情報收集爬蟲, 非 HTTP 加密/二進位協議盲測,真實的網頁漏洞尋找

24.199.98.33 - - [06/Aug/2026:22:14:36 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 zgrab/0.x" "-" 157.143.3.35 - - [06/Aug/2026:22:28:34 +0800] "GET / HTTP/1.1" 200 51440 "-" "Mozilla/5.0 (Linux; Android 6.0; Nexus 5 Build/MRA58N) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.0.0 Mobile Safari/537.36" "-" 45.198.224.26 - - [06/Aug/2026:22:29:17 +0800] "GET /login HTTP/1.1" 301 169 "-" "Go-http-client/1.1" "-" 85.217.149.16 - - [06/Aug/2026:22:41:47 +0800] "00000000" 400 157 "-" "-" "-" 142.93.236.143 - - [06/Aug/2026:22:45:16 +0800] "GET / HTTP/1.1" 200 51330 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36" "-" 142.93.236.143 - - [06/Aug/2026:22:45:24 +0800] "GET /favicon.ico HTTP/1.1" 302 5 "https://114.35.81.57/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36" "-" 217.146.80.99 - - [06/Aug/2026:22:47:28 +0800] "GET /zc?action=getInfo HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 81.19.216.94 - - [06/Aug/2026:22:47:47 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 185.223.235.16 - - [06/Aug/2026:22:47:48 +0800] "GET /favicon.ico HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 193.176.31.231 - - [06/Aug/2026:22:47:49 +0800] "GET /mcp HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 81.19.216.104 - - [06/Aug/2026:22:47:49 +0800] "GET /mcp/ HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 185.223.235.13 - - [06/Aug/2026:22:47:58 +0800] "GET /sse HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; Infrawatch/1.0; +https://infrawat.ch/)" "-" 45.194.67.2 - - [06/Aug/2026:22:48:06 +0800] "\xFF\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xF1\x03%\x00\x00\x00{ \x22Ret\x22 : 100, \x22SessionID\x22 : \x220x0\x22 }" 400 157 "-" "-" "-" 45.205.1.247 - - [06/Aug/2026:22:58:18 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (compatible; FlowIQLabsBot/1.0; +https://flowiq-labs.com/scanning-info)" "-" 45.205.1.247 - - [06/Aug/2026:22:58:19 +0800] "GET /favicon.ico HTTP/1.1" 404 153 "-" "Mozilla/5.0 (compatible; FlowIQLabsBot/1.0; +https://flowiq-labs.com/scanning-info)" "-" 195.182.16.23 - - [06/Aug/2026:22:59:12 +0800] "GET /SDK/webLanguage HTTP/1.1" 301 169 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36 Edg/90.0.818.46" "-"

這段日誌記錄了多個不同的國際學術機構、資安公司與惡意掃描器，對您主機進行的一連串**「全方位背景探測與協定盲測」**。

這裡面包含了一些與之前完全不同的新攻擊特徵（包含二進位亂碼攻擊）。以下為您依序分成 三大類別 進行深層用意拆解：

第一類：知名資安公司的「情報收集爬蟲」（Threat Intelligence）

這類流量不是為了立刻黑掉您的網站，而是資安公司在繪製全球公網地圖：

24.199.98.33（"Mozilla/5.0 zgrab/0.x"）➔ 回應 200 105
- 用意：zgrab 是資安界非常有名的網路 banner 抓取工具。它直接訪問您的首頁，拿到了 105 位元組的回應。
- 105 的真相：這個超小的大小，代表它踩中了您設下的 IP 直連防禦（444 陷阱的 301 跳轉），或是 Nginx 拒絕直連的回應，它根本沒讀到您的 WordPress 首頁。
那一群 "Infrawatch/1.0"（81.19.216.x 等）➔ 回應 404 153
- 用意：這是歐洲一家名為 Infrawatch 的網路威脅監測機構。他們在短時間內用不同的 IP 聯手探測 /zc?action=getInfo、/mcp、/sse。這些是常見的物聯網（IoT）設備或特定的企業級路由器的後台路徑，他們想看看您家裡是不是裝了有漏洞的網路設備。

第二類：惡劣的「非 HTTP 加密/二進位協議盲測」（Protocol Blinding）

這兩條日誌看起來像是亂碼，是極具技術性的探測：

85.217.149.16 ➔ "00000000" 400 157
45.194.67.2 ➔ "\xFF\x00\x00... \x22Ret\x22 : 100 ..." ➔ 回應 400 157
- 用意：駭客沒有發送標準的網頁請求（如 GET / HTTP/1.1），而是直接往您的 80/443 Port 發送了一串**純十六進位二進位碼（Hex Code）**與 JSON 格式字串。
- 駭客陰謀：這通常是針對特定資料庫、工業控制設備（PLC）、或是某種加密挖礦軟體（Miner）的特定通訊協定探測。駭客在盲猜您家裡的 Port 80 後面，是不是藏著其他非網頁的特殊通訊服務。
- Nginx 反應：Nginx 發現這根本不是標準的 HTTP 語法，直接用 400（錯誤請求） 把它打槍，安全過關。

第三類：真實的網頁漏洞尋找（Web App Scan）

195.182.16.23 ➔ "GET /SDK/webLanguage HTTP/1.1" 301 169
- 用意：/SDK/webLanguage 是某些知名網路攝影機（如海康威視 Hikvision）後台的核心路徑。駭客想探測您有沒有把家裡的 IP 攝影機 Port Forwarding 暴露在外網。

🛡️ 這段日誌在您的「新防線」下會發生什麼事？

這段日誌展示了自動化網路環境的常態：在不到一小時內，就有 6、7 個不同的全球 IP 來對您敲門。