HoneyLabs

HoneyLabs

将蜜罐威胁情报作为 MCP 工具。 查询我们蜜罐传感器网络中 90 天的探测 数据：IP 信誉、扫描器分类、CVE 探测趋势、TLS/HTTP/SSH 指纹（JA4、JA3、Akin、 HASSH）、mTLS 客户端证书、Community ID 流哈希和攻击 时间线。可直接通过 Claude、Cursor、Gemini、Cline 或任何其他 Model Context Protocol 客户端使用。

• 🌐 网站： https://honeylabs.net
• 🔌 MCP 端点： https://mcp.honeylabs.net/mcp（可流式传输的 HTTP）
• 🧰 工具目录和示例提示词： https://honeylabs.net/mcp
• 📖 文档： https://honeylabs.net/docs
• 🔑 访问方式： 使用密钥即可免费访问，须遵守公平使用限制

---

安装

Claude Code

claude mcp add honeylabs \
  --transport http \
  https://mcp.honeylabs.net/mcp \
  --header "Authorization: Bearer <your-key>"

前往 https://honeylabs.net/dashboard?src=github 获取密钥（通过魔法链接登录，无需密码）。

Claude Desktop / Cursor

添加到 MCP 配置中：

{
  "mcpServers": {
    "honeylabs": {
      "url": "https://mcp.honeylabs.net/mcp",
      "headers": {
        "Authorization": "Bearer <your-key>"
      }
    }
  }
}

Cline

使用与 Claude Desktop / Cursor 相同的 JSON 配置。可通过 MCP Marketplace 列表安装，也可将上方的配置块粘贴到设置中。

Gemini CLI

gemini /mcp add honeylabs https://mcp.honeylabs.net/mcp
gemini /mcp auth honeylabs    # OAuth flow, no static key

/oauth/authorize 支持 OAuth 2.1 与 PKCE + DCR。任何支持标准 OAuth 的 MCP 客户端（Gemini、MCP Inspector、Smithery、Cline 的 OAuth 流程）都可以直接使用。

---

工具

工具	可回答的问题
ioc_lookup	此 IP / 域名是否已知正在进行探测？返回我们的判定、是否为已识别的良性扫描器、它探测过的 CVE，以及端口 / 路径 / 指纹。
top_attackers	按时间范围对源 IP、ASN、国家、端口、user-agent 或 CVE（by='cve'）进行排名。
search_events	返回符合筛选条件的原始蜜罐事件（IP、ASN、国家、dest_port、协议、http_method、ja4/ja3/akin、community_id、has_client_cert）。
attack_timeline	显示时间范围内按小时 / 天统计的攻击量，可按协议 / 国家 / 端口筛选。
asn_enrich	获取 ASN 的完整资料：事件总数、唯一 IP 数、热门端口、来源国家、user-agent、组织名称。
fingerprint_search	按 TLS JA4 / JA3、HTTP Akin 或 SSH HASSH 指纹搜索，以查找共享基础设施。
fingerprint_similar	查找与 Akin HTTP 指纹相差几个请求头的请求形态、这些客户端请求的内容，以及该令牌所属的家族。
cve_lookup	查询哪些来源正在探测指定 CVE：严重性、KEV 状态、带有 ASN 和扫描器标签的热门探测 IP、指纹、示例路径和每日时间线。
payload_search	在攻击流量中按 URL 路径和 user-agent 进行全文搜索。

所有工具均可免费调用。套餐的区别在于可获取的数据量，而非工具种类：响应中的每一行计为 1 个额度；免费密钥每天提供 500 个额度，使用量较高时可选择更高限额。详情请参阅 https://honeylabs.net/docs#plans。

---

数据说明

HoneyLabs 运行着一批全天候遭受公共 互联网探测的蜜罐。每次探测，也就是每次连接、TLS 握手和 HTTP 请求，都会记录源 IP、ASN、 地理位置、TLS/HTTP/SSH 指纹和完整 URL 路径。我们保留最近 90 天的数据，并通过此 MCP 服务、JSON API、 位于 /lookup/<ip> 的公开查询网页，以及 CSV / STIX 导出提供数据。

这些是我们自己收集的真实一手记录，反映当前正在扫描互联网的对象，而非从 CVSS 数据库或第三方信誉数据源复制而来。

---

示例提示词

配置好 HoneyLabs 后，可以向 Claude / Cursor / Gemini 提出以下问题：

• "80.82.77.202 是已知的扫描器吗？最近一次发现它是什么时候？它在探测什么？"
• "提取过去 24 小时内使用非 Windows User-Agent 访问过 445 端口的所有 IP。"
• "按 ASN 分类，展示过去 7 天内每天 CVE-2024-4577 的探测量。"
• "本周正在被大规模扫描的是哪些 CVE？针对排名第一的 CVE，幕后是谁？"
• "167.94.146.63 正在大量触发我的防火墙日志。这是攻击还是研究扫描器？"
• "对于目前访问 6379 端口的前 10 个攻击者，他们有哪些共同的 TLS JA4 指纹？"

更多完整示例请访问 https://honeylabs.net/mcp。

---

开源

蜜罐集群本身（Spip-Go）和数据增强流水线（Loom）均为公开项目。本仓库（MCP / API 接口）为闭源项目。

---

联系方式

• [email protected]
• https://www.linkedin.com/company/honeylabsnet/