moldspoon

🕵️ アクセスログ攻撃チェック

1. ログを読み込む

📜
access_log をここにドロップ(複数可・.gz のままで可)
ファイルはアップロードされません

ログの場所の例: レンタルサーバーの管理画面の「アクセスログ」、VPS なら /var/log/httpd/access_log・/var/log/apache2/access.log・/var/log/nginx/access.log。 ローテートされた access.log.1・access.log.2.gz もまとめて入れられます。

Apache・nginx のアクセスログを読み込むと、.env や .git の探索、PHP の脆弱性狙い、SQL インジェクション、ディレクトリトラバーサルなどの攻撃の試みを拾い、 そのうち成功(2xx)が返ってしまったアクセスを真っ先に出します。数百 MB のログや .gz のままでも読めます。 ログはお使いのブラウザの中だけで読み、どこにも送りません。

うまくいかなかったときは

報告は送信ボタンを押したときだけ送られます。直したら改善履歴に載せます。

こんなツールをこれからも作っていきます。もしこれは!と思っていただけましたら、シェア・応援していただけると嬉しいです!😀

X (旧Twitter)

0

Facebook

LINE

0

はてブ

リンクコピー

✅ コピーしました!

よくある質問

どの形式のログに対応していますか?

Apache と nginx の標準の形式(combined・common)です。レンタルサーバーの管理画面からダウンロードしたアクセスログや、VPS の /var/log の access_log・access.log がそのまま読めます。ローテートされた .gz も解凍せずに入れられます。

攻撃の試みが見つかったら危ないですか?

公開しているサイトには、.env や wp-login.php を探すアクセスが毎日のように来ます。試みがあるだけならふつうのことです。危ないのは、その試みに成功(2xx)が返っているときで、このツールはそこを真っ先に出します。

ログはサーバーに送られますか?

送られません。読み込みも集計もお使いのブラウザの中で行います。数百 MB のログでも、1 行ずつ読むので固まりにくくしてあります。

成功(2xx)と出たのに、実際には何も漏れていないことはありますか?

あります。存在しない URL にもトップページを返す作りのサイトでは、/.env などに 200 が返っても中身はトップページです。ブラウザで同じ URL を開き、設定ファイルの中身が見えるかを確かめてください。