隐藏的PHP页面的神秘访客

在我的网站上，我有一个“隐藏”页面，其中显示了最近访问者的列表。单个PHP页面根本没有链接，从理论上讲，只有我知道它的存在。我每天检查很多次，看看我有什么新唱片。

但是，大约每周一次，我从这个可能隐藏的页面上的208.80.194。*地址中获得了一次点击（它记录了自己的点击）。奇怪的是：这个神秘的人/机器人没有访问我网站上的任何其他页面。不是公共的PHP页面，而是仅此打印访问者的隐藏页面。它始终是单个匹配，并且HTTP_REFERER为空白。其他数据始终是

Mozilla / 4.0（兼容; MSIE 7.0; Windows NT 5.1; YPC 3.2.0; FunWebProducts; .NET CLR 1.1.4322; SpamBlockerUtility 4.8.4; yplus 5.1.04b）

...但有时MSIE 6.0不是7，而是其他各种插件。浏览器每次都不同，地址的最低位也是如此。

就是这样。每周左右点击一次，到那一页。这位神秘的访客绝对没有触及其他页面。

whois在该IP地址上做一个显示，它来自纽约地区和“ Websense” ISP。地址的最低8位有所不同，但它们始终来自208.80.194.0 / 24子网。

在我用来访问网站的大多数计算机中，traceroute对我的服务器执行IP 208.80。*的任何地方都没有路由器。我想，这可以排除任何HTTP嗅探。

这是怎么发生的，为什么呢？看起来完全是良性的，但无法解释且有点令人毛骨悚然。

security forensics

— 比尔·维伯
source

很有意思; 搜寻FunWebProducts-第二个结果是How do I uninstall Fun Web Products from my computer?

— 马克·亨德森

喜欢这些答案，我的第一个问题将是-...是吗？

— 路易（Louis）

仅供参考，在页面上放一个htaccess，使其要求输入用户名并通过，并且websense只会在放弃之前再点击一次

— SpYk3HH 2012年

Answers:

Websense？Websense从事对URL进行分类并在Internet上寻找“顽皮”的事情。他们的产品通常出现在公司环境中。

我敢打赌，您是从安装了Websense的公司访问HTTP的秘密页面的，他们会自动将该页面添加到（大概是巨大的）页面列表中，以检查是否存在色情，warez，论坛等。

至于变化的标题，我猜想他们的机器人有各种可能的标语可供选择，有意将它们更改为掩盖自身以进行分析，并假装它不是机器人。实际上，谷歌对FunWebProducts websense的快速搜索几乎证实了这一理论。

— 杰夫·费兰德
source

+1是因为我喜欢使用gargantuan这个词:-)并且因为这是发生这种情况的最可能原因。

— aseq 2012年

s/troll/trawl:-)

— Matty 2012年

@Matty好点…拖钓是在诱捕某物，拖网是在拖曳……

— Jeff Ferland

@Matty Troll作为动词也具有以下含义：搜索，查找，四处寻觅。源自捕鱼技术。

— Plutor

并且此页面已经是“ FunWebProducts websense”的第二个Google搜索结果

— Ben

IP地址范围属于Websense。您可能正在运行他们的产品之一。

$ whois 208.80.194.0
[Querying whois.arin.net]
[whois.arin.net]

NetRange:       208.80.192.0 - 208.80.199.255
CIDR:           208.80.192.0/21
OriginAS:       AS13448
NetName:        WEBSENSE-NET2
NetHandle:      NET-208-80-192-0-1
Parent:         NET-208-0-0-0-0
NetType:        Direct Assignment
RegDate:        2007-07-25
Updated:        2012-03-02
Ref:            http://whois.arin.net/rest/net/NET-208-80-192-0-1

— 拉斐尔·路西格（Raffael Luthiger）
source