In dat geval is het handig
om even een robots.txt op te nemen zodat die spammers er geen voordeel
uit halen.


Hans
--
<iemand>
iemand heeft een gat gevonden in pdp's access.db? bel cnn

http://blacklist.kernelnewbies.nl

Rene Pijlman wrote:

> De herkomst van dat stukje statistiek is de referer-header, en die kan
> door de client naar believen ingevuld worden.
Dat weet ik, maar ik vind het vreemd dat er onevenredig veel verdachte
referer-headers voorkomen. Zijn er meer mensen die zoiets zien in hun logs?

> Je bent, met andere woorden, het gewillige slachtoffer van 'referer spam'.
> Kijk er niet naar, en het probleem is opgelost.
>
Tja, waar heb je dan logs voor?


--
Arjen Haayman
-- cogito ergo bicyclo --

On Thu, 20 Oct 2005 16:40:35 +0200 Arjen Haayman
(ahaayman@deadspam.com) wrote:
> Rene Pijlman wrote:

> > De herkomst van dat stukje statistiek is de referer-header, en die kan
> > door de client naar believen ingevuld worden.
> Dat weet ik, maar ik vind het vreemd dat er onevenredig veel verdachte
> referer-headers voorkomen. Zijn er meer mensen die zoiets zien in hun logs?

Wat is onevenredig? M'n prive webserver die puur op nummer wordt gescand
ziet al van alles langskomen, overwegend mede kabelaars (> 90%) maar ook
referers. Op de publieke pagina's lijkt de rottigheid weinig en gebruik
ik alleen de logs voor statistieken die niet gepubliceerd worden.

> > Je bent, met andere woorden, het gewillige slachtoffer van 'referer spam'.
> > Kijk er niet naar, en het probleem is opgelost.
> >
> Tja, waar heb je dan logs voor?

Om een oogje in het zeil te houden en een stoute jongen/meisje af en toe
een vloedje terug te sturen.

--
Richard

Arjen Haayman schreef op 20-10-2005 16:40:
> Rene Pijlman wrote:
>
>> De herkomst van dat stukje statistiek is de referer-header, en die kan
>> door de client naar believen ingevuld worden.
>
> Dat weet ik, maar ik vind het vreemd dat er onevenredig veel verdachte
> referer-headers voorkomen. Zijn er meer mensen die zoiets zien in hun logs?
De personen achter die sites lopen gewoon allerlei sites af met als
referer hun eigen site (vol met allerlei rotzooi). Ze hopen dat je er
op klikt om te kijken hoe die referer in je logs komt, en - hoppekee -
weer een paar cent verdiend aan de advertenties. Gewoon negeren, zoals
Rene al zei.

--
Met vriendelijke groeten,
Geert Wirken

Arjen Haayman schreef op 20-10-2005 16:40:
> Rene Pijlman wrote:
>
>> De herkomst van dat stukje statistiek is de referer-header, en die kan
>> door de client naar believen ingevuld worden.
>
> Dat weet ik, maar ik vind het vreemd dat er onevenredig veel verdachte
> referer-headers voorkomen. Zijn er meer mensen die zoiets zien in hun logs?

De personen achter die sites lopen gewoon allerlei sites af met als
referer hun eigen site (vol met allerlei rotzooi). Ze hopen dat je er
op klikt om te kijken hoe die referer in je logs komt, en - hoppekee -
weer een paar cent verdiend aan de advertenties. Gewoon negeren, zoals
Rene al zei.

En om terug te komen op je vraag: ik heb logs vol met die spam, dus ja,
het komt vaker voor

--
Met vriendelijke groeten,
Geert Wirken

Geert Wirken wrote:

[...]
> De personen achter die sites lopen gewoon allerlei sites af met als
> referer hun eigen site (vol met allerlei rotzooi). Ze hopen dat je er
> op klikt om te kijken hoe die referer in je logs komt, en - hoppekee -
> weer een paar cent verdiend aan de advertenties. Gewoon negeren, zoals
> Rene al zei.
>

Wij hosten enkele sites die +4000 hits per uur te verwerken krijgen,
allemaal referer-spam. Bedenk eens wat dat doet qua: load (CPU en
geheugen gebruik) en dataverkeer... Referer-spam bestaat al een aantal
jaren, de eerste artikelen die ik er over gelezen heb dateren uit 2002,
maar de afgelopen pak-em-beet 6 maanden neemt het schrikbarend toe.

Overigens hoopt de referer-spammer niet alleen op extra clicks via de
gespamde site, maar ook op een betere zoekmachine ranking. Daarom zijn
vaak blog sites het doelwit.
Helaas is er vrij weinig tegen te doen, als je blocked op referer dan
blijf je bezig met het bijwerken van je lijsten. Block je op het IP
adres van de referer, dan hetzelfde: De referer-spammer hanteert, voor
zover eenvoudig na te gaan, dezelfde tactiek als e-mail spammers: Ze
"hoppen" van host naar host. Vaak een met een trojan geinfecteerde
breedband host. Momenteel ben ik zelf aan het kijken naar User-Agent's,
maar er wordt niet echt malware gebruikt.

Enkele links:
http://www.i-marco.nl/pivot-blacklist/
http://www.i-marco.nl/wiki/pivot-bla...extra_features
http://www.privateradio.org/blog/arc...a-simple-hack/
http://www.privateradio.org/blog/i/w...er-killer.phps
http://www.sixapart.com/pronet/comment_spam
http://frenchfragfactory.net/ozh/arc...no-refer-spam/

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234