Integrated Investigation

IP 61.216.27.67 综合排查报告

合并 Nginx Access 行为画像 + 线上登录库账号维度，给出可落地结论

时间范围：北京时间 2026-10-24 00:00 ～ 2026-10-30 约 10:42
数据源：ES logstash-nginx_access_* · MySQL t591.userLoginLog + t591.users

一句话结论

该 IP 是「大量中介共用的出口」，不是「单人异常刷登」。

  1. 登录规模：近 7 天成功登录 1,614 次，去重账号 537 个；中介占比 96.1%。
  2. 人均频次平稳：日均约 1.4–1.7 次/账号，不像少数账号高频刷登。
  3. 业务动作匹配：Nginx 侧以图片上传 + 住宅发帖 + 登录为主，呈白天工作时段高峰。
  4. 身份粒度：公网 IP 区分度差；店铺 agencyId=0 占绝大多数，归属分散。
  5. 建议动作：停止按 IP 扩人；改查 device_id / 短时多账号切换 / 失败登录。
不能据此认定：具体某个账号违规、撞库成功、或整段 NAT 应全部封禁。 账号级定性需结合 device / 发帖内容 / 失败登录继续查。
537
去重登录账号
1,614
成功登录次数
96.1%
中介占比
23,601
Nginx 总请求
1,085
发帖 API 次数
10-27
峰值日（277 账号）

1. 两边数据如何互相印证

维度登录库（权威账号维）Nginx Access对齐情况
登录量 成功 1,614 次 / 537 账号 /v2/user/login 1,640 次 量级一致；差约 26 次可能含失败/超时/504
活跃抬升 10-27 峰值：277 账号 / 473 次 10-27～29 日请求 4.8k～5.5k，白天小时峰约 300–350 同一时段抬升，方向一致
用户画像 中介 516（96.1%） 上传 + 住宅发帖为主 与中介发帖作业相符
是否单人 537 个去重账号，人均频次平稳 大量 device_id、残缺 UA、无 referer 共同指向共享出口 / 批量客户端，非单浏览器
口径建议：谈「登录人数」以登录库 537 为准；谈「登录请求次数」可用 Nginx 1,640 或库内成功 1,614。

2. 登录库：账号与身份 t591.userLoginLog / users

2.1 每日趋势

登录账号数（按日）

登录次数（按日）

日期（北京） 登录账号数 登录次数 人均频次
2026-10-2415241.60
2026-10-2561861.41
2026-10-261261971.56
2026-10-272774731.71
2026-10-282363741.58
2026-10-291983041.54
2026-10-30（截至约 10:42）1101561.42

日账号数为当日去重；同一账号跨天会计入多天，故日账号之和 > 总去重 537。

2.2 身份分布

  • 中介 medium516（96.1%）
  • 经纪公司 company18（3.4%）
  • 屋主 host2（0.4%）
  • 房客 guest1（0.2%）
身份人数已认证停权
中介5165030
经纪公司18180
屋主210
房客110

全部 level=0。agencyId=0 共 515 人；其余散落多家加盟，单家最多 4 人。

2.3 非中介账号（完整清单）

user_idrole身份备注
1542465host屋主已认证
4575321host屋主未认证
5485226guest房客已认证
1758company经纪公司已认证
68353company经纪公司已认证
103599company经纪公司已认证
428211company经纪公司已认证（agencyId=911）
703088company经纪公司已认证
727167company经纪公司已认证
1068474company经纪公司已认证
1222386company经纪公司已认证
2217436company经纪公司已认证
2971261company经纪公司已认证
3235576company经纪公司已认证
3370607company经纪公司已认证
3597640company经纪公司已认证
3884469company经纪公司已认证
4381309company经纪公司已认证
5811114company经纪公司已认证
5822663company经纪公司已认证
5829016company经纪公司已认证

3. Nginx：行为与客户端特征 logstash-nginx_access

3.1 按日请求量

日期（北京）请求数约占
2026-10-247343.1%
2026-10-253,30714.0%
2026-10-263,52614.9%
2026-10-274,99821.2%
2026-10-284,84020.5%
2026-10-295,53823.5%
2026-10-30（截断）6582.8%
合计23,601100%

3.2 核心 URI

URI次数说明
/home/file/uploadPartUrl9,061分片上传取址
/home/file/uploadComplete9,057上传完成
/v2/user/login1,640登录 API
/v1/post/sale/residence1,051住宅出售发帖
/v1/oauth/logout561登出
/index.php491旧入口
/v1/post/sale/business34工商出售发帖
登录 → 查街道(street/list) → 发帖(sale/residence) ↘ 大量图片上传(uploadPart / Complete) 登出穿插出现

3.3 域名 / 状态 / 客户端

host次数
user.591.com.tw18,609
bff-user.591.com.tw2,791
bff.591.com.tw1,640
bff-universal.591.com.tw561
指标值
HTTP 20023,593
504 / 5026 / 2
http_device=pc23,074
无 device_id18,645（约 79%）
Referer 为空23,601（100%）
残缺 UA18,805（约 80%）
无 Referer + 残缺 UA 主导，说明访问更像 API/脚本/定制客户端，而非普通网页跳转浏览。 小时分布另见 Kibana：约 08:00–18:00 放量、夜间近零（工作时段特征）。

4. 综合研判

问题结论依据
这是不是一个人在刷？ 不是。 537 去重账号；人均 1.4–1.7；多 device_id
更像什么？ 运营商 NAT / 公司或机房共享出口上的中介作业。 中介 96.1%；上传+发帖；白天高峰
10-27 抬升怎么解释？ 出口覆盖面变大或流量切到该 IP，不是少数账号狂登。 账号数与次数同步升，人均仍平稳
要不要封这个 IP？ 不建议直接封。 误伤面大（数百中介）；区分度差
还有没有风险点？ 有，但需换维度查。 残缺 UA、无 referer 提示工具化客户端；需查串登/失败登录

5. 后续排查优先级

优先级维度目的
高device_id / session区分真实终端，替代公网 IP
高短时多账号切换识别同设备串登、养号
中失败登录 type=0/4/6判断撞库 / 爆破
中发帖内容 / 物件质量判断是否违规批量上架
低继续按 IP 扩人 / 封 IP误伤大、区分度差

6. 附录：口径与可复现查询

6.1 登录库口径

项值
表t591.userLoginLog + t591.users
IPip = '61.216.27.67'（client_ip / forwarded_ip 无命中）
成功登录type IN (1, 5)
时间北京时间自然日；库时区按 UTC 换算 +08:00

6.2 每日统计 SQL

SELECT DATE_FORMAT(CONVERT_TZ(FROM_UNIXTIME(theTime), '+00:00', '+08:00'), '%Y-%m-%d') AS login_date,
       COUNT(DISTINCT userId) AS account_cnt,
       COUNT(*) AS login_cnt
FROM t591.userLoginLog
WHERE ip = '61.216.27.67'
  AND type IN (1, 5)
  AND theTime >= UNIX_TIMESTAMP(CONVERT_TZ('2026-10-24 00:00:00', '+08:00', '+00:00'))
GROUP BY 1
ORDER BY 1;

6.3 身份汇总 SQL

SELECT u.role, COUNT(*) AS user_cnt
FROM t591.users u
INNER JOIN (
  SELECT DISTINCT userId
  FROM t591.userLoginLog
  WHERE ip = '61.216.27.67'
    AND type IN (1, 5)
    AND theTime >= UNIX_TIMESTAMP(CONVERT_TZ('2026-10-24 00:00:00', '+08:00', '+00:00'))
) l ON l.userId = u.user_id
GROUP BY u.role
ORDER BY user_cnt DESC;

6.4 Nginx 索引

logstash-nginx_access_20261024 ... logstash-nginx_access_20261030
filter: remote_addr = 61.216.27.67