扩展吸血特征库讨论区

[Ghost-chu]

这里是扩展吸血特征库的讨论区，你可以在此讨论相关话题，或者分享你注意到的新的异常特征。

[zhongfly]

目前还没有显示BTN云脚本的界面吧？
在自定义脚本里是不能看到下发的脚本，想知道具体作用还需要在仓库里找issue

[Ghost-chu]

暂时没有显示的界面

[happilying]

一种新的可疑客户端，进度每秒规律增加0.1%（虽然确实100后停了，但这三个进度完全相同和规律进度增加.......很难不让人怀疑）

[Ghost-chu]

很大概率三个 Peer 都在互相分享你发送的文件片段，所以进度保持一致而已。

[0x391F]

新可疑 IP，客户端似乎都是 Transmission 2.94，规律：x:x:x:x:e248:d8ff:fe，比如
[240e:390:8861:73c0:e248:d8ff:fe1f:cefe]:51413
[2408:8220:9217:ffd0:e248:d8ff:fe1f:c7de]:51413
[2408:8215:7228:4910:e248:d8ff:fe1f:a546]:51413
[2409:8a50:d012:ce20:e248:d8ff:fe21:2cbc]:51413
[2409:8a50:d027:4340:e248:d8ff:fe20:29e8]:51413

影响的种子：
magnet:?xt=urn:btih:ASM7QTNSIIEW6IMF4OFWS3GT23ENBZRM&dn=7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
magnet:?xt=urn:btih:PPHXSUVGYEKMEXESZXX4MSRV7JGTBTLV&dn=SW_DVD9_Win_Pro_10_22H2_64BIT_ChnSimp_Pro_Ent_EDU_N_MLF_X23-20012.ISO

[Ghost-chu]

感谢反馈，已确认特征段主要用于吸血，且无其它正常用户使用。

近 6 个月封禁历史记录 (IP 去重)：
banhistory.txt

近 7 天连接访问记录 (IP 去重)：
peer_history.txt

相关特征已收录到扩展吸血特征库，感谢报告 :)

[6monoceros9]

近期出现一批福建省和江苏省IP
福建省 泉州市
117.24.165.0/24 qBittorrent/4.6.7
117.24.173.0/24 qBittorrent/4.6.7
27.152.184.0/24 qBittorrent/4.6.7
福建省 福州市
110.85.5.0/24 qBittorrent/4.6.7
江苏省 常州市
114.228.87.0/24 A2-1-37- ABC 2.1.37
（上面这个IP段查了以前的封禁记录，客户端名称是aria2/1.37.0，最近改成ABC 2.1.37，但是PeerID依然是A2-1-37-）
114.227.158.0/24 A2-1-37- aria2/1.37.0

[hui-shao]

想咨询下有没有办法自己选择不启用某条 BTN 下发的规则？比如这个：

[BTN 封禁] 匹配 ClientName 规则集（应急响应-临时屏蔽 Transmission 2.9x

个人使用 PT 为主，tr 2.9 的用户不少，容易误杀。

[Ghost-chu]

BTN 的规则不可在客户端控制，因为它属于服务器的功能，在客户端更改其行为会导致服务端收集的数据不再可靠和准确。正确的操作方式是通过 BTN 下发不带有您不希望的规则条目的规则配置文件。

遗憾的是由于缺少后端开发人员，BTN 现版本只能完成较为基础的控制，暂时无法对特定用户进行细微调整。

[WordlessEcho]

这个规则为什么放在BTN里呢？放在规则订阅是否更合适？

[WordlessEcho]

另外我在哪里可以看到BTN服务器后端的源代码呢？ PBH-BTN/BTN-Server 这个仓库archive了， PBH-BTN/PBH-BTN 这个仓库是空的

[Ghost-chu]

这个规则为什么放在BTN里呢？放在规则订阅是否更合适？

规则订阅目前仅支持 IP 规则，欢迎 PR 其它类型：#155
BTN 的全名为 Sparkle BTN，目前线上运行的 1.0 版本在这里：https://github.com/PBH-BTN/Sparkle
2.0 重写版目前在私有仓库进行中，上线时会单独开源新仓库。

[zhongfly]

pt 种子也存在一些进度回退等吸血现象

我觉得PT的不需要本项目来处理，PT站自己会统计下载流量和处理流量作弊等行为

[0x391F]

可疑 IP，客户端似乎都是 Transmission 4.0.6：
（不完整列表），规律：2408:822e:xxxx:xxxx:42:aff:fexx:50b
2408:822e:1c73:2c0c:42:aff:fe76:50b
2408:822e:1c73:2d86:42:aff:fede:50b
2408:822e:1c73:52d:42:aff:fe7c:50b
2408:822e:1a74:51ca:42:aff:fe22:50b

影响的种子：
magnet:?xt=urn:btih:H6NKYFMMPXUN7SVROHVFRIL2VPPX7PET&dn=ubuntu-24.10-desktop-amd64.iso
magnet:?xt=urn:btih:F2HEIBULEVEBJ2Q2PVEWTKNPDV4OB5I7&dn=ubuntu-22.04.5-desktop-amd64.iso

[Ghost-chu]

看到报告的 IP 地址已经在列表里了

[0x391F]

模仿 dot-1-ipv6-tr296.av，修改出了个脚本拦截这种吸血，自己试了下应该没有问题：

if(isBlank(peer.clientName)) {
    return false; ## 下载器必须提供 ClientName
}

ipAddress = peer.peerAddress.address;
strIp = toString(ipAddress);

if(!string.contains(peer.clientName, 'Transmission 4.0.6')){
    return false; ## 不管非 Transmission 4.0.6 的
}

if(string.contains(strIp, "42:aff:fe")){
    return "Transmission 4.0.6 (IPV6 42:aff:fe) 多拨伪装吸血";
}

return false;

[0x391F]

名称 xDownloader(devel)/1.0 (n/a)， ID 随机，种子 magnet:?xt=urn:btih:YKGEBDX3ZXAKNPME2AJBG4PDGAXGHW2Q&dn=mu_windows_7_sp1_language_pack_x64_dvd_619714.iso

106.63.26.0/24（ping0.cc 说是 China Telecom Beijing Tianjin Hebei Big Data Industry Park Branch）
106.63.26.139
106.63.26.140
106.63.26.141
101.198.0.0/24（ping0.cc 说是 IDC, China Telecommunications Corporation）
101.198.0.157
180.163.220.0/24（zxinc 说是 中国–上海–上海 电信/360蜘蛛，ping0.cc 说是 中国 上海市上海市360/蜘蛛/电信 — 360蜘蛛 ）
180.163.220.46
180.163.220.47

客户端 xDownloader(devel)/1.0 (n/a)，ID 随机，种子 magnet:?xt=urn:btih:JPB727KDV57VUSYSDSRFRCF34QK7N6ID&xt=urn:btmh:1220b0c038232d1c54c4062ce2200f33ceae6f629b9d76774269179cc029e8faf65c&dn=zh-cn_windows_10_consumer_editions_version_22h2_updated_may_2025_x64_dvd_fefefb48.iso

27.115.124.4（https://ping0.cc/ 说是机房 IP，风控值：极度风险）
27.115.124.5（https://ping0.cc/ 说是机房 IP，风控值：极度风险）
101.198.0.157（美国–加利福尼亚州–洛杉矶–洛杉矶 奇虎360科技有限公司数据中心）
101.199.254.0/24（中国–北京–北京 奇虎360科技有限公司）
101.199.254.201（中国–北京–北京 奇虎360科技有限公司）
101.199.254.202（中国–北京–北京 奇虎360科技有限公司）
180.163.220.0/24（中国–上海–上海 电信/360蜘蛛）
180.163.220.95
180.163.220.97（中国–北京–北京 奇虎360科技有限公司）

101.199.254.232:34573, PeerId=±åQ6Îê�
URiÐ@�T5/h:Á, ClientName=xDownloader(devel)/1.0 (n/a), Progress=0.1, Uploaded=0, Downloaded=0, Torrent=zh-cn_windows_10_consumer_editions_version_22h2_updated_may_2025_x64_dvd_fefefb48.iso, Reason=发现多拨下载，请持续关注，子网：101.199.254.0/24，触发IP：101.199.254.232（101.199.254.0/24 属于中国–北京–北京 奇虎360科技有限公司）

[0x391F]

360 的 IP 直接封 IP 段应该都没问题。

[0x391F]

大量 Deluge 1.3.15 吸血，IP 240e:36f::/32，监听端口 68xx-69xx，种子 magnet:?xt=urn:btih:ASM7QTNSIIEW6IMF4OFWS3GT23ENBZRM&dn=7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso&xl=5876357120
magnet:?xt=urn:btih:F2HEIBULEVEBJ2Q2PVEWTKNPDV4OB5I7&dn=ubuntu-22.04.5-desktop-amd64.iso&xl=4762707968
magnet:?xt=urn:btih:OQPHYX6PVGZESXZNPXB2IMBSLGD42GF5&xt=urn:btmh:12202a96290ddfaa2f451c9280adbe40acaa8a4ab8c958313903c5d92f2b4701a915&dn=Win11_24H2_Pro_Chinese_Simplified_x64.iso&xl=5606453248
magnet:?xt=urn:btih:MEPXBCM5JYOWVHBZZ7ESL4ID37XWGAZI&dn=ubuntu-24.04.2-desktop-amd64.iso&xl=6343219200
magnet:?xt=urn:btih:V6E2WWBYEZUW7HTX2TGAPATOMXWYGG7U&dn=ubuntu-24.04.2-live-server-amd64.iso&xl=3213064192

[0x391F]

aria2/1.34.0 吸血，Client ID: A2-1-34-0，监听端口 68xx-69xx，种子（包括但可能不限于） magnet:?xt=urn:btih:RIMVO75V62IJODFEHJL76EARVYQCERFY&dn=ubuntu-25.04-desktop-amd64.iso&xl=6278520832

[0x391F]

新吸血客户端，名称 Gopeed bt-exp-xxxxxxx (n/a)（xxxxxxx 为随机字符串），客户端 ID 随机，已知影响的种子（可能不完整）
magnet:?xt=urn:btih:7bcf7952a6c114c25c92cdefc64a35fa4d30cd75&dn=SW_DVD9_Win_Pro_10_22H2_64BIT_ChnSimp_Pro_Ent_EDU_N_MLF_X23-20012.ISO&xl=5953392640
magnet:?xt=urn:btih:e1fc140a6391357fa1cf08ddb70274f9c05eb88b&dn=ubuntu-26.04-live-server-amd64.iso&xl=2918598656
magnet:?xt=urn:btih:dafc8c076ca2f3ed376eeae7c76a0d6be2415c45&dn=ubuntu-26.04-desktop-amd64.iso&xl=6518974464
magnet:?xt=urn:btih:8a49f9b90b437522a2a63b39d434cb1d0c6c9856&dn=kali-linux-2026.1-live-amd64.iso&xl=5641302016
magnet:?xt=urn:btih:bdf02398ee623b20d6afc7a3915b752979a2546e&dn=kali-linux-2026.1-installer-amd64.iso&xl=4728471552
magnet:?xt=urn:btih:27800f84e70c9df5627308fa3cebc659190c507c&dn=debian-13.5.0-amd64-DVD-1.iso&xl=3989078016
magnet:?xt=urn:btih:777695049623a1cd052bd6b175b40e6540ce74ca&dn=archlinux-2026.06.01-x86_64.iso&xl=1566638080
magnet:?xt=urn:btih:d5146f69f1bb6b9d95c8270769ebca7f82c2936a&xt=urn:btmh:12205801549a29a281f0ed44e82ed6cd62821a271b72ef71aac86cbc17d35ebf91da&dn=zh-cn_windows_10_consumer_editions_version_22h2_updated_oct_2025_x64_dvd_38efd00d.iso&xl=7168839680
@Ghost-chu

[paulzzh]

{"method":"STARTS_WITH","content":"Gopeed bt-exp"}

[Ghost-chu]

稍早前BTN应该已经下发规则了

[Kc2353]

是否考虑按“可疑行为”封禁？比如有大量相似随机IP后缀、相同客户端同时连接同一个下载器对其进行封禁？
另外e248:d8ff:fe似乎再次出现，但是未被自动封禁，以下是手动添加-TR2940-之后的日志：

Details

2026年6月20日 15:59 2026年6月23日 15:59 | [240e:358:c101:db00:0:0:0:1]:51413 | -TR2940- | 316.1 KB 0 Bytes | 7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso | 5.47 GB | 匹配 ClientName (UserAgent): 字符串包含: transmission 2.94
-- | -- | -- | -- | -- | -- | --
2026年6月20日 15:56 2026年6月23日 15:56 | [2409:8a28:20a2:f9e0:e248:d8ff:fe20:7bc]:51413 | -TR2940- | 144 KB 0 Bytes | 7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso | 5.47 GB | 匹配 ClientName (UserAgent): 字符串包含: transmission 2.94
2026年6月20日 15:56 2026年6月23日 15:56 | 123.156.68.181:9598 | -qB4670- | 304 KB 0 Bytes | afd2 | 9.58 GB | 匹配 IP黑名单订阅 规则: all-in-one, IP 地址: 123.156.68.181, 备注: [Merged Comment] 恶意流量 IDC 地址黑名单 IPv4 multi-dial.txt untrusted-ips.txt qb467 刷流 [Sparkle3 不受信任投票] 封禁计数: 6, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 5.9 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 12, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 29.8 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 8, 不信任票数: 5, 合并记录数量: 2, BTN网络发送到此Peer流量: 14.2 GiB, BTN网络从此Peer获取流量: 7.5 MiB [Sparkle3 不受信任投票] 封禁计数: 6, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 3.6 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 9, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 26.6 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 10, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 12.4 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 7, 不信任票数: 6, 合并记录数量: 4, BTN网络发送到此Peer流量: 5.7 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 8, 不信任票数: 5, 合并记录数量: 2, BTN网络发送到此Peer流量: 18.3 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 7, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 9.5 GiB, BTN网络从此Peer获取流量: 0 B
2026年6月20日 15:56 2026年6月23日 15:56 | [2408:8256:ec82:74b0:e248:d8ff:fe20:2c40]:51413 | -TR2940- | 6.52 MB 0 Bytes | 7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso | 5.47 GB | 匹配 ClientName (UserAgent): 字符串包含: transmission 2.94
2026年6月20日 15:56 2026年6月23日 15:56 | [2408:8256:3489:539:e248:d8ff:fe21:a6ea]:51413 | -TR2940- | 17.06 MB 0 Bytes | 7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso | 5.47 GB | 匹配 ClientName (UserAgent): 字符串包含: transmission 2.94
2026年6月20日 15:56 2026年6月23日 15:56 | [2409:8a00:3123:f680:e248:d8ff:fe21:437e]:51413 | -TR2940- | 4.5 MB 0 Bytes | 7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso | 5.47 GB | 匹配 ClientName (UserAgent): 字符串包含: transmission 2.94
202


2026年6月20日 15:59
 2026年6月23日 15:59
[[240e:358:c101:db00:0:0:0:1]:51413](http://127.0.0.1:9898/ipHistory?ip=240e:358:c101:db00:0:0:0:1)
-TR2940- 
316.1 KB

0 Bytes

7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
5.47 GB
匹配 ClientName (UserAgent): 字符串包含: transmission 2.94

2026年6月20日 15:56

2026年6月23日 15:56

[2409:8a28:20a2:f9e0:e248:d8ff:fe20:7bc]:51413

-TR2940-
144 KB

0 Bytes

7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
5.47 GB
匹配 ClientName (UserAgent): 字符串包含: transmission 2.94

2026年6月20日 15:56

2026年6月23日 15:56

123.156.68.181:9598

-qB4670-
304 KB

0 Bytes

afd2
9.58 GB
匹配 IP黑名单订阅 规则: all-in-one, IP 地址: 123.156.68.181, 备注: [Merged Comment] 恶意流量 IDC 地址黑名单 IPv4 multi-dial.txt untrusted-ips.txt qb467 刷流 [Sparkle3 不受信任投票] 封禁计数: 6, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 5.9 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 12, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 29.8 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 8, 不信任票数: 5, 合并记录数量: 2, BTN网络发送到此Peer流量: 14.2 GiB, BTN网络从此Peer获取流量: 7.5 MiB [Sparkle3 不受信任投票] 封禁计数: 6, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 3.6 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 9, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 26.6 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 10, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 12.4 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 7, 不信任票数: 6, 合并记录数量: 4, BTN网络发送到此Peer流量: 5.7 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 8, 不信任票数: 5, 合并记录数量: 2, BTN网络发送到此Peer流量: 18.3 GiB, BTN网络从此Peer获取流量: 0 B [Sparkle3 不受信任投票] 封禁计数: 7, 不信任票数: 5, 合并记录数量: 4, BTN网络发送到此Peer流量: 9.5 GiB, BTN网络从此Peer获取流量: 0 B

2026年6月20日 15:56

2026年6月23日 15:56

[2408:8256:ec82:74b0:e248:d8ff:fe20:2c40]:51413

-TR2940-
6.52 MB

0 Bytes

7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
5.47 GB
匹配 ClientName (UserAgent): 字符串包含: transmission 2.94

2026年6月20日 15:56

2026年6月23日 15:56

[2408:8256:3489:539:e248:d8ff:fe21:a6ea]:51413

-TR2940-
17.06 MB

0 Bytes

7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
5.47 GB
匹配 ClientName (UserAgent): 字符串包含: transmission 2.94

2026年6月20日 15:56

2026年6月23日 15:56

[2409:8a00:3123:f680:e248:d8ff:fe21:437e]:51413

-TR2940-
4.5 MB

0 Bytes

7601.24214.180801-1700.win7sp1_ldr_escrow_CLIENT_ULTIMATE_x64FRE_en-us.iso
5.47 GB
匹配 ClientName (UserAgent): 字符串包含: transmission 2.94

[0x391F]

其实我觉得直接封 TR2930 和 TR2940 算了，这两个版本很旧，应该没什么人用了。 @Ghost-chu

[0x391F]

刚才我抓包时无意中发现 Wireshark 解析了 EUI-64 地址（即带 FF:FE 的 IPv6 地址），吸血 IP e248:d8ff:fe 实际上是 “Guangzhiwuli”（应该是“广智物联”这个厂家的终端）。