攻

LXUN.ORG / ATTACK MUSEUM

全球服务器 SSH 爆破与恶意请求数据大盘

这台公开 IP 每天收到的扫描、爆破和怪 HTTP 请求，会在这里自动变成展品。

回到酒馆 今日展柜
总展品 -- 历史累计
SSH 爆破 -- auth.log
怪 HTTP -- 404 标本
蜜罐登录 -- Cowrie
今日新标本 -- 实时路径

馆长简报

本期攻击博物馆历史累计 1,936,656 个真实服务器扫描标本；近 7 天窗口内收录 90,543 个，其中 SSH 暴力破解 8,876 次，Cowrie 蜜罐密码尝试 81,586 次，Web 恶意请求 81 次。

SSH 爆破用户名排行榜显示，最常被尝试的账号是 root；密码字典展柜里最醒目的攻击者密码尝试标本是 sibicaonimabbaK]!!R]P=~vPXb[Hw4v|3:GUcG=}?bk?>?!!#VW8&odffd$%%^^&!OTjB545s!tQrpx。

GeoIP 攻击热力图目前聚合出 120 个恶意 IP 来源地点，最高频来源显示为 UA。

Web 漏洞扫描展柜里最常见的异常路径是 /wp-admin/install.php，类型判断为 WordPress 后台与安装脚本扫描。公开页面只展示聚合后的攻击特征，不暴露原始 IP。

SSH 爆破用户名与弱账号扫描

  1. SSH 暴力破解用户名 root 被尝试 69,529 次，属于常见服务器弱账号扫描目标。
  2. SSH 暴力破解用户名 admin 被尝试 2,947 次，属于常见服务器弱账号扫描目标。
  3. SSH 暴力破解用户名 ubuntu 被尝试 888 次，属于常见服务器弱账号扫描目标。
  4. SSH 暴力破解用户名 user 被尝试 700 次，属于常见服务器弱账号扫描目标。
  5. SSH 暴力破解用户名 test 被尝试 257 次，属于常见服务器弱账号扫描目标。
  6. SSH 暴力破解用户名 deploy 被尝试 227 次，属于常见服务器弱账号扫描目标。
  7. SSH 暴力破解用户名 postgres 被尝试 212 次，属于常见服务器弱账号扫描目标。
  8. SSH 暴力破解用户名 ftpuser 被尝试 175 次，属于常见服务器弱账号扫描目标。

Cowrie 蜜罐密码尝试与密码字典标本

  1. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 sibicaonimabbaK]!!R]P=~vPXb[Hw4v|3:GUcG=}?bk?>?!!#VW8&odffd$%%^^&!OTjB545s!tQrpxN+}{:hg*,./?jb?<>?{}|+1-1=6*(^&dffd*-..c，出现 1 次。
  2. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 n0zIOtR122q8zNSfHVvBFCdU0ubQ0bxrc5LllPCaA2CMIF2C5X，出现 1 次。
  3. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 22&%DJO*8Ph@1ZlfyaT^Y8#Iw&Od0B&W123，出现 8 次。
  4. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 IZAK%s^&OzNgG%wm*teASED7E9zPoB&E%Pc，出现 1 次。
  5. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 P8$p(>QYvto[30lV+0fy9|J0oTXti>@e，出现 1 次。
  6. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 22&%DJO*8Ph@1ZlfyaT^Y8#Iw&Od0B&W，出现 1 次。
  7. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 Wf5Ic*ZgYK2%K47XfNU&GJp4KHfLAn6m，出现 6 次。
  8. Cowrie 蜜罐捕获攻击者密码尝试/密码字典标本 zjgg1M%8NPWM1YMfjC8q82$Jmj^HYCC$tC*8，出现 1 次。

WordPress / Web 漏洞扫描路径

  1. 检测到 WordPress 后台与安装脚本扫描：/wp-admin/install.php，累计 10 次。
  2. 检测到 环境变量泄露探测：/.env，累计 3 次。
  3. 检测到 Web 漏洞扫描请求：/file/，累计 2 次。
  4. 检测到 Web 漏洞扫描请求：/pdf/，累计 2 次。
  5. 检测到 Web 漏洞扫描请求：/docs/，累计 2 次。
  6. 检测到 WordPress 后台与安装脚本扫描：/wp-includes/images/smilies/，累计 2 次。
  7. 检测到 WordPress 后台与安装脚本扫描：/wp-admin/css/colors/ectoplasm/，累计 2 次。
  8. 检测到 WordPress 后台与安装脚本扫描：/wp-admin/css/colors/blue/，累计 2 次。

恶意 IP 来源网段聚合

  1. 恶意 IP 来源网段聚合 173.242.52.0/24，在近 7 天攻击数据中出现 26,717 次。
  2. 恶意 IP 来源网段聚合 8.222.171.0/24，在近 7 天攻击数据中出现 17,126 次。
  3. 恶意 IP 来源网段聚合 176.53.159.0/24，在近 7 天攻击数据中出现 9,904 次。
  4. 恶意 IP 来源网段聚合 195.178.110.0/24，在近 7 天攻击数据中出现 4,303 次。
  5. 恶意 IP 来源网段聚合 51.210.150.0/24，在近 7 天攻击数据中出现 3,612 次。
  6. 恶意 IP 来源网段聚合 120.27.109.0/24，在近 7 天攻击数据中出现 3,127 次。
  7. 恶意 IP 来源网段聚合 120.27.215.0/24，在近 7 天攻击数据中出现 3,066 次。
  8. 恶意 IP 来源网段聚合 120.27.141.0/24，在近 7 天攻击数据中出现 1,252 次。

常见恶意爬虫 User-Agent

  1. 浏览器式伪装 User-Agent：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Sa，记录 39 次。
  2. 浏览器式伪装 User-Agent：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Sa，记录 16 次。
  3. 伪造 URL 型恶意扫描 User-Agent：http://lxun.org/wp-admin/install.php?step=1，记录 10 次。
  4. 浏览器式伪装 User-Agent：Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0 Safari/537.36，记录 7 次。
  5. 未知来源 User-Agent 标本：Hello from Palo Alto Networks, find out more about our scans in https://docs-cortex.paloaltonetworks，记录 2 次。
  6. 未知来源 User-Agent 标本：metabase-cve-2026-72898-detect/1.0 (benign detection probes only)，记录 1 次。
  7. 浏览器式伪装 User-Agent：Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.，记录 1 次。
  8. 浏览器式伪装 User-Agent：Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.，记录 1 次。

原始 IP 不公开展示，只按 ASN、网段或匿名请求聚合。真实生产 SSH 不保存密码；明文密码展柜来自 Cowrie 蜜罐标本。

00

恶意 IP 与服务器扫描来源 GeoIP 热力图

    01

    SSH 暴力破解：最常见用户名

      02

      Cowrie 蜜罐记录：密码尝试与密码字典标本

        03

        恶意扫描源 ASN 与来源网段排行

          04

          WordPress 与 Web 漏洞扫描路径

            05

            SSH 爆破与恶意请求时间热力图

            06

            最新服务器扫描与蜜罐攻击标本

            07

            恶意 IP 来源网段聚合

              08

              常见恶意爬虫 User-Agent 列表