攻击者 → Nginx → FastAPI → SQLite ← 沙箱工作者 (Docker)
                   (捕获)            (轮询任务，写入IOC)

git clone https://github.com/HelgeSverre/livewire-honeypot.git
cd livewire-honeypot

# 安装依赖
uv sync

# 启动 Web 服务器（仅捕获，无需 Docker）
DATA_DIR=./data uv run uvicorn honeypot.main:app --reload --port 8000

# 在第二个终端中启动沙箱工作者（需要 Docker）
DATA_DIR=./data uv run python -m honeypot.worker

# 运行测试
uv run pytest tests/ -v

# 1. 创建一个 $6/月的 droplet (Ubuntu 24.04, 1 GB 内存足够).
#    在 DigitalOcean 上:
doctl compute droplet create veritron-honeypot \
    --size s-1vcpu-1gb \
    --image ubuntu-24-04-x64 \
    --region fra1 \
    --ssh-keys "$(doctl compute ssh-key list --format ID --no-header | head -1)" \
    --wait

# 2. 将域名的 A 记录指向 droplet 的 IP.
#    继续之前先等待 DNS 解析完成。
dig +short your-domain.example   # 应返回 droplet IP

# 3. 将项目复制到 droplet 上。
rsync -az --exclude='.git' --exclude='.venv' --exclude='data' \
    ./ root@<droplet-ip>:/opt/honeypot/

# 4. 运行引导脚本。传入你的域名将启用 certbot 的 TLS。
ssh root@<droplet-ip> 'cd /opt/honeypot && [email protected] \
    bash deploy/setup.sh your-domain.example'

# 查看日志
journalctl -u honeypot -f
journalctl -u honeypot-worker -f

# 重启服务
systemctl restart honeypot honeypot-worker

# 升级
cd /opt/honeypot && git pull && uv sync
docker build -t honeypot-sandbox sandbox/
systemctl restart honeypot honeypot-worker

# 最近的请求
sqlite3 /var/honeypot/captures.db \
  "SELECT timestamp, source_ip, method, path, matched_trap
   FROM requests ORDER BY id DESC LIMIT 20;"

# 按频率排列的唯一负载
sqlite3 /var/honeypot/captures.db \
  "SELECT sha256, filename, payload_type, times_seen, sandbox_status
   FROM payloads ORDER BY times_seen DESC;"

# 最活跃的攻击者 IP
sqlite3 /var/honeypot/captures.db \
  "SELECT ip, total_requests, first_seen, last_seen
   FROM attackers ORDER BY total_requests DESC LIMIT 10;"

# 沙箱运行结果及提取的 IOC（JSON）
sqlite3 /var/honeypot/captures.db \
  "SELECT payload_id, exit_code, duration_seconds, c2_urls_found, iocs
   FROM sandbox_runs ORDER BY id DESC LIMIT 5;"

# 待处理的沙箱任务
sqlite3 /var/honeypot/captures.db \
  "SELECT id, payload_sha256, status, created_at
   FROM sandbox_jobs ORDER BY id DESC LIMIT 10;"

src/honeypot/
  main.py              # FastAPI Web 应用（仅捕获，无 Docker）
  worker.py            # 独立沙箱工作者（轮询 SQLite，需要 Docker）
  config.py            # 从环境变量读取设置
  capture/
    database.py        # 异步 SQLite——请求、负载、sandbox_jobs 队列
    logger.py          # ASGI 中间件——记录每个请求
    payloads.py        # SHA-256 去重存储 + 负载分类
  facade/
    routes.py          # 具有 Laravel 特征的页面（登录、注册等）
    templates/         # 包含 Livewire wire: 属性的 Jinja2 HTML
    static/            # 假冒的 livewire.js（v3.5.1 指纹）
  traps/
    livewire.py        # POST /livewire/message, /upload-file, /preview-file
    php_catchall.py    # 针对 *.php 探测的兜底陷阱
  sandbox/
    orchestrator.py    # Docker 容器生命周期 + 加固
    analyzer.py        # 工件解析 + IOC 提取 + C2 评分
deploy/
  nginx.conf           # 带速率限制的反向代理
  honeypot.service     # systemd 单元（Web）
  honeypot-worker.service  # systemd 单元（沙箱工作者）
  setup.sh             # VPS 引导脚本
sandbox/
  Dockerfile           # 沙箱容器镜像（PHP 8.3 + 攻击者工具）
  entrypoint.sh        # 容器入口点，带有 LD_PRELOAD 网络垫片