Discussion :

[loumy]

Bonjour,

Ne trouvant pas la cause de mon problème, je le soumet à la communauté.

Voici ce que j'obtient dans les logs :

109.xxx.xxx.xxx - - [19/Jun/2017:09:49:06 +0200] "GET /dossier1/dossier2/dossier3/ECVQ5IXR.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [19/Jun/2017:15:04:00 +0200] "GET /dossier1/dossier2/dossier3/2PKFHQW1.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:27:06 +0200] "GET /dossier1/dossier2/dossier3/6KJEV5JZ.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:27:25 +0200] "GET /dossier1/dossier2/dossier3/S8V2ZZLB.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:27:40 +0200] "GET /dossier1/dossier2/dossier3/XEB2X6O7.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:54:34 +0200] "GET /dossier1/dossier2/dossier3/RQDZHGK2.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:54:52 +0200] "GET /dossier1/dossier2/dossier3/KOD2GDAX.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [20/Jun/2017:09:55:03 +0200] "GET /dossier1/dossier2/dossier3/Z4VU4HZD.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [22/Jun/2017:11:30:16 +0200] "GET /dossier1/dossier2/dossier3/OUCTTJQA.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [22/Jun/2017:11:46:49 +0200] "GET /dossier1/dossier2/dossier3/T4BBK4MK.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [27/Jun/2017:09:03:53 +0200] "GET /dossier1/dossier2/dossier3/6LMORWZV.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [27/Jun/2017:09:04:07 +0200] "GET /dossier1/dossier2/dossier3/GE1F98H2.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [27/Jun/2017:09:53:59 +0200] "GET /dossier1/dossier2/dossier3/K16I890C.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
80.xxx.xxx.xxx - - [03/Jul/2017:10:15:02 +0200] "GET /dossier1/dossier2/dossier3/PXZ9TZK2.htm HTTP/1.1" 404 692 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"

Le client interroge mon serveur sur un nom de fichier .htm qui semble aléatoire et forcement ce fichier n'existe pas créant l'erreur 404.
Quel peut-être le problème sur ce poste client : malware ou autre ?

Je n'ai pas accès au poste client et je ne trouve pas pour l'instant de problème similaires sur d'autres post.

Merci d'avance
Cordialement

[Doksuri]

je suis mitige :
si les @ip sont les memes (vu qu'on ne les a pas entieres) ca expliquerait le meme user agent.
si les @ip sont differentes, c'est louche que le user agent soit le meme.

apres, les heures des erreurs sont trop eloignees pour que ce soit un hacker

dans le log, il faudrait que tu rajoutes l'url referer pour savoir s'ils proviennent tous de la meme page

ou alors c'est encore plus bete, et t'as laisse trainer des urls tests

[loumy]

Merci de vous intéresser à mon cas

Effectivement, il semble que le client soit toujours le même. C'est pour cette raison que je met en cause ce poste, mais je n'arrive pas à trouver de quelle "infection" cela pourrait provenir. J'aimerai bien mettre un nom dessus et comprendre quel est en est son but si ce n'est de générer du trafic supplémentaire.

[Doksuri]

Effectivement, il semble que le client soit toujours le même.

Dans ce cas, je ne vois rien d'anormal.

Ce qui pourrait beaucoup aider serait d'ajouter l'url referer dans ce fichier de log. Ainsi vous serez en mesure de savoir quelle page genere l'erreur, et donc quel code en est la cause.

[loumy]

S'il n'y a rien d'anormal, alors temps mieux !

Merci pour cet avis, j’essaierai de voir pour la page créant ce problème