蜜罐上线 26 小时即捕获疑似 RCE 攻击现场

moyix · x · 2026-10-25

安全研究员 0x4D31 披露其 phpot 蜜罐项目上线仅 26 小时、仅部署 6 个传感器，就记录到多起疑似攻击活动：反复的泄露阶段尝试、分布式探测，以及一波 38 次请求的序列化器测试，期间出现 30 次 OOM 和 11 次 worker 崩溃，但尚未确认 RCE。

配图显示 Tetragon 检测到 Apache 进程在处理来自 15.204.59.70 的 POST 序列时以 UID 33 spawn 了 /bin/sh，同时伴随超大响应 Cookie、内存耗尽、敏感文件操作和两次 worker 崩溃事件。不过由于 Finch 侧缺少对应原生请求捕获、事件缺父 worker PID，精确归因、写入是否成功及外联回传仍未确认——作者正在继续调查是否真的捕获到 RCE。