log files parsen

Veröffentlicht 27. Februar 200421 j

Hallo,

ich hab Apache logs mit folgenden Zeilen

10.228.34.162 1074149944 [15/Jan/2004:07:59:04 +0100] "GET /cgi-bin/vdz/?%1F%8B%08%00%00%00%00%00%00%03%CD%D5O%93%9B+%14%00%F0%AF%92%13%87%9DI%14%FF%DB%01%2F%9D%E9%A5%97%7E%83%0C%C1%E7%86Y%02Y%C1d%ED%F4%C3%F7a%DA%9A%A5%3D7%7B%F0%21%8A%F0%F3%81%C8%A4%ECz%60%09%16%ECu%EC%C4x%00%E5%DDw%98%9E%8Dr%2C%C1KL%0A%DF9%ADN%FB%2B%1C%B0%21%D6%98%9E%A5u%7B%7B%81%D1O%23%EC%7B%E8N%2F%9E%F7%40%BE%C2%7C%B5c%EF%F8%FB%8E%88%E8%27%ED%BF%28%EDa%E4%C2%CC%C4y1z%9EQr%12o%9F%EDd%3C%2F%C97%BCd%F0%FE%AD%F3%B7%93%C6%7E%F7a%60%07b%94%C7%A7%1FOY%9Ab%5C%8E%1D%CD%DAP%B2%E4o%CB%2F%9E%06q%CEB%5D%F4g%EB8%25%07%3F%9F%81%D3%8C%00F%22%C3%B0%E3%1C%D4b%18%94V%C2%03V%96g%C9%CB5%7E%03w%91%FC%06%21%F2%C8W%16%F1%D8uZ%17%B4h%DB%22oh%1B%3B%D3%1CK%FA%DB%F9%07u%87%2CVd%FEa%90E%84%2CWd%F1%18dZ%971rA1%5C%97%DD%EB%04%28x%3F%D2f%B3%D9%0E%C2%F9%5D%D0%7EZ%9E%B2%C3%00%C6%A9%0B+Zkqv%C0%AD%21%CB%DB%08%AD%C9Q-%06%82%CD%1Cx%5E%A4%04%8C%B4%BD2%CF%5C9%BBm%9A%B2%DD%D2%88U5%81%D5fmS%B1%24P%EE%92F%FF%B1%FC%FEo%CE%CA%1A%CB%FB%94%D1h%5E%F3%95%98%3Dh%5E%AB%88%98GD%9A%AE%C6%EAQk%AF%88%F3%98%C6%CA%BB%C9%AE%1F%95%C9%26V%C6%D3M%EFv%C4%E6%C3%28o%3B%E2%08C%C7%92%25J%DB%19%FC%D7%D8%8E%19%17%CE02%EF%BBtWW%E13%C3S6%84%C6%18%7E%02%D7F%09%16%C2%06%00%00 HTTP/1.1" 200 0 "noref" "webrank" 10.228.34.162 207.235.6.157 rrs3D4rriqfrsjIz 0

...der Teil zwischen GET /cgi-bin/vdz/? ...und... HTTP/1.1 ist url codiert und gezipt. Ich brauch jetzt ein Script das mir den gezipten teil rausfischt, ihn url decodiert, entzipt so das ich darin suchen kann.

Kann mir jemand helfen?

Danke

JDK

27. Februar 200421 j

Falls es sich bei dem Zip um die zlib handelt müsste Dir folgender Perl-Code weiterhelfen:


#!/usr/bin/perl


use strict;

use URI::Escape;

use Compress::Zlib;


m/^([^\?]+\?)(\S+)(.*)$/o

	and print $1 . Compress::Zlib::memGunzip(uri_unescape($2)) . $3

	while <>;

Ausführen tut man ihn dann z.B damit: 'convert.pl < access_log'

Falls das noch nicht funktionieren sollte kannst Du mir gerne mal ein paar Zeilen aus dem Log per Email senden. Damit läßt's sich dann auch testen