#每天一个知识点# 一个 /24 段里 10 个 IP，其实是同一个人。

13 天蜜罐日志，157 个真实 IP，我一个个认了一遍：
· 三成多的"浏览器"是假的（Chrome/147.0.0.0 这种补丁号全零的）
· /.env 加 /config.json 两个路径就占了 92% 的访问
· 24% 的流量来自 Google Cloud，专门扫子域名
· 四家专业扫描服务自报家门，反而不用防

还有一个我先踩后说的坑：日志里的 IP 可能全是 CDN 回源节点，
不确认一下的话，你画出来的是 CDN 的画像，不是攻击者的。

#新人报道# 在服务器上埋了 8 个假文件，12 天记录到 502 次访问、119 个独立 IP。

最离谱的是一组扫描器 —— 同一个 C 段的三兄弟 IP，坚持来了 10 天，
每天准时造访，每次都读到同一份假配置。按它们的视角，这是个命中率
100% 的目标。

聊几个细节：诱饵怎么做得像真的、怎么追踪是谁读走的、以及从 12 天的
日志里能看出哪些东西。