cyberzone.hu
6 445
过去 24 小时内不请自来的尝试，来自 SSH 和像这样的空白停放页面
- 平均每 13 秒就来一次。
- 最快的扫描器在一秒内发出了 176 个请求。
- 61% 的网页扫描器伪装成普通浏览器。
- 按这个速度，一年大约有 2 352 000 次尝试（根据今天推算）。
这个域名于 2026-10-18 15:15 获得证书。 58 分钟后，第一个扫描器就来了。 此后共有 47 204 次尝试直接点名针对 cyberzone.hu。
-24h峰值: 6 636/h现在
- SSH 登录尝试
- 0
- 网页扫描
- 5 484
- 敲伪 SSH 的门（22 端口）
- 961
- 当前被封禁的 IP
- 7
如果有 CROWDSEC 守护
- 本站今天受到的攻击
- 6 445
- 在正确配置的 CrowdSec 后面会受到的攻击
- 1 099
- 被它拦截
- 5 346 (83%)
- 仅社区封禁列表
- 279 (4%)
- 仅 WAF（AppSec），网页请求
- 652
- 今天 389 个攻击 IP 中至少会被拦下一次的
- 123
- 今天 389 个攻击者中在封禁列表上的 IP
- 38
第二个只观察的 CrowdSec 用同样的规则监视本站，但不封禁任何东西。只有当某次尝试的 IP 在那一刻已经会被封禁时，才算被拦截：5 083 来自它在这里的检测，0 是因为它已在我们的真实网站上被封禁，162 来自社区封禁列表。触发检测的那些尝试依然会通过，真实情况也一样。56% 的尝试来自最活跃的 10 个 IP，所以拦截比例主要取决于它们；按攻击者计数才更公平。
另有 101 个请求来自搜索和 AI 爬虫（Google、Bing、Claude...），不算作攻击。
其中 117 个 IP 属于已知的研究或互联网普查扫描器（Driftnet, Censys, Stretchoid, LeakIX, ONYPHE）：它们扫描所有人并公开结果。其余都是不请自来、来源不明的。
22 端口陷阱
22 端口上没有真正的 SSH，只有一个陷阱：它从不放任何人进来，每十秒发一行无意义的内容，让机器人继续等。今天来了 961 个连接，机器人总共被困了 34.4 小时。等得最久的一个等了 18 分钟。
它们用的客户端:
未报名称 (405) Go (251) AsyncSSH (190) libssh (64) PuTTY (38)
PHP2SHELL (CVE-2026-109618, CVE-2026-109619)
2026 年 10 月 21 日公开的一个严重 PHP 漏洞：一次特制的文件上传就能在任何 PHP 网站上执行代码。这台服务器上没有 PHP，但有一个陷阱检查每次上传，能识别出谁在尝试这个漏洞。
- 今天的 PHP2Shell 尝试
- 0
- 来自不同 IP
- 0
- 陷阱上线以来总计
- 8
- 今天的其他上传尝试
- 75
作为诱饵，一个假的 phpinfo 页面显示了一个有漏洞的 PHP 版本。今天它被 28 个 IP 打开了 134 次；其中 3 个随后尝试了上传，0 个专门用了 PHP2Shell。
第一次尝试出现在 10-22 10:13，距公开仅 18.7 小时。
TELNET (MIRAI 式 IoT 僵尸网络)
23 端口上的伪 Telnet 装作一台弱密码的路由器或摄像头：接受送来的第一个登录，然后给出一个假 shell，看看它们想通过它运行或下载什么。
- 今天的连接
- 834
- 尝试过的用户名/密码组合
- 66
最常尝试的用户名:
root (21) admin (11) pi (2) default (2) user (2)
恶意软件下载链接 · 7 天
它们试图让这台机器通过 Telnet、网页漏洞和其他端口从这些地址下载下一阶段（僵尸网络客户端、安装脚本）。每个地址都在 abuse.ch 的 URLhaus 中查过，其中 14 个已有记录。这些地址故意做成不可点击。
hxxp://api[.]9hits[.]com/test (37×) · URLhaus: dropper, honeypot, iot, mirai
hxxp://143[.]246[.]56[.]120:8080/wget[.]sh (9×) · URLhaus 尚未收录
hxxp://160[.]119[.]66[.]206/bins/kla[.]sh (6×) · URLhaus: cowrie, honeypot, mirai
hxxp://201[.]79[.]108[.]167:8081/main_arm7 (6×) · URLhaus: cowrie, honeypot
hxxp://107[.]189[.]3[.]150/b2f628/cronb[.]sh (2×) · URLhaus 尚未收录
hxxp://182[.]61[.]146[.]73:9080/i[.]sh (1×) · URLhaus: docker, sh, ssh
hxxp://45[.]198[.]224[.]164/x86_64 (1×) · URLhaus: 45-198-224-164, elf, mirai, ua-wget
hxxp://143[.]246[.]56[.]120:8080/x86_64 (1×) · URLhaus 尚未收录
REDIS
开放的 Redis 是云上勒索软件和挖矿攻击最爱的入口之一（SLAVEOF、CONFIG SET、MODULE LOAD，然后用 SET+SAVE 往磁盘写文件）。这个假 Redis 对一切都回答 OK，让我们看到完整的尝试，但什么都不执行、什么都不保存。
- 今天的连接
- 48
- 其中试图接管服务器的
- 22
它们尝试的命令:
INFO
CONFIG GET bind
PUBSUB CHANNELS
CLIENT LIST
CLUSTER NODES
其他协议上的暴力破解
同一批扫描器也在试探 FTP 和 MySQL，不只是网页和 SSH。
- FTP 登录尝试
- 28
- MySQL 登录尝试
- 165
最常尝试的 FTP 用户名:
anonymous (7)
最常尝试的 MySQL 用户名:
root (36) webapp (30) admin (6) sa (3)
开放 SMTP 中继
这个假邮件服务器对一切都说好，好像会转发邮件，但实际上从不发出任何东西：我们只看它们冒充谁、想通过它联系谁。
- 今天的连接
- 21
- 登录尝试（用户名+密码）
- 1
开放 DNS 解析器
真正的开放解析器会被滥用：攻击者用伪造的源地址查询它，让回复淹没受害者（DDoS 放大）。这个解析器从不回答任何查询，只记录谁会问什么：这样我们照样能看到扫描，又不可能被滥用。
- 今天的查询
- 55
- 其中适合放大攻击的类型（ANY/TXT/DNSKEY）
- 38
被盗的密码
在这里找 .env 或 .git 文件的人会拿到一个假的，里面有专门为他生成的密码和一个管理员登录地址。如果有人用这个密码登录，我们就能准确知道它是从谁那里、在什么时候被偷的。
- 今天上钩的 IP
- 48
- 其被盗密码随后被使用的
- 15
- ……且来自另一台机器
- 13
最快的一个在被盗后 0 分钟就试用了。
| 11-07 16:53 | git clone | +941 分钟 | 另一台机器 | 45.137.x.x |
| 11-07 16:32 | git clone | +0 分钟 | 同一台机器 | 176.65.x.x |
| 11-07 16:08 | git clone | +795 分钟 | 另一台机器 | 45.137.x.x |
| 11-07 11:49 | git clone | +0 分钟 | 另一台机器 | 45.137.x.x |
| 11-07 06:56 | git clone | +243 分钟 | 另一台机器 | 45.137.x.x |
它们在找什么
- 搜寻机密（.env、.git、备份）
- 2 861
- 其他试探
- 2 006
- 其他 PHP 脚本
- 270
- WordPress 登录和插件
- 210
- 已知软件漏洞（Exchange、Jenkins、VPN）
- 114
- 数据库管理（phpMyAdmin、Adminer）
- 17
- 路由器和 IoT 漏洞利用
- 6
为寻找密码和密钥，尝试了 873 个不同的文件名:
/.env (93) /.git/config (65) /phpinfo.php (64) /_profiler/phpinfo (40) /.git/HEAD (33)
有人用 15 个不同的名字访问这台服务器（“(IP)”表示直接用 IP 地址：这样来的并不是在找我们，只是在扫遍整个互联网）:
keletazsia.hu (1 185) lukacsakos.eu (1 067) www.cyberzone.hu (903) notahoneypot.eu (334) cyberzone.hu (330) www.lukacsakos.eu (294) www.pindou.hu (252) www.notahoneypot.hu (251) vps.numnet.hu (218) www.keletazsia.hu (186) · 向伪 DNS 查询的名字: version.bind (23) www.example.com (6) hostname.bind (2) united.com (2) xxx.heimaoip.com (2)
最常尝试的密码（Telnet、FTP、SMTP）:
null (101) password (42) 12345678 (30) admin (21) 123456 (21) bombisrael4124512 (16) iloveyou (13) root (11) postgres (11) 1234 (11) · 0% 直接来自 Mirai 僵尸网络的出厂默认密码列表
封禁原因（CrowdSec）:
http-sensitive-files (2) http-crawl-non_statics (2) http-admin-interface-probing (2) http-probing (1)
一个脚本，许多机器
目前我们发现了 57 个群组，每组至少有三台不同的机器一步一步做了完全相同的事：同一个程序在许多地方运行，共 485 台机器。最大的一组里，35 台机器（来自 1 个网络）执行了同样的 29 个步骤：
crowdsec-sim
waf
GET /.DS_Store
GET /.env
GET /.git/config
GET /.vscode/sftp.json
…
来自哪里 · 636 个 IP，71 个国家
- 中国
- 18 478
- 英国
- 12 981
- 哈萨克斯坦
- 8 801
- 台湾
- 3 268
- 俄罗斯
- 3 140
它们来自的网络: 11% 来自云和托管服务商，也就是租来的服务器
- NINGBO, ZHEJIANG Province, P.R.China.
- 18 214
- Data Communication Business Group
- 3 148
- INSYS LLC
- 3 127
- GOOGLE-CLOUD-PLATFORM
- 1 395
- Colombia
- 1 066
它们敲了哪些门 · 4 968 个 TCP 端口
除了列出的这些，这台机器上没有运行任何真实服务，但每个端口都有人试。每个方块代表过去 24 小时内的一段端口范围；橙色越深，尝试越多。
0-65535，每格 256 个端口
0-1023，知名端口，每格一个
- 1433 · MSSQL
- 47 112
- 5900 · VNC
- 44 200
- 443 · HTTPS
- 5 484
- 3389 · RDP
- 3 131
- 22 · SSH
- 961
- 23 · Telnet
- 834
- 135 · HTTP
- 551
- 8080 · HTTP-alt
- 510
- 540 · HTTP
- 472
- 9090 · HTTP
- 471
实时
实时到达的尝试；每个 IP 的末尾已打码，“新”：这个 IP 第一次来，⛔：到达时它已在 CrowdSec 社区封禁列表上
| 09:30 | GB | MS SQL amyr | 138.226.x.x | |
| 09:30 | KZ | MS SQL abkg | 185.136.x.x | |
| 09:30 | US | 伪 SSH (22) libssh | 50.6.x.x | ORACLE-BMC-31898 |
| 09:29 | GB | Telnet | 91.227.x.x | Vinters IT Ltd |
| 09:28 | FI | 伪 SSH (22) | 80.66.x.x | |
| 09:28 | US | Telnet | 166.62.x.x | GO-DADDY-COM-LLC |
| 09:26 | SG | 伪 SSH (22) Go | 101.47.x.x | Byteplus Pte. Ltd. |
| 09:26 | DE | WordPress 登录和插件 | 81.171.x.x | Eweka Internet Services B.V. |
| 09:21 | CN | 伪 SSH (22) Go | 112.26.x.x | China Mobile Communications Group Co., L |
| 09:21 | ZA | 其他 PHP 脚本 | 20.87.x.x | MICROSOFT-CORP-MSN-AS-BLOCK |
如果你也有服务器
- 永远不要把 .env 文件、.git 目录或备份放进网站根目录。 2 861
- 及时更新 WordPress 及其插件，不要用 “admin” 作用户名。 210
- 数据库管理工具（phpMyAdmin、Adminer）不要暴露在公网上。 17
- 更新一发布就安装：漏洞利用几天内就会开始。 114
- 更改路由器和摄像头的默认密码，不要暴露它们的管理页面。 6
- SSH 只用密钥，不用密码。
数字：今天针对该错误的尝试次数
你的 IP（216.73.217.15）不在封禁列表上，否则你看不到这个页面。
更新于 09:30 · CrowdSec · GeoLite2 (MaxMind) · 地图: Al MacDonald, CC BY-SA 3.0 ·
开放数据