Google の広告でも ads.txt が必要だった

2023年10月15日 19:38

▼ おーぷん ▼

aff.chaopengz.cc とか reimageplus.com に飛ばされる問題を調べてみたメモ

2017年10月13日 00:04

▼ おーぷん ▼

関連記事：リンク押したときに関係無い怪しげなページが開く

最近まとめサイトなどを開くと広告ページに飛ばされる問題について調べてみたメモです
（2017/10/15: 別パターンも見つけたので追記修正してます）

個人的に発現率が高いと感じてる2サイト

○ カオスちゃんねる(http://chaos2ch.com) さん
○ オレ的ゲーム速報＠刃(http://jin115.com) さん

を対象に調べました

http://chaos2ch.com/ (トップページ) で飛ばされたときのログの情報から、どういう風な流れで飛ばされるかを書いてます
http://jin115.com の方では開始点となる広告が別物だったので、開始点になる広告は色々あるようです

最終的な飛ばされる原因

読み込んだ iframe 内の JavaScript で URL 書き換えられることが原因です

iframe で↓のページが読み込まれます

https://csdc.tech/index.html?camp_id=164&h=971ae97261&ip=0.0.0.0&carrier=&gaid=&idfa=&appname=&appid={APP_ID}&site=113551&sitename=chaos2ch.com&bundle=&bidid=20171012195647_92_ge-jp-02_8cci1gCX_pmp

URL に私の IP アドレスが含まれてたのでとりあえず 0.0.0.0 に置き換えてます

header

HTTP/1.1 200 OK
Server: nginx/1.10.2
Date: Thu, 12 Oct 2017 11:56:48 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Vary: Accept-Encoding
Set-Cookie: data=20171012195648_164_c84ZIWU2; expires=Fri, 13-Oct-2017 10:10:08 GMT; Max-Age=80000; path=/
Content-Length: 608

body

<html xmlns="http://www.w3.org/1999/xhtml">
        <head>
        <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /><title></title><script type="text/javascript">
        top.location.href ="http://aff.chaopengz.cc/?utm_medium=518a20c7a23efc6f2650a0872f30552a8cd8f8f6&utm_campaign=JP_win&clickID=20171012195648_164_c84ZIWU2"</script></head>
        <body style="margin: 0;"><a target="_blank" href='https://play.google.com/store/apps/details?id=com.lazada.android&referrer=utm_source%3D42lazada.com%26utm_medium%3Dapi'><img src=https://csdc.tech/img/lazada72890.jpg></a></body></html>

scirpt タグの top.location.href に代入している部分、ここで広告のページに飛ばされています

ブラウザの戻るが使えないので location.replace のはず！と思ってたのに違ってました
href なのになんで戻れないんだろう？
メインフレームの準備ができる前に iframe の方で移動してしまうから履歴に残す前に移動してるとか？

またこの URL をもう一度開いてみると、 head タグがなくて body タグは同じでした
まれにリダイレクトさせるコード入りの head を追加してときどき広告に飛ばすようにしているようです
どこが原因かをわかりにくくするのと審査を通すためかな

このファイルが読み込まれるまで

原因のファイルが特定できたので今度はこのファイルをどうやって読み込んだかを辿っていきます

csdc という文字で検索してでてきたのが

http://medi8.genieesspv.jp/yie/ld/jsk?zoneid=1055197&cb=35941077557&charset=UTF-8&loc=http%3A%2F%2Fchaos2ch.com%2F&referer=http%3A%2F%2Fchaos2ch.com%2Farchives%2F4844017.html&topframe=1

という JavaScript ファイル

中身は

gen_tag = "%3cscript%20type%3d%27text%2fjavascript%27%3e（略

のように % がいっぱいです

JavaScript で、この文字列をデコードして document.write で出力してるようです
デコードした文字列は

<script type='text/javascript'>window.__genieeCommon = （略)
</script>

と script タグを作っています

広告表示するコードみたいで最後の部分はこうなっていました

    var json_banner_data = {
        "prepend_code": "",
        "0": "<iframe src=\"https:\/\/csdc.tech\/index.html（略）",
        "append_code": "<script type=\"text\/javascript\">(function(略"
    };
    gpb_1055197.init(json_banner_data);
    gpb_1055197.run();

json のデータ部分が固定じゃなくてアクセスごと、もしくはクエリの zoneid などに応じて違っていそうな予感がします

試しにもう一度この URL にアクセスしてみると 0 のところの値が別になっていました
クエリによらず毎回ランダムってことでしょうか

ここで運悪く csdc.tech の迷惑広告が選ばれると変なところに飛ばされてしまう、と

ではこの medi8.genieesspv.jp はどこから読み込まれてるの？となるのですけど、ここ見つけるのはすごーく大変でした
トップページへのアクセスからこのファイルが読み込まれてるまでのどのファイルにも medi8.genieesspv.jp を読み込むコードがありません
通信してれば絶対このリストにあるはずなのに・・・

そんな中、探してる途中で偶然 http://js.medi-8.net/t/055/197/a1055197.js というのが http://chaos2ch.com/ の HTML 自体に含まれてるのを発見しました

似てる、これは怪しい

と思って、この URL にアクセスしてみると

var di={zi:1055197,vd:"medi8.genieesspv.jp",ra:0,ri:"{$netId}"};

というコードを発見！
この JavaScript ファイルからアクセスされてるようです

実行されてるのにどうして一覧に出ないんだろう・・・
あれこれ考えて、ブラウザにキャッシュされてそうと閃いたので Chrome の開発者ツールでみてみると

(from memory cache)

と書かれていました
外部ツールで調査するとこういうところ辛いですね・・・

とりあえず開始点は http://chaos2ch.com/ の

<script type="text/javascript" src="http://js.medi-8.net/t/055/197/a1055197.js"></script>

というコードだとわかりました

じゃあ今回の問題起きてるページは全部この広告がロードされてるのか、というとそんなことはありませんでした
今回の調査対象のもう一方、 http://jin115.com/ のソースを見ても medi-8 のスクリプトはロードしていません

ブログ作る側の原因となるコードは1つではないようです

もし Amazon や Google の広告でも起きるならもっと大勢が影響してるはずです
それに Amazon や Google 広告は、まとめ系以外のオフィシャルサイト系でも使われてるのにそういったサイトでは一度も起きていません
あと、まとめはあんまり見てない友人に聞いてみたら、そういう現象あるの初めて聞いたよって言っていました

ということで Amazon と Google の可能性は低そう

http://jin115.com/ のソースからそれらを除いた script タグで広告を探すと

http//api.unthem.com/
http://cast.ads.jlisting.jp/

というのが読み込まれてました
これらも問題の広告をロードしてる可能性がありそうです

↓

http://jin115.com/ の方でも発生したので調べてみると

http//api.unthem.com/ が http://js.medi-8.net/t/080/937/a1080937.js というファイルを読み込ませていました
数字部分は違いますが、同じように広告を読み込ませていて、 csdc のページの JavaScript で広告ページに飛ばされていました

まとめ

JS: http://api.unthem.com/
↓
=====
JS: http://js.medi-8.net/
↓
JS: http://medi8.genieesspv.jp/
↓
iframe: https://csdc.tech/

http://medi8.genieesspv.jp/ で選ばれた広告が https://csdc.tech/ だと広告ページへ飛ばされます

今のところ http://medi8.genieesspv.jp/ の広告のみですが、 http://medi8.genieesspv.jp/ を内部で呼び出している広告サイトは複数あるようです

とりあえず https://csdc.tech/ をブロックすればだいじょぶそう
だけどこの手の広告って同じ内容のを別サイトにも作ってる可能性があるので根本的な解決とは言えないかも
今はなくてもみんなにブロックされたら URL 変えようってなってもおかしくないですからね

ところで

今回は外部ツールで通信監視とかしてみましたが、すごく大変です

こんな

ところから1つずつ中身見て調べていくなんて気が遠くなりそうです

今回はまだ検索機能でいい感じに引っかかってくれたので全部見ずに済んだので助かりました

でも、セキュリティを調べてる人とかでこういうのを普段から見てる人ってすごいですよねー
私はできればもうこんなことしたくない・・・

▲ くろーず ▲

リンク押したときに関係無い怪しげなページが開く

2017年09月05日 19:42

▼ おーぷん ▼

少し前に PC の OS 再インストール前からあったのですが、ときどき開いたリンクと関係ないページが開かれます
RSS や Chrome のトップのよく見るページでリンクを開くと怪しい広告のページが開かれることがあります

RSS ならまだそのサイトが何かしてるのかもしれません
でも Chrome のトップページから開くリンクからでも起きるのでブラウザやパソコンに変なソフト入ってないか心配です

表示されるページはこういうの↓
ayashiipage

表示されるまでに↓のようないくつかのサイトをリダイレクト経由しています

aff.chaopengz.cc

iy5zz.k5nzg.fofix.xyz
ps4.2zo.xyz

nrmzz.k5nzg.fofix.xyz

jbjzz.k5nzg.fofix.xyz

いったい何が原因なんでしょうか・・・？？

再インストール前ならいっぱいソフトがあって中には問題あるものがあってもおかしくなかったですが、再インストール後はソフトもあんまり入っていません

インストールされてるのはこれくらい

○ Atom
○ AutoHotKey
○ Evernote
○ foobar2000
○ Chrome
○ Vivaldi
○ Google 日本語入力
○ .NET Framework
○ Onenote
○ C++ Redistributable パッケージ
○ Firefox
○ Norton
○ paint.net
○ Registry Finder
○ サクラエディタ
○ Skype
○ VeraCrypt
○ WinRAR
○ VLC media player
○ WinSCP
○ コンテンツ管理アシスタント for PlayStation

現象が起きているのは今のところ Chrome なので Chrome の拡張機能はこんなの

○ Gestures for Google Chrome
○ DougaGetter
○ SessionBuddy
○ Save to Pocket

あとは最初から入ってる Google 系のドキュメントやスライドなどです

ジェスチャとセッション管理のは使うすべての Chrome に入ってるといってもいいくらいですが、今回の現象が起きるのはこのパソコンだけです
拡張機能が原因だとすれば怪しいのは DougaGetter です

ですがさっとみたいところ、ソースコードに怪しげな URL は含まれていませんでした

いったい何が原因なんだろ

追記：ちょっと調べてみました

コメントで情報いただきまして、私のパソコンや Chrome に変なのが入ってるというわけじゃなさそうなのでちょっと詳しく調べてみました

起きる条件自体は結局わからず、昨日の深夜は 2 回もあったのに、調べてるために通信をログするようにしてからは全然起きずに今日一日まとめサイト系のRSSをふらふらとさまよい続けていました

結局起きたのは日が変わった頃
これまでのも、だいたいが 0 ～ 2 時頃でした

日付変わった頃なので、コメントにあった IP アドレスというのも考えましたが、ここ数日変化してませんでした
私の場合変わるのはだいたい数ヶ月に 1 回くらいだっと思うので IP アドレスは関係なさそうです

ページが開かれたときのログはこうなっていました

ページアクセス

Sep 11 2017 00:03:45 GMT+0900
http://###.com/
200 OK

Mon Sep 11 2017 00:03:48 GMT+0900
http://aff.chaopengz.cc/?utm_medium=518a(略)
200 OK

Mon Sep 11 2017 00:03:48 GMT+0900
http://aff.chaopengz.cc/?utm_term=6464(略)
200 OK

Mon Sep 11 2017 00:03:48 GMT+0900
http://aff.chaopengz.cc/proc.php?639(略)
302 Found

Mon Sep 11 2017 00:03:49 GMT+0900
http://dcw.1592878.com/?s1=6464(略)
200 OK

Mon Sep 11 2017 00:03:50 GMT+0900
http://pbkzz.ov8lyscsdisg.gond.gdn/?sov=72(略)
200 OK 
POST

Mon Sep 11 2017 00:03:51 GMT+0900
http://pbkzz.ov8lyscsdisg.gond.gdn/REI495slmJP.html?sov=727(略)
302 Found

Mon Sep 11 2017 00:03:51 GMT+0900
http://www.reimageplus.com/includes/router_land.php?tracking=YT(略)
301 Moved Permanently

Mon Sep 11 2017 00:03:52 GMT+0900
http://ja.reimageplus.com/lp/sqi/index.php?tracking=YT(略)
200 OK

リダイレクト

ip: "99.198.108.194"
method: "GET"
redirectUrl: "http://dcw.1592878.com/?s1=6464(略)"
statusCode: 302
statusLine: "HTTP/1.1 302 Found"
url: "http://aff.chaopengz.cc/proc.php?639(略)"


ip: "45.33.110.47"
method:" GET"
redirectUrl: "http://www.reimageplus.com/includes/router_land.php?tracking=YT(略)"
statusCode: 302
statusLine: "HTTP/1.1 302 Found"
url: "http://pbkzz.ov8lyscsdisg.gond.gdn/REI495slmJP.html?sov=727(略)"


ip: "161.47.7.14"
method: "GET"
redirectUrl: "http://ja.reimageplus.com/lp/sqi/index.php?tracking=YT(略)"
statusCode: 301
statusLine: "HTTP/1.1 301 Moved Permanently"
url: "http://www.reimageplus.com/includes/router_land.php?tracking=YT(略)"

最初の ###.com が開いたまとめサイトでトップページです
3 秒で aff.chaopengz.cc に移動して、最終的に ja.reimageplus.com というサイトで例の画像が表示されています

ちゃんと開いたページが開かれていたあとでページが移動してるので↓のことがわかりました

○ リンクをクリックしたページは関係ない
Chrome のトップ画面のリンクからでも起きたのでないとは思っていましたが、RSS側にクリックしたら広告ページを開くような機能をしかけているということはなくなりました

○ URL が置き換えられてるわけじゃない
パソコンやルーターがマルウェアに感染していたら、開こうとしたページじゃなくいきなり広告URLが開かれると思います
一瞬でも開いたページが表示されて広告ページに移動してるので、ブラウザ拡張機能か HTML/JavaScript による移動だと考えられます

一応レスポンスヘッダーを見比べましたが、移動が起きたときのまとめサイトのトップページと普通に見れるときのトップページでは時刻以外は同じものでした

aff.chaopengz.cc じゃなく最終的に表示される www.reimageplus.com でぐぐってみると、パソコンにマルウェアが入ってるので○○のソフト入れたら直りました、と書いてるのがありました
ですが、パソコン自体の問題ではないとわかったのでマルウェアが原因で広告が表示される場合もある、もしくはその記事がマルウェア付きの偽物の対策ツールをインストールさせようとする悪いページだと思います

広告が怪しい

最初のまとめサイトのトップページを開いたときは、開いたページが「200 OK」のレスポンスで、広告に移動するまで 3 秒の誤差がありました
上にもかいたように

○ ブラウザ拡張機能が悪さしてる
○ 開いたページの HTML/JavaScript がページ移動するようになってる

が考えられます

コメントの情報では Android / iOS でも起きているそうです

少なくとも Chrome だとモバイル版には拡張機能を入れることはできなかったはずです
ということから、拡張機能は関係ないと思います

~~実際に私のパソコンに入ってる拡張機能で広告を表示する可能性があるの拡張機能にはそれっぽいコードなさそうでしたし~~
拡張機能を1つも入れていないパソコンで起きるのを確認しました

ということで 残ったのは、ページ内の HTML/JavaScript

1 つのサイトじゃなく複数のサイトで起きているので発生したサイトの管理人さんが意図的に設置してるというものではなさそうです

私はすでに 10 回以上はこのリダイレクトの被害にあっていて、少なくとも 3 つ 4 つのサイトでなったのは確かですが「その時開いたのはこのサイト」とはっきり言えるのは 2 つだけです
（RSS でテキトウにいっぱい開いてたらどれが飛ばされたかわかんない）

「オレ的ゲーム速報＠刃 (http://jin115.com/)」と「カオスちゃんねる (http://chaos2ch.com/)」の 2 サイトです
リダイレクトされたのはトップでも個別記事のページでも起きました

どっちにも言えそうなことは「ライブドアブログ」と「アフィリエイトを使ってる」ということです
他にもありそうですが、 iframe や読み込んでる JavaScript を見てみると多すぎて 1 つずつ見てらんない！ということでここは諦めました

ライブドアブログはまとめサイトが多いというだけでライブドアブログ自体が仕込んでるというのもありえなそうなので、やっぱり怪しいのは広告です

対策はできなかったよ・・・

どの広告かがわかれば拡張機能でブロックしてやろーって思ったのですがそれは難しかったです

今回のリダイレクトですが、ブラウザの「戻るボタン」では戻れません
なので、「このタブはどのページ開こうとしてたんだよー！（怒」と探し直すことになってイラッとさせられるんです

この現象は JavaScript の location.replace を使ったときに起きるものです
私の知る限り HTML/JavaScript でこうなるのはこれだけです

meta タグのリダイレクトや JavaScript でリンクをクリックさせたり location.href を書き換えたりするとブラウザの戻るボタンで移動前に戻れます

ということは location.replace を書き換えれば対策できる！？

とちょっと期待したのに、

JavaScript では location / location.replace は書き換え不可で自作に置き換えれませんでした

debugger をいれて原因の JavaScript の URL みつけてブロックしようとしたのにー・・・

できそうな対策は

拡張機能を使ってアクセス履歴を保存して、問題のページにリダイレクトしたらその直前 3 秒程度前にアクセスしたページに再度リダイレクトする

それか

全部のページに onbeforeunload リスナを入れて移動しようとしたらダイアログで確認出るようにする
手動で閉じたりリンククリックした時に邪魔なのでページ内をクリックしたりスクロールが起きるとはずすといいかも

でも作るのめんどくさいし 1 日に 1 回起きるかどうかだからねー・・・
それに拡張機能を入れられないスマホとかはどうしようもないし

もし広告なら、広告の配信源が責任もって対処してくれるのを期待して放置かな

別の URL にも飛ばされました

ところで、この現象を起こすためにずっとまとめサイトを漂っていたときに

imagefreak007.com

というサイトにも一度だけですが飛ばされました
こっちはリダイレクトを繰り返さずシンプルにこのページへ 1 回移動するだけでした

ページ表示してすぐに飛ばされてるタイプでブラウザの戻るがつかえなかったので上で書いた広告と同じ方法を使ってるのでしょう

このタイプの広告流行ってきてるのかなーやだなー

追記：原因みつけた！！！！

この記事のコメントと閲覧数が多いのでもうちょっとがんばろう、と思って調べましたー

ここ読む多くの人はあんまり興味ないと思うので詳しくは省略しますが色々な理由で JavaScript や Chrome の extension を使って調査するのは色々大変、というか使われてる仕組みによってはほぼ無理かも？って状態だったので Fiddlerという外部ツールに頼りました

このツールで通信内容を保存しておいて、現象が起きたら通信ログを手作業で見て調べます

Fiddler を起動して「準備OK！さぁ来ーい、広告ページに飛ばせー」って思っていてもなかなか飛んでくれません

2日ほど無心でページを開き続けてやっとリダイレクトしました
普段は「またこれかー、これホント迷惑！」なのに、この時ばかりは心の中で『来たああああああー！！！！』と叫んでました（笑

原因

さて原因ですが、 JavaScript で

top.location.href ="http://aff.chaopengz.cc/?utm_medium=518(略

というコードが iframe から実行されていました

URL はここ

https://csdc.tech/index.html?camp_id=164&h=971ae97261&ip=XXX.XXX.XXX.XXX&carrier=&gaid=&idfa=&appname=&appid={APP_ID}&site=113551&sitename=XXXXX.XXXX&bundle=&bidid=20171012195647_92_ge-jp-02_8cci1gCX_pmp

（XXX にしている部分は、 ip の方にアクセスした人の IP アドレス、 sitename の方にこのURLを読み込んだページの情報が入っていました）

後半はアクセスによって変わるので、「https://csdc.tech/index.html」または「csdc.tech」ドメインをブロックしてしまえば大丈夫そうです

ただし、これと同じものが別の URL であちこちにあるのだとしたら、ここだけブロックしても仕方ないです
根本からどうにかしたいですが、とりあえず広告ブロックでみたい広告があるならホワイトリストで許可していくのがベストなのかな

もうちょっと詳しく知りたい人はこっち

▲ くろーず ▲

広告でゲームができる

2013年09月15日 20:08

Googleの広告でとうとうゲームできるようになりました

▼ おーぷん ▼