#每天一个知识点# 一个 /24 段里 10 个 IP，其实是同一个人。

13 天蜜罐日志，157 个真实 IP，我一个个认了一遍：
· 三成多的"浏览器"是假的（Chrome/147.0.0.0 这种补丁号全零的）
· /.env 加 /config.json 两个路径就占了 92% 的访问
· 24% 的流量来自 Google Cloud，专门扫子域名
· 四家专业扫描服务自报家门，反而不用防

还有一个我先踩后说的坑：日志里的 IP 可能全是 CDN 回源节点，
不确认一下的话，你画出来的是 CDN 的画像，不是攻击者的。