COS'È QUESTO SITO

cyberzone.hu è un dominio "parcheggiato", vuoto di proposito. Misura quanta roba arriva su un server vuoto che nessun essere umano cerca mai apposta. La scheda delle statistiche mostra i numeri; questa pagina spiega esattamente cosa gira sotto.

ESCHE E TRAPPOLE

SSH · 22

finto server SSH (quello vero sta altrove): non fa mai entrare nessuno, rimanda solo righe casuali col contagocce finché la connessione resta aperta.

PHP2Shell

riconosce e registra i caricamenti costruiti per una vulnerabilità PHP di ottobre 2026; qui PHP non c'è.

phpinfo

una finta pagina phpinfo() che mostra una versione di PHP volutamente dall'aria vulnerabile, come esca per la trappola qui sopra.

.env / .git

chi li cerca riceve un file finto con una password unica per il suo IP; se più tardi quella password viene digitata in un login, sappiamo esattamente di chi era e quando.

pagine di login

WordPress, phpMyAdmin, Adminer, Jenkins e un login di amministrazione generico: pagine dall'aspetto reale che registrano tutto ciò che vi viene digitato e non fanno entrare nessuno.

Shellshock

controlla ogni intestazione delle richieste cercando lo schema classico del bug di bash del 2014 e registra cosa hanno provato a eseguire.

Telnet · 23

finge di essere un router con password debole: accetta un login, consegna una shell finta e registra cosa proverebbero a scaricarci (come fanno le botnet IoT in stile Mirai).

Redis · 6379

risponde OK a tutto, come se si potesse prenderne il controllo (SLAVEOF, CONFIG SET, MODULE LOAD), così vediamo l'intera catena d'attacco, ma non esegue niente.

FTP · 21, MySQL · 3306

accolgono e registrano i soliti tentativi di indovinare le password; dietro non c'è nessun vero servizio di file né database.

SMTP · 25

risponde come se fosse un open relay pronto a inviare la posta, ma in realtà non invia mai niente; guardiamo solo chi dicono di essere e a chi cercano di scrivere.

DNS · 53

non risponde mai a niente. Un vero resolver aperto può essere ingannato con un indirizzo di origine falsificato per inondare una vittima con le sue risposte (amplificazione DDoS); quella possibilità di abuso è stata lasciata fuori di proposito, qui si guarda solo chi chiederebbe.

COSA REGISTRIAMO

• IP, ora e quello che riguarda il protocollo: nome utente, percorso tentato, User-Agent, paese e rete (GeoLite2, tenuto aggiornato da CrowdSec).
• mai: il contenuto dei file caricati, il testo delle password digitate (solo la lunghezza), il corpo delle email.
• il nostro IP è escluso da tutti i contatori.
• ciò che il log conserva resta per sempre in un database SQLite, non solo per i pochi giorni del journal di systemd.

DATI APERTI

I dati aggregati (per giorno, servizio, paese e rete, senza indirizzi IP) e l'elenco delle "campagne" si aggiornano ogni ora e si possono scaricare e riutilizzare liberamente (CC BY 4.0): cyberzone.hu/data/

CrowdSec

I nostri siti veri (non questo) sono sorvegliati tramite un log separato: CrowdSec vede solo quello e blocca solo in base a quello. Il blocco di proposito non vale per le pagine finte, così gli attaccanti restano qui e si mostrano di più.

Il tuo IP (216.73.217.15) non è nella lista dei blocchi, altrimenti non potresti vedere questa pagina.