cyberzone.hu
这个网站是什么
cyberzone.hu 是一个故意留空的“停放”域名。它统计一台从没有人专门来访问的空服务器会遭到多少攻击。统计页显示数字；这一页解释底下到底在运行什么。
诱饵与陷阱
- SSH · 22
- 假的 SSH 服务器（真的在别处）：从不放任何人进来，只要连接还开着，就一点一点地回传随机文本行。
- PHP2Shell
- 识别并记录针对 2026 年 10 月一个 PHP 漏洞构造的上传；这里根本没有 PHP。
- phpinfo
- 一个假的 phpinfo() 页面，故意显示一个看起来有漏洞的 PHP 版本，给上面的陷阱当诱饵。
- .env / .git
- 来找这些文件的人会拿到一个假文件，里面的密码只对应他的 IP；如果之后有人在登录框里输入这个密码，我们就确切知道它是从谁那里、在什么时候拿走的。
- 登录页面
- WordPress、phpMyAdmin、Adminer、Jenkins，外加一个通用的管理员登录：看起来很真实的页面，记录输入的一切，但谁也不放进来。
- Shellshock
- 检查每个请求头里是否有 2014 年那个 bash 漏洞的经典特征，并记录对方想执行什么。
- Telnet · 23
- 假装成一台弱密码路由器：接受登录，给出一个假的 shell，并记录对方想通过它下载什么（Mirai 一类物联网僵尸网络就是这么干的）。
- Redis · 6379
- 对什么都回答 OK，好像可以被接管一样（SLAVEOF、CONFIG SET、MODULE LOAD），这样我们能看到完整的攻击链，但它什么都不执行。
- FTP · 21, MySQL · 3306
- 接收并记录常见的猜密码尝试；背后既没有真正的文件服务，也没有数据库。
- SMTP · 25
- 回答得像一个会帮忙转发邮件的开放中继，但实际上从不发出任何东西；我们只是看对方冒充谁、想发给谁。
- DNS · 53
- 从不回答任何请求。真正的开放解析器可以被伪造的源地址利用，把回复洪水般砸向受害者（DDoS 放大）；这条滥用途径被刻意去掉了，这里只看谁会来问。
我们记录什么
- IP、时间，以及协议本身相关的内容：用户名、尝试的路径、User-Agent、国家和网络（GeoLite2，由 CrowdSec 保持更新）。
- 从不记录：上传文件的内容、输入的密码原文（只记长度）、邮件正文。
- 我们自己的 IP 不计入任何统计。
- 日志保留下来的内容会永久存进一个 SQLite 数据库，而不只是在 systemd 日志里留几天。
开放数据
汇总数据（按天、服务、国家和网络统计，不含 IP 地址）以及“攻击活动”列表每小时更新一次，可自由下载和再利用（CC BY 4.0）： cyberzone.hu/data/
CrowdSec
我们真正的网站（不是这个）通过另一份单独的日志来监控：CrowdSec 只看那份日志，也只根据它封禁。封禁故意不作用于这些假页面，好让攻击者留在这里，暴露更多。
你的 IP（216.73.217.15）不在封禁名单上，否则你也看不到这个页面。