什么会被列入名单，以及如何移出。

条目会自动移除：无需有人记得删除旧地址。重新出现的地址只有在新的观察记录之后才会再次列入。

每个列表还有一个更严格的 -high 版本，条目更少。默认情况下，它需要至少 10 个传感器、在三个不同日期的观察记录，以及外部信誉来源的核对。

格式

• 纯文本，每行一个地址，也提供单独的 IPv4 和 IPv6 文件。
• nftables、ipset 和 MikroTik RouterOS 脚本。
• 包含日期的 CSV 和 JSON：首次出现、最后出现和过期时间。
• 出站列表提供 STIX 2.1 数据包。
• 域名列表仅提供文本、CSV 和 JSON 格式。

使用 minisign 签名

每个文件旁边都有一个 .minisig 签名，使用 Ed25519 密钥生成。列表的签名密钥与签署网络消息的密钥分开，因此泄露其中一个不会伪造另一个。公钥位于列表旁边的 README.txt 中。按以下方式检查文件：

minisign -Vm inbound.txt -P <public key>

直接加载普通 URL 的防火墙不会检查签名。请使用经过验证的镜像，或先自行检查文件。

防御辅助工具，而非定性结论

被列入名单是一项事实观察，而不是对持有该地址之人的指控。许多被列入的设备本身也已被入侵，例如被他人控制的路由器或 NAS。你在自己网络上封锁什么，由你决定。

规则

这些是默认值。中心可以更改它们，当前生效的数值位于 suckerpot-hub.selfhostr.io/v1/info。

• 至少有五个传感器看到过该地址。每个传感器至少在 14 天前注册，并且在最近 14 天中至少有 7 天上报过数据。
• 观察记录至少来自两个不同的日期，或者来自至少十个传感器。
• 任何一周的注册都不能提供超过一半的证据，因此一起加入的传感器无法单独把地址列入名单。
• 如果没有任何外部信誉来源知道该地址，则需要十个传感器而不是五个。这些来源由运营者设定。
• 扫描或单纯的连接绝不会将地址列入名单。入站条目需要登录、命令、下载、漏洞利用尝试，或大量密码猜测。
• 恶意软件主机需要一个下载的文件，且该文件与已知恶意软件家族匹配，或者是可执行程序或脚本，并且被至少两个传感器看到。仅命令中的 URL 不足以构成依据。
• 命令服务器需要网络给出的高可信度，并且需要至少两个传感器提供的、指向它的至少两个不同恶意软件样本。

绝不列入

• Tor 出口中继。每一个都由成千上万的人共用。
• 大型 CDN 和云前端地址段。一个地址可能服务成千上万个网站。
• 公共 DNS 解析器和根服务器。封锁它们会导致网络故障。
• 共享主机和软件即服务的主机名。封锁它们会妨碍工作。
• 私有地址和保留地址，例如你自己的局域网。
• 研究用扫描器，因为它们会主动声明自己的身份。
• 白名单中的地址，例如在接受了移除请求之后。

普通云服务器并不在排除之列，因为恶意软件常常托管在那里。较短的过期时间以及下线后的移除，可以在地址被重新分配时限制危害。被排除地址的数量是公开的；地址本身则不公开。

紧急制动

如果一次更新会添加或移除超过列表一半的条目，并且至少有 200 个条目发生变化，则不会发布任何内容。在运营者检查变更之前，之前的文件保持在线。这可以防止一批有问题的数据或一个错误在一夜之间改变你的防火墙封锁内容。

新条目在确认后等待六小时才会出现。列表每小时重新生成一次。

• 没有成员的 IP 地址。列表包含的是攻击者地址，而不是传感器的地址。
• 没有成员姓名、化名、节点 ID 或指纹。
• 没有观察的精确时间，只有日期。
• 列表中没有 URL、恶意软件样本或自由文本。
• 没有关于谁下载列表的日志。订阅源站点不保留访问日志。
• 订阅源站点没有 Cookie、没有分析工具，也没有第三方请求。
• 没有账户，也没有令牌。

如何申请

1. 打开申请表单：https://suckerpot-feeds.selfhostr.io/v1/delist.html。
2. 输入地址或主机名，选择原因，如有需要可补充详细信息（纯文本，最多 2,000 个字符）。
3. 表单会先解决一个工作量证明谜题，大约需要一秒钟。这取代了登录，并能限制大量请求的洪泛。
4. 你会获得一个申请编号和一个状态码。状态码只显示一次：请保存好，以便之后在同一页面查询状态。

你可以给出的原因

• 这个地址由我运营，它没有攻击任何人。
• 它是共享基础设施，例如 CDN、代理或解析器。
• 问题已修复或已清理。
• 该地址现在属于其他人。
• 其他原因。请在详细信息中说明。

检查某个值

你可以在不发送申请的情况下检查任何地址或主机名，使用申请页面上的查询框或下面的调用即可。结果会列出包含该值的每个列表及其日期。查询有频率限制。

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

接下来会发生什么

• 我们力求在 72 小时内处理每个申请。
• 在申请处理期间，入站条目会被隐藏。
• 出站条目在人工审核申请之前保持列出。这些条目保护力度最大，因此我们不会仅凭申请人的声明就移除它们。

你在申请中提供的数据

• 表单不存储你的 IP 地址。
• 详细信息和你的联系地址仅用于回复，并在决定作出后 30 天删除。
• 如果申请在 180 天后仍未结束，届时将删除其详细信息和联系地址。申请记录本身在提交后 180 天删除。

• 只举报已确认的条目，绝不举报扫描或单纯的连接。
• 默认情况下，运营者会在每份举报发送前进行审核。
• 举报发送给网络所有者的滥用联系人，该联系人通过公开的注册数据（RDAP）查找。
• 举报只包含事实：日期、服务、区间化的计数，以及看到它的传感器数量。它从不指名任何成员。
• 举报通过 VPN 发出。身份检查会拒绝任何提及项目或其运营者的文本。
• 每个目标和每个收件方只举报一次。同一目标在 30 天内不会再次被举报。

abuse.ch

已确认的恶意软件主机和命令服务器也可以提交给 abuse.ch，URLhaus 和 ThreatFox 会向所有人公开列出它们。这是可选的，默认关闭。目前由人工审核每次提交，命令服务器只有在运营者批准后才会提交。已完成提交的记录保留 365 天。