# 让黑客白忙一场的7个开源蜜罐 ## 概述 扫描器每天在你的服务器门口敲门几百次，绝大多数管理员选择装看不见。这一期换个思路：与其被动挨扫，不如请君入瓮。本期专挖「欺骗防御」方向的开源蜜罐——从让扫描器永远卡在握手阶段的 SSH 狡猡，到能伪造整个工控电厂的仿真陷阱，再到一枚假 AWS 密钥就能揪出内鬼的密探令牌。这个方向冷门、深度足，而且国外已有靠它做成年收数百万美元生意（Thinkst）的成功先例，非常适合安全服务商二开变现。文中 Star 数均为约数，以仓库实时数据为准。 --- ## 1. [Cowrie](https://github.com/cowrie/cowrie) | 约5000+ Star | 老牌持续维护 **一句话定位**：中交互 SSH/Telnet 蜜罐的行业标准——黑客以为自己攻进来了，其实从头到尾都在你的剧本里。 **解决什么痛点**：公网服务器的 22 端口每天被爆破上千次，防火墙只能挡，学不到东西。Cowrie 直接把假 shell 递给攻击者：它能模拟一个真实的 Linux 文件系统，让攻击者 `ls`、`cat`、甚至「下载」并「运行」挖矿脚本——每一步都被完整录制成 TTY 录像存进数据库。 **核心功能拆解**：用 Python 写成，基于 Twisted 异步框架；文件系统是一份可编辑的 JSON 仿真树，你想让假目录多像生产环境就多像；攻击者上传的恶意样本会被自动扣留存储，直接喂给威胁分析。部署一条 `pip install cowrie` 加配置即可，接在真实 SSH 前面做代理模式也支持。据其官方文档，它是全球学术论文和威胁情报报告里被引用最多的蜜罐之一。 **上手难度**：⭐⭐⭐ **适用人群**：安全运维、想搞清楚「到底谁在扫我」的运维团队。**变现思路**：帮中小企业批量部署并输出「攻击面月报」，是一份几乎零边际成本的安服产品。 --- ## 2. [OpenCanary](https://github.com/Thinkst/opencanary) | 约2800 Star | 持续维护 **一句话定位**：一句命令在内网撒一把「假服务」，谁碰谁报警——防内渗透的不是墙，是警报器。 **解决什么痛点**：防火墙防外不防内。攻击者进了内网后会扫描横向移动，而 OpenCanary 的思路是在内网各处放上逼真的诱饵：假 SMB 共享、假 FTP、假 SQL Admin、假路由器管理页——真实员工永远不会去碰它们，任何一个连接都意味着有猫腻，立刻发邮件/Slack 告警。 **核心功能拆解**：Python 守护进程，一个节点可同时跑十几种协议蜜罐；亮点是告警质量极高——因为是诱饵，误报率天然趋近于零，据其官方文档这正是它与传统 IDS 的核心区别。配置就是改一个 JSON 文件，树莓派都能跑。它背后是商业公司 Thinkst，开源版功能完整，付费版 Canary 多了硬件诱饵设备和管理台——「开源核心+商业硬件」的打法非常值得研究。 **上手难度**：⭐⭐ **适用人群**：没有专职安全团队的中型企业、想给客户加「内网雷达」的 MSP 服务商。**变现思路**：按节点数收月费的「内网入侵预警」托管服务。 --- ## 3. [Canarytokens](https://github.com/Thinkst/canarytokens.org) | 约1500 Star | 持续维护 **一句话定位**：免费的高精密度绊线——一枚假 AWS 密钥、一份假 Word 文档，谁偷谁现身。 **解决什么痛点**：日志告诉你「可能有事」，Canarytoken 告诉你「确切发生了什么」。它把告警埋进各种日常物件里：一张网页、一个 DNS 域名、一份嵌了追踪像素的 PDF、一张假的 AWS API 密钥、一个假 MySQL 转储文件。密钥被人拿去用、文档被人在断外网的机器上打开，你都会收到带时间地点的告警。 **核心功能拆解**：这是个 Django 项目，官方在 canarytokens.org 免费托管，你也可以完全自托管。最有意思的是「Web 图片令牌」和「Cloned Website 令牌」：前者钓鱼取证一绝，后者专抓抄袭你官网的竞品——安全圈之外也很好用。据其官方仓库，整套系统无任何外部依赖数据库，部署门槛低。 **上手难度**：⭐⭐ **适用人群**：红队、想验证「我的密钥有没有泄露」的每个开发者。**变现思路**：几乎没人把它用到业务侧——给律所/设计公司做「文件泄露追踪」部署，是 Blue Ocean。 --- ## 4. [T-Pot](https://github.com/dtag-dev-sec/tpotce) | 约5000 Star | 持续维护 **一句话定位**：德国电信开源的「蜜罐全家桶」——一个 ISO 镜像把二十多个蜜罐和可视化仪表盘全部打包。 **解决什么痛点**：单个蜜罐只看一个端口，想组一套完整的全网诱捕体系要自己拼十几个开源项目、调依赖、对日志格式，劝退。T-Pot 由德国电信的安全团队（Deutsche Telekom Security）多年维护，用 Docker 把 Cowrie、Conpot、heralding 等主流蜜罐编排在一起，共享一个 Elasticsearch 存储，开箱自带 Kibana 攻击可视化大屏和 ATTACK 安全框架映射。 **核心功能拆解**：提供标准版、企业版等多种安装镜像；每个蜜罐跑在独立容器里，互不污染；内置的攻击地图和统计面板拿去做 SOC 汇报极其唬人。代价是资源占用不低——官方建议至少 8GB 内存的虚拟机。据其官方文档，它定位就是「传感器+研究」双用途。 **上手难度**：⭐⭐⭐（部署简单，玩透面板需要时间） **适用人群**：高校安全实验室、想攒威胁情报数据的团队。**变现思路**：把多台 T-Pot 组成传感网络，聚合脱敏后的攻击情报卖给同行。 --- ## 5. [Endlessh](https://github.com/skeeto/endlessh) | 约7000+ Star | 极小而美 **一句话定位**：一千行 C 写成的 SSH 「贪吃蛇陷阱」——不蜜罐、不欺骗，纯粹让扫描器永远握不完手。 **解决什么痛点**：面对海量 SSH 爆破，fail2ban 是封一个来一个，治标。Endlessh 的思路更狠：它监听 22 端口，对每个连进来的扫描器发送一条无限长的、故意拖慢的 SSH 协议头，遵守协议的客户端只能干等着——一个 Endlessh 实例可以同时把几千个扫描器拖在「永久连接中」，让它们没空去扫别人。 **核心功能拆解**：单文件 C 程序，零依赖，编译即用；自带速率限制和连接数上限防止自己被 DDoS；有 Go 语言重写版 endlessh-go 加了 Prometheus 指标。作者 skeeto 是知名的极简主义程序员，整个项目是对「用最小复杂度解决实际问题」的完美演示——这也是它 Star 远超许多重型蜜罐的原因。 **上手难度**：⭐ **适用人群**：所有被爆破烦到的人，VPS 一行命令部署。**变现思路**：不好直接卖，但它是极好的技术内容素材和运维套件里的口碑配件。 --- ## 6. [Conpot](https://github.com/mushorg/conpot) | 约1000 Star | 小而美 **一句话定位**：工控/SCADA 蜜罐——用一台虚拟「电厂」钓出专打基础设施的黑客。 **解决什么痛点**：电力、水务、楼宇控制的 SCADA/Modbus/S7comm 协议是 APT 组织的重点目标，但真实工控设备绝不可能拿出来当靶子。Conpot 由德国 Honeynet 项目组维护，能在普通服务器上仿真出完整的工控环境：假 PLC、假电表、假门禁控制器，带真实的协议应答时序，连设备厂商型号都仿真到位。 **核心功能拆解**：架构上把「协议处理」和「仿真数据」解耦——同一套核心可以换不同行业的仿真模板；支持 Modbus、S7comm、SNMP、HTTP 等工控常见协议。Star 数不高，但在 OT 安全研究领域几乎无人不晓，学术引用极多。据其官方仓库，定制一个新模板只需改 XML。 **上手难度**：⭐⭐⭐⭐（需要懂一点工控协议背景） **适用人群**：OT 安全工程师、能源/制造业安全团队。**变现思路**：OT 安全人才极度稀缺，围绕它的仿真环境做培训课程和红队靶场，客单价远高于 IT 安全。 --- ## 7. [Honeypots by QeeqBox](https://github.com/qeeqbox/honeypots) | 约1400 Star | 小而美 **一句话定位**：一个 Python 库同时假装 30 种服务——写两行代码，你的应用就自带反侦察雷达。 **解决什么痛点**：前面几个蜜罐都是「独立部署」的，想在现有应用旁边快速加一层诱饵很麻烦。这个项目把 FTP、SSH、HTTP、MySQL、Redis、SIP 等 30 种协议的蜜罐全部做成可编程 API：`start_one()` 一行起一个，也可以全部起；所有捕获事件实时推到本地服务器或 React 前端仪表盘。 **核心功能拆解**：纯 Python、单机无依赖，可当库导入也可当 CLI 跑；支持自定义响应脚本，比如让假 Redis 返回你预设的数据；自带多状态可视化界面。对开发者最友好的场景是「嵌进产品」：给自研设备/客户端加一层假端口，把攻击信号直接打进你的主程序。据其官方仓库，它还能配合Packet错误注入做钓鱼应答。 **上手难度**：⭐⭐ **适用人群**：独立开发者、IoT 厂商、想在产品里内置「防扫雷达」的团队。**变现思路**：把它封装进自有产品的安全模块，作为收费增值功能——「自带入侵告警」是很好的卖点。 --- ## 本期横向对比 | 仓库 | 类型 | Star(约) | 上手难度 | 最佳场景 | |------|------|--------|---------|---------| | Cowrie | 中交互SSH蜜罐 | 5000+ | ⭐⭐⭐ | 公网诱捕、样本收集 | | OpenCanary | 内网诱饵告警 | 2800 | ⭐⭐ | 中小企业内网雷达 | | Canarytokens | 令牌绊线 | 1500 | ⭐⭐ | 密钥泄露/文件追踪 | | T-Pot | 蜜罐平台全家桶 | 5000 | ⭐⭐⭐ | 威胁情报研究、SOC大屏 | | Endlessh | SSH协议拖沓 | 7000+ | ⭐ | VPS止血 | | Conpot | 工控SCADA蜜罐 | 1000 | ⭐⭐⭐⭐ | OT安全研究 | | QeeqBox Honeypots | 30合1可编程蜜罐 | 1400 | ⭐⭐ | 嵌入产品的反侦察 | ## 可视化总览 ```mermaid mindmap root((开源蜜罐与欺骗防御)) 拖慢消耗 Endlessh 诱捕取证 Cowrie T-Pot Conpot 精准告警 OpenCanary Canarytokens QeeqBox Honeypots 变现路径 安服托管月费 威胁情报售卖 嵌入产品增值功能 ``` ## 本期之最 - **最值得立即尝试**：[Endlessh](https://github.com/skeeto/endlessh) ——五分钟部署，从此爆破日志安静如鸡。 - **最有商业潜力**：[OpenCanary](https://github.com/Thinkst/opencanary) ——母公司 Thinkst 已证明这条路能做成生意，国内 MSP 市场还是空白。 - **最被低估**：[Conpot](https://github.com/mushorg/conpot) ——OT 安全是未来十年确定性赛道，而它的仿真环境是最低成本的学习与研发靶场。 ## 参考来源 1. [Cowrie - GitHub](https://github.com/cowrie/cowrie) — 中交互 SSH/Telent 蜜罐主仓库与官方文档 2. [Thinkst OpenCanary - GitHub](https://github.com/Thinkst/opencanary) — 内网诱饵告警系统，官网 thinkst.com 3. [Canarytokens - GitHub](https://github.com/Thinkst/canarytokens.org) — 免费绊线令牌生成系统，官方托管 canarytokens.org 4. [T-Pot - GitHub](https://github.com/dtag-dev-sec/tpotce) — 德国电信安全团队的多蜜罐编排平台 5. [Endlessh - GitHub](https://github.com/skeeto/endlessh) — SSH 协议拖沓陷阱，作者 skeeto 的极简实现 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。