203.83.186.62 - - [07/Aug/2026:00:01:58 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36" "-" 36.227.160.237 - admin [07/Aug/2026:00:04:44 +0800] "GET /cgi-bin/configManager.cgi?action=getConfig&name=ChannelTitle HTTP/1.1" 301 169 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/144.0.0.0 Safari/537.36" "-" 36.227.160.237 - admin [07/Aug/2026:00:04:47 +0800] "GET /cgi-bin/configManager.cgi?action=getConfig&name=ChannelTitle HTTP/1.1" 301 169 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/144.0.0.0 Safari/537.36" "-" 8.211.19.30 - - [07/Aug/2026:00:15:19 +0800] "" 400 0 "-" "-" "-" 8.211.19.30 - - [07/Aug/2026:00:15:30 +0800] "\x16\x03\x01\x00\xEE\x01\x00\x00\xEA\x03\x03I\x06\xB2\xF9\xBC\x99i\xC0Y\xFB\xF8\xBAe-\x83Ud]\x0E\x8D\xB7b8\xB4g\xC6\xDD9dZ8f g\xC1\x81i\xB3\xF6\xF2\xCB\xB0\xA9\x19N\xD6\xBD\x95g|p\xFC\xE9<Z\xA1\x90T\xB7\xE9\xA58'O;\x00&\xC0+\xC0/\xC0,\xC00\xCC\xA9\xCC\xA8\xC0\x09\xC0\x13\xC0" 400 157 "-" "-" "-" 8.211.19.30 - - [07/Aug/2026:00:15:30 +0800] "GET / HTTP/1.1" 200 105 "-" "curl/7.74.0" "-" 123.160.223.74 - - [07/Aug/2026:00:15:58 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" "-" 66.93.173.75 - - [07/Aug/2026:00:16:01 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" "-" 47.251.79.205 - - [07/Aug/2026:00:16:03 +0800] "GET /favicon.ico HTTP/1.1" 404 555 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" "-" 20.127.157.56 - - [07/Aug/2026:00:26:54 +0800] "GET /actuator/health HTTP/1.1" 301 169 "-" "Mozilla/5.0 zgrab/0.x" "-" 103.59.156.16 - - [07/Aug/2026:00:29:33 +0800] "GET / HTTP/1.1" 200 105 "-" "Mozilla/5.0 (Linux; U; Android 4.4.2; en-us; SCH-I535 Build/KOT49H) AppleWebKit/534.30 (KHTML, like Gecko) Version/4.0 Mobile Safari/534.30" "-" 45.194.67.2 - - [07/Aug/2026:00:31:37 +0800] "\xFF\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xF1\x03%\x00\x00\x00{ \x22Ret\x22 : 100, \x22SessionID\x22 : \x220x0\x22 }" 400 157 "-" "-" "-"

這段日誌記錄了多個極具威脅的網路刺探行為，其中包含一組極度反常且危險的「登入特徵」，以及黑客利用二進位碼企圖探測您伺服器加密漏洞的過程。

以下為您詳細拆解這段日誌中最重要的三個核心資安警訊：

1. 🚨 嚴重警訊：出現帶有使用者名稱的連線（IP: 36.227.160.237）

請仔細觀察這兩行日誌：

36.227.160.237 - admin [07/Aug/2026:00:04:44 +0800] "GET /cgi-bin/...

• 反常的發現：日誌格式中的第一個 代表匿名存取，而這裡居然變成了 admin！這代表這台掃描器在發送請求時，在 HTTP 標頭中主動帶上了**「HTTP 基本認證（HTTP Basic Authentication）」**的帳號密碼（帳號為 admin）。
• 黑客意圖：它正在尋找特定廠牌網路攝影機（IPC）或路由器內建的網頁管理後台。它使用了內建的預設帳密（admin），嘗試直接讀取設備的攝影機頻道名稱設定檔（/cgi-bin/configManager.cgi?action=getConfig&name=ChannelTitle）。
• 您的回應 301 169：因為它直接用 IP 連線敲門，再度踩中了您的 HTTP 轉 HTTPS 轉向機制，並未成功摸進任何設備後台，安全過關。

2. 底層加密協定探測與 SSL 握手盲測（IP: 8.211.19.30）

這三行連續的日誌展示了一個非常精準的「協定探測與降級攻擊（Protocol Downgrade）」測試：

8.211.19.30 - - [00:15:19] "" 400 0 "-" "-" "-"
8.211.19.30 - - [00:15:30] "\x16\x03\x01\x00\xEE\x01..." 400 157 "-" "-" "-"
8.211.19.30 - - [00:15:30] "GET / HTTP/1.1" 200 105 "-" "curl/7.74.0" "-"

• 第一步 400 0：黑客先連上您的 Port 80，什麼都沒傳就直接斷線，測試您伺服器的連線反應。
• 第二步 \x16\x03\x01... ➔ 回應 400 157：
  • 技術特徵：這串亂碼是標準的 HTTPS / TLS Client Hello 握手封包二進位原始碼。其中 \x16 代表 TLS 紀錄協定（Handshake），\x03\x01 代表 TLS 1.0 版本（一種非常古老且早已被淘汰的加密協定）。
  • 黑客陰謀：黑客故意用古老的 TLS 1.0 封包去塞您的 Port 80。他想測試您的 Nginx 夠不夠傻，會不會為了配合他而將加密層「降級」到不安全的舊版 TLS。
  • Nginx 反應：您的 Nginx 安全防護極高，直接判定這是無效的網頁請求（400），並用 157 位元組拒絕。
• 第三步 curl/7.74.0：發現硬闖不行，黑客在同一秒（22:15:30）換回標準的 linux 指令工具（curl），規矩地發送了一次 GET / 請求，但隨即又踩中了您的 IP 直連陷阱（回應 105 位元組）。

3. 常見網頁開發框架漏洞探測：Spring Boot Actuator（IP: 20.127.157.56）