WAS DIESE SEITE IST

cyberzone.hu ist eine absichtlich leere, "geparkte" Domain. Sie misst, was alles auf einen leeren Server einprasselt, den kein Mensch je gezielt aufsucht. Der Statistik-Tab zeigt die Zahlen; diese Seite erklärt genau, was darunter läuft.

KÖDER UND FALLEN

SSH · 22

falscher SSH-Server (der echte läuft woanders): lässt nie jemanden rein, tröpfelt nur zufällige Zeilen zurück, solange die Verbindung offen bleibt.

PHP2Shell

erkennt und protokolliert Uploads, die auf eine PHP-Lücke vom Oktober 2026 zugeschnitten sind; PHP gibt es hier gar nicht.

phpinfo

eine falsche phpinfo()-Seite mit einer absichtlich verwundbar aussehenden PHP-Version, als Köder für die Falle oben.

.env / .git

wer danach sucht, bekommt eine falsche Datei mit einem Passwort, das nur zu seiner IP gehört; wird es später in ein Login eingetippt, wissen wir genau, von wem es stammt und wann.

Login-Seiten

WordPress, phpMyAdmin, Adminer, Jenkins und ein allgemeiner Admin-Login: echt aussehende Seiten, die alles protokollieren, was eingetippt wird, und niemanden reinlassen.

Shellshock

prüft jeden Request-Header auf das klassische Muster des Bash-Bugs von 2014 und protokolliert, was ausgeführt werden sollte.

Telnet · 23

gibt sich als schwach gesicherter Router aus: akzeptiert ein Login, liefert eine falsche Shell und protokolliert, was darüber heruntergeladen werden soll (so arbeiten IoT-Botnetze im Stil von Mirai).

Redis · 6379

antwortet auf alles mit OK, als ließe er sich übernehmen (SLAVEOF, CONFIG SET, MODULE LOAD), damit wir die ganze Angriffskette sehen, führt aber nichts aus.

FTP · 21, MySQL · 3306

nehmen die üblichen Versuche, Passwörter zu erraten, entgegen und protokollieren sie; dahinter gibt es weder einen echten Dateidienst noch eine Datenbank.

SMTP · 25

antwortet, als wäre er ein offenes Relay und würde die Mail verschicken, verschickt aber nie etwas; wir sehen uns nur an, als wer sie auftreten und wen sie erreichen wollen.

DNS · 53

antwortet nie auf irgendetwas. Ein echter offener Resolver lässt sich mit gefälschter Absenderadresse dazu bringen, ein Opfer mit seinen Antworten zu fluten (DDoS-Verstärkung); dieser Missbrauchsweg wurde bewusst weggelassen, hier wird nur beobachtet, wer fragen würde.

WAS WIR PROTOKOLLIEREN

• IP, Zeit und was zum Protokoll gehört: Benutzername, versuchter Pfad, User-Agent, Land und Netz (GeoLite2, von CrowdSec aktuell gehalten).
• niemals: Inhalte hochgeladener Dateien, den Text eingetippter Passwörter (nur ihre Länge), den Inhalt von Mails.
• unsere eigene IP ist aus allen Zählern ausgenommen.
• was das Log festhält, bleibt dauerhaft in einer SQLite-Datenbank, nicht nur die paar Tage, die das systemd-Journal aufhebt.

OFFENE DATEN

Die zusammengefassten Daten (pro Tag, Dienst, Land und Netz, ohne IP-Adressen) und die Liste der "Kampagnen" werden stündlich aktualisiert und dürfen frei heruntergeladen und weiterverwendet werden (CC BY 4.0): cyberzone.hu/data/

CrowdSec

Unsere echten Seiten (nicht diese) werden über ein eigenes Log überwacht: CrowdSec sieht nur dieses und sperrt nur danach. Für die falschen Seiten gilt die Sperre absichtlich nicht, damit Angreifer hier bleiben und mehr von sich zeigen.

Deine IP (216.73.217.15) steht nicht auf der Sperrliste, sonst könntest du diese Seite nicht sehen.