[php] fsockopen

[Olaf]

Hallo Liste,

wie letzens schon geschrieben bin ich im Moment auf der "Jagd" nach dem CodeRed-Wurm
in meinem Apachelog.

Das finden und anzeigen klappt auch super ... siehe http://olba.dyndns.org Link zum Source ist
vorhanden ;)

Nur bin ich nun dabei anhand folgenden Codes die IP's _meines_ Providers herauszufinden:

$filename = "/var/www/log/infected.txt";
// In dieser Datei stehen die IP's in der Form xxx.xxx.xxx.xxx [01/Aug/2001:00:00:00\n

$fd = fopen ($filename, "r");
$i = 0;
while (!feof($fd)) {
$zeile = fgets($fd, 1000);
  $output = explode(" ", $zeile);

   if(!eregi("127.0.0.1", $ip)){
//Schutz vor den Leuten die lokal nach default.ida per Browser gesucht haben ;) 

    echo "$output[0]<br>";

    $gethoster = fsockopen ("www.checkdomain.com", 80, &$errno, &$errstr, 30);
  
     if (!$gethoster){ echo "$errstr ($errno)<br>\n"; }
//Die obige Ausgabe habe ich noch nie beim ausführen gesehen	 

      else { echo "$output[0]!!<br>";

	 fputs ($gethoster,"GET /cgi-bin/checkdomain.pl?domain=$output[0] HTTP/1.0\r\n\r\n");
//Stimmt der GET so oder evtl doch -- ?domainn=".$output[0]." HTTP --  ??

  echo "GET $output[0] from $output[1]<br>";

	 while (!feof($gethoster)) {
	    if (eregi("HanseNet Telekommunikation GmbH", $gethoster)) {
	    $treffer = fopen("/var/www/log/treffer.txt", "a");
        fwrite($treffer,"$output[0]   $output[1]\n", 10000);
        fclose($treffer);
	      }
fclose($gethoster); }
 	}
 }
}
fclose($fd);
echo "Lauf Erfolgreich!";
?>

Die 3 Ausgaben habe ich eingebaut um zu sehen ob das Script überhaupt noch etwas macht ....

Wenn ich nun das Script ausführe, zeigt er mir die 3 ersten Ausgaben an bricht mit einem
Timeout ab und hat noch keinen file erstellt.

Auf der Seite, wo ich diese Infos einlese, ist leider vor er entsprechenden Zeile mit dem String

"HanseNet Telekommunikation GmbH" ein gif Banner mit Werbung.
Ich vermute das er diesen Banner auch einließt, und nicht nur den HTML-Source ...

Wie kann ich dem Script also beibringen das es Binarys wie dieses Gif-Image nicht auf den
entsprechenden String untersuchen soll?

Ich bin für jede Idee offen und auch Links zu Dokus nehme ich gerne an ...

Gruß,

Olaf Baumert