FFraud-com/ip-fraud-database
FFraud-com/ip-fraud-database has 40 GitHub stars and 3 forks. GitHot measured +1 stars in 24 hours. Last checked 2026-11-15 04:21 UTC. Last push 2026-11-03.
实测星标增长
- 24小时
- +1
- 7天
- 正在收集历史
- 15天
- 正在收集历史
- 1个月
- 正在收集历史
各周期内的星标净变化，周期相互重叠，并非每日新增。缺失的测量保持空白。星标代表关注度，不代表软件质量。
关于
The open IP-fraud database that never sleeps. 1,200,000+ confirmed-malicious IPs (C2, botnets, phishing, brute force) scored and categorised, caught by our honeypot sensors and community reports, plus 219,000+ disposable email domains. Rebuilt every 30 minutes. Free, MIT, no API key.
安全i18n/README.zh-CN.md
原文
其他语言: English · 简体中文 · 繁體中文 · 日本語 · 한국어 · Русский · Українська · Deutsch · Français · Español · Português (Brasil) · Italiano · Nederlands · Polski · Čeština · Slovenčina · Magyar · Română · Български · Srpski · Hrvatski · Ελληνικά · Türkçe · Azərbaycanca · Қазақша · Oʻzbekcha · فارسی · العربية · עברית · हिन्दी · বাংলা · اردو · தமிழ் · తెలుగు · मराठी · മലയാളം · ไทย · Tiếng Việt · Bahasa Indonesia · Bahasa Melayu · Filipino · မြန်မာ · Kiswahili · Svenska · Dansk · Norsk · Suomi · ქართული · Հայերեն · नेपाली
IP 欺诈数据库，每 30 分钟重建一次
1,651,503 个已确认的恶意 IP 地址，546 个高滥用网络。每个地址都有评分、分类，并至少经过两次独立确认。
MIT 许可 · 无需注册、无需密钥、没有速率限制 · 更新于 03.11.2026
这是 ffraud.com 背后的开放 IP 欺诈数据库。里面的每一个地址都是被观测到正在攻击某个目标的，至少经过两次独立确认，按 0 到 100 打分，并标注了它被抓到在做什么、跑在什么样的基础设施上。攻击者会不停更换基础设施，所以一份封禁名单的价值只等于它最后一次更新：这份名单每 30 分钟直接从在线引擎重建一次。你下载到的，就是此刻正在攻击互联网的东西。无需注册、无需密钥、没有速率限制。直接丢进防火墙、WAF、注册表单或风控流程即可。
关键数字
- 1,651,503 个已确认的恶意 IP 地址，每一个都被两次或以上独立观测到在实施滥用
- 546 个网络，我们观测到其中的地址绝大多数是恶意的、且代理占比极高
- 224,884 个一次性邮箱域名也随本仓库一起发布，克隆一次就覆盖了注册风控的两半
- 每个地址都带有 0 到 100 的评分、威胁分类，以及能看出来时的基础设施类型
- 每 30 分钟重建并推送一次。提交历史就是变更日志，
metadata.json记录了精确的构建时间 - MIT 许可，包含商业用途，无需署名
- 纯粹的 CSV 和 TXT。没有压缩包要解、没有 schema 要学、没有客户端库要装
用文件，还是用 API？
这个仓库是 FFraud 已确认的核心数据：我们至少两次抓到正在攻击的地址，每个都带有评分、一个类别和基础设施类型。它的用途是批量封禁已知的攻击者。免费 API 能回答任何地址，而且知道的多得多：
| 这个仓库 | API | |
|---|---|---|
| 地址 | 仅限已确认的攻击者 | 任何地址，包括只确认过一次的 |
| VPN、代理、Tor、数据中心 | 仅针对列表中的攻击者 | 针对每一个地址 |
| 何时活跃 | 没有日期 | 首次发现、最近发现、近期滥用 |
| 为何被标记 | 最严重的类别 | 所有威胁标签和一段文字说明 |
| 网络背景 | 不包含 | /24 邻近网段、ASN、所有者、WHOIS 滥用联系人、位置 |
刻意从不公开
- 谁举报了某个地址，以及提交的证据: 举报是在保密的前提下交给我们的。
- 只确认过一次的地址: 一次举报只是一种说法，不是证据。API 已经把它计入评分；这个列表要等到第二次独立确认。
- 我们的传感器在哪里: 蜜罐只有在攻击者不知道它是蜜罐时才有用。
- 哪些网络运营商的用户被感染: 这样的排名会成为犯罪分子的目标清单。网络文件只列出我们看到的几乎每个地址都在滥用的小型网络。
用这个仓库封禁已知的攻击者。用 API 判断某一个具体的访客。两者都免费。
仓库内容
| 文件 | 行数 | 说明 |
|---|---|---|
threat-ips/confirmed-abusive.csv |
1,651,503 | 恶意地址，每个至少经过两次确认，附我们 0 到 100 的评分、威胁分类（c2、恶意软件、僵尸网络、暴力破解、Web 攻击、扫描器、钓鱼、垃圾邮件）以及已知时的基础设施类型（proxy、vpn、tor、datacenter、mobile） |
asn-reputation/high-abuse-networks.csv |
546 | 我们观测到其地址绝大多数为恶意且代理占比极高的网络：防弹主机的典型特征 |
disposable-email-domains.txt |
224,884 | 一次性与临时邮箱域名，每行一个 |
ip-intelligence/examples.json |
示例 | 单个地址的完整情报：评分、白话原因，以及我们附加的每一个分类 |
metadata.json |
— | 实时计数与 UTC 构建时间，脚本据此判断自己这份副本有多新 |
每一行告诉你什么
ip,ffraud_score,confirmations,category,type
80.82.77.33,95,40,c2,proxy
2.57.121.25,95,36,c2,proxy
193.46.255.86,95,33,c2,proxy
| 字段 | 含义 |
|---|---|
ip |
地址本身。IPv4 与 IPv6 都会出现 |
ffraud_score |
我们自己的 0 到 100 欺诈评分。这里发布的一律在 50 及以上 |
confirmations |
我们独立观测到该滥用行为的次数。低于 2 次一律不收录；最糟的地址达到 30 到 40 |
category |
它被抓到在做什么：c2、malware、botnet、brute_force、web_attack、scanner、phishing、spam 或 abuse |
type |
能看出来时它背后的基础设施：proxy、vpn、tor、datacenter、mobile。判断不出来时留空 |
快速开始
# 已确认的恶意 IP，含分类与类型
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/threat-ips/confirmed-abusive.csv
# 最糟糕的网络
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/asn-reputation/high-abuse-networks.csv
# 一次性邮箱域名
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/disposable-email-domains.txt
每个文件都是纯文本，带一行表头和几行开头的 # 注释。可以直接喂给 ipset、iptables、WAF 规则，或者你本来就在用的那门语言里的 Set。
不下载也能查单个地址
查一个东西不必把整个数据库拉下来。公开 API 无需密钥、没有每日上限，逐条回答的正是本仓库批量回答的那些问题：
# 单个 IP 的完整情报：评分、原因、分类
curl -s https://api.ffraud.com/public/ip/80.82.77.33
# 这个邮箱是一次性的吗？
curl -s -X POST https://api.ffraud.com/public/email/check -H 'content-type: application/json' -d '{"email":"[email protected]"}'
# 这个域名是否在派发临时邮箱？
curl -s https://api.ffraud.com/public/domain/mailinator.com
面向 AI 智能体与助手：ffraud.com/llms.txt 是机器可读索引，ffraud.com/llms-full.txt 是全部文档的纯 Markdown 版本，ffraud.com/openapi.json 是 OpenAPI 规范。三者均为公开资源，无需密钥，可直接抓取。习惯用网页的用户可以使用 ffraud.com/tools 上的免费检测工具。
这个数据库是怎么建起来的
两样东西支撑着它：我们自己的蜜罐传感器网络，它持续遭受攻击并记录下是谁在攻击；以及那些服务器正在挨打的人发来的举报。我们从不因为别人一句话就转发布任何东西。每个地址在出现在这里之前，都由 ffraud 引擎评过分、验证过。
收录门槛是两次或以上的独立确认，因为单次目击只是噪声。正是这一条规则让这份名单比未经筛选的堆砌更小、也更值钱：它收录的是真正在攻击的地址，而不是任何人随手标记过一次的一切。
评分、分类和基础设施类型都是我们自己的判断，完整公开，方便你提出异议。具体的评分方法写在 ffraud.com/docs/methodology。
常见问题
实际多久更新一次？
每 30 分钟，从在线引擎重建后推送到这里。不是每晚一次的导出。本仓库的提交列表就是诚实的记录，metadata.json 里是你手上这份副本的精确 UTC 构建时间。
可以用在商业产品里吗？
可以。MIT，无需署名，没有单独的商业许可，不按席位计费，也不用问任何人。如果它帮你省了钱，我们很乐意听到，但你不欠我们什么。
我的地址为什么在名单上？
因为它至少两次被观测到在攻击某个目标。在 ffraud.com 上查一下就能看到评分、分类和白话原因。如果这是误判，或者那台机器已经清理干净了，到 ffraud.com/report 告诉我们，下一次构建就会重新核查。
这和那些大牌收费产品有什么不同？
它免费、采用 MIT 许可、不需要密钥也没有上限，而且你可以清楚地看到每个地址为什么会被列入。你还可以把每一个已确认的地址打包成一个文件下载，大多数收费产品出多少钱都不给你这样做。
有单条查询的 API 吗？
有，而且无需密钥。见上一节，或查阅 ffraud.com/docs。
一起来建设
这个数据库靠使用它的人一起长大。如果你在运维服务器、fail2ban、WAF 或自己的蜜罐，把攻击你的东西发给我们，我们就把它公开：在 ffraud.com/report 上报，把 fail2ban 指向现成的接口，或者在这里开一个 issue。每一份提交我们都会核实、去重并评分，确认无误的会进入下一次构建，也就是半小时之内，需要的话还会署名。
关于网络名单的说明
high-abuse-networks.csv 给出的是每个网络中我们观测到表现恶意的地址所占的比例。这是对到达我们传感器的流量的一次测量，不是对任何运营商的法律判断；当客户行为不端时，正规主机商也会出现在上面。如果你运营的网络被列入而你认为测量有误，告诉我们，下一次构建我们会重新核查。
相关开放数据
- 一次性邮箱数据库: 我们公开的一次性、临时、用完即弃邮箱域名清单。
- ffraud.com: 免费的 IP 与邮箱欺诈情报：无需密钥的公开 API、在线检测工具，以及这里的全部数据。
许可证
MIT。可用于任何地方，包括商业产品。随意 fork、再分发、拿它做生意。署名我们很高兴，但从不强制。
由 [ffraud.com](https://ffraud.com) 打造。免费的欺诈情报，给所有人。