超市冰柜成了蜜罐：这个单文件程序假装成制冷控制器钓攻击者

hedgerow-dev/coldframe（gh API 11 月 8 日实测：31 星、0 fork，MIT 许可证，2026-11-05 创建、11-07 仍在推送；HN 157 分、34 条评论）。先定性：很早期的新开源项目——建库刚三天，不是正式产品发布。它是一个低交互蜜罐工具：假装成超市制冷监控器，把连进来的攻击者连同他们试过的密码、用过的公开漏洞全部记进日志，什么真东西都不给。

Coldframe GitHub 仓库页面

背景（README 作者口径）

2026 年，攻击者用默认密码与未打补丁的老固件，入侵了欧洲多地面向互联网的超市制冷监控器并强制除霜——这是 README 作者的说法，本文不当作已核实的新闻事件引用。coldframe 假装成其中一种控制器，记录谁连进来、试了什么密码、用了哪个公开漏洞。

形态：一个 Python 文件，两种 persona

单文件、只用标准库、零依赖，一行命令起服务（PERSONA=danfoss HTTP_PORT=8080 python3 -I honeypot.py），所有请求以 JSON 行输出到 stdout 与 events.jsonl。两种拟真 persona（README 原文口径）：

被模仿的真实设备之一：Copeland/Dixell XWEB EVO 产品页配图

Danfoss AK-SM 800A 系统管理器：复制真实设备的 nginx 响应头与顺序、“Danfoss StoreView”页面标题、仅 TLS 1.2、自签证书 CN=DanfossSM800A；弱口令（如 Supervisor / 12345）与正确的 CVE-2025-41450“每日口令”会登录成功——攻击者拿到会话 token、一排假冷柜与除霜按钮，每个动作都记为 control 事件，nothing is real；
Dixell XWEB EVO 监控器：走真实的 /cgi-bin/login.lua 登录流程，出厂账号 Admin / Admin 能登录，5 分钟内失败 5 次锁定；针对 XWEB Pro auth_mode 绕过（CVE-2026-25085）的尝试会被打标记。

能识别并打 exploit 标记的公开漏洞（README 口径）：CVE-2023-25914（路径遍历）、CVE-2023-25915（命令注入）、CVE-2025-41452（nginx 头改写）、CVE-2025-41450（每日口令绕过）、CVE-2021-45420（XWEB 500 上传与命令路径）、CVE-2026-25085（XWEB Pro auth_mode 绕过）。另有可选 Modbus TCP 服务（假冷柜温度、设定点、除霜寄存器），默认关闭——真实 AK-SM 800A 只用 Modbus 与自家冷柜控制器通信。

判断

三点校准：① 与第九批 Alpine OpenSSH 绕过、第二十八批姜饼屋蜜罐区分：那两篇是真实漏洞与防御研究，这篇是“开箱即用的低交互诱饵”——工控与物业设备第一次有了拿来就跑的蜜罐模板；② “2026 年入侵欧洲超市”是作者叙事，CVE 编号与利用细节以 README 为准，别升格成已核实的新闻；③ 31 星、三天龄，很早期——但“制冷控制器也值得有个蜜罐”这个判断本身值得记：暴露面清单里又多了一类设备，谁在扫它们，跑一个 coldframe 就知道了。