CZYM JEST TA STRONA

cyberzone.hu to celowo pusta, "zaparkowana" domena. Mierzy, ile spada na pusty serwer, którego żaden człowiek nigdy celowo nie szuka. Zakładka statystyk pokazuje liczby; ta strona wyjaśnia dokładnie, co działa pod spodem.

PRZYNĘTY I PUŁAPKI

SSH · 22

fałszywy serwer SSH (prawdziwy działa gdzie indziej): nikogo nie wpuszcza, tylko po kropli odsyła losowe linie, dopóki połączenie jest otwarte.

PHP2Shell

rozpoznaje i zapisuje uploady przygotowane pod lukę w PHP z października 2026; PHP tu w ogóle nie ma.

phpinfo

fałszywa strona phpinfo() z celowo podatnie wyglądającą wersją PHP, jako przynęta dla pułapki powyżej.

.env / .git

kto ich szuka, dostaje fałszywy plik z hasłem unikalnym dla swojego IP; jeśli to hasło zostanie później wpisane w formularzu logowania, wiemy dokładnie, czyje było i kiedy.

strony logowania

WordPress, phpMyAdmin, Adminer, Jenkins i ogólne logowanie do panelu admina: prawdziwie wyglądające strony, które zapisują wszystko, co się w nie wpisze, i nikogo nie wpuszczają.

Shellshock

sprawdza każdy nagłówek żądania pod kątem klasycznego wzorca błędu basha z 2014 roku i zapisuje, co próbowano uruchomić.

Telnet · 23

udaje router ze słabym hasłem: przyjmuje logowanie, daje fałszywą powłokę i zapisuje, co próbowano by przez nią pobrać (tak działają botnety IoT w stylu Mirai).

Redis · 6379

na wszystko odpowiada OK, jakby dało się go przejąć (SLAVEOF, CONFIG SET, MODULE LOAD), żebyśmy widzieli cały łańcuch ataku, ale niczego nie wykonuje.

FTP · 21, MySQL · 3306

przyjmują i zapisują zwykłe próby zgadywania haseł; nie stoi za nimi żadna prawdziwa usługa plików ani baza danych.

SMTP · 25

odpowiada jak otwarty przekaźnik, który wyśle pocztę, ale nigdy niczego nie wysyła; patrzymy tylko, za kogo się podają i do kogo próbują pisać.

DNS · 53

nigdy na nic nie odpowiada. Prawdziwy otwarty resolver można sfałszowanym adresem źródłowym nakłonić do zalania ofiary odpowiedziami (wzmocnienie DDoS); tę możliwość nadużycia celowo pominięto, tu tylko obserwujemy, kto by pytał.

CO ZAPISUJEMY

• IP, czas i to, co należy do protokołu: nazwa użytkownika, próbowana ścieżka, User-Agent, kraj i sieć (GeoLite2, aktualizowane przez CrowdSec).
• nigdy: zawartości przesłanych plików, treści wpisanych haseł (tylko ich długość), treści maili.
• nasz własny IP jest wyłączony ze wszystkich liczników.
• to, co zostaje w logu, trafia na stałe do bazy SQLite, a nie tylko na kilka dni do journala systemd.

OTWARTE DANE

Zbiorcze dane (na dzień, usługę, kraj i sieć, bez adresów IP) oraz lista "kampanii" są odświeżane co godzinę i można je swobodnie pobierać i wykorzystywać (CC BY 4.0): cyberzone.hu/data/

CrowdSec

Nasze prawdziwe strony (nie ta) są pilnowane przez osobny log: CrowdSec widzi tylko jego i tylko na jego podstawie blokuje. Blokada celowo nie dotyczy fałszywych stron, żeby atakujący zostali tutaj i pokazali więcej.

Twój IP (216.73.217.15) nie jest na liście blokad, inaczej nie widziałbyś tej strony.