docs: 补 XML-RPC 端点行为、动态 token 与 .php 变体说明，记实现取舍

docs/honeypot.md

@@ -45,6 +45,19 @@
 
 **静态资源也一起伪装**：`/wp-admin/css/login.min.css`、`/wp-includes/js/*.js`、`/wp-admin/images/*.png` 这类请求回占位 CSS/JS/真 1×1 PNG。这些请求**不落库、不计数** —— 一次页面加载会打 5–10 个资源，逐个 INSERT 等于帮攻击者把写入放大十倍。插件目录下的 `.php` 则回 404（那是 webshell 探测，回登录页反而不像）。
 
+**`/xmlrpc.php` 单独按 XML-RPC 回应**，不是登录页：
+
+| 请求 | 响应 |
+|---|---|
+| `GET` / 其它非 POST | `405` + XML fault「XML-RPC services are disabled on this site.」 |
+| `POST` 普通 `methodCall` | `200` + XML fault「Incorrect username or password.」 |
+| `POST` `system.multicall` | 同上，但**一包里的所有凭据对都会被记下来** |
+| `POST` `system.listMethods` | `200` + 方法列表（枚举类工具靠它确认对面是真 WP） |
+
+为什么值得单独做：`system.multicall` 一次请求能塞进上千组用户名/密码，且绕开登录页的限速插件，是 WordPress 爆破里产出最高的一条通道。我们自己的 `X-Pingback` 响应头又正指着这个地址 —— 回 HTML 等于自己指路给对方看破绽。
+
+动态值（phpMyAdmin 的 `token`、通用后台的 `csrf_token`、Jenkins 的 `X-Jenkins-Session`、GitLab 的 `_gitlab_session`）**每个请求都不同**。恒定值是最容易被指纹识别的特征：连打两次拿到一模一样的 token，任何脚本都能判定对面是伪造的。
+
 单页渲染约 3.7 µs / 2 次分配、页面 1.5–2.5 KB，资源请求 0 分配（`BenchmarkRenderFamily` / `BenchmarkAssetFor` 守着）。
 
 ---
@@ -87,6 +100,8 @@ honeypot_cred_dir = data/honeypot-creds
 | `GET /wp-login.php` 看一眼假页面 | 常规 `autoban.Record` | `ban_threshold_sensitive`（默认 10 次 / 60 秒） | 否 |
 | `GET /wp-admin/css/login.min.css` 等资源 | **不计数、不落库** | — | 否 |
 | `POST` 带该家族的凭据字段（`log`/`pwd`、`pma_*`、`j_*`、`user[login]` …） | 蜜罐 `autoban.RecordHoneypot` | `honeypot_threshold`（默认 1） | 是，立即封 |
+| `POST /xmlrpc.php` 带 `methodCall`（含 `system.multicall`） | 蜜罐 `autoban.RecordHoneypot` | 同上 | 是，立即封 |
+| `GET /xmlrpc.php` / `POST system.listMethods` | 常规通道 | 同上 | 否 |
 | `POST` 不带任何凭据字段 | 常规通道 | 同上 | 否 |
 
 **为什么 GET 不立即封**：爆破脚本的标准流程是「先 GET 探表单 → 再 POST 提交」。如果 GET 就吃 403，假登录页只被看了一次，对方根本没机会填表，凭据永远拿不到 —— 而这个功能的全部价值就在那份凭据上。
@@ -250,3 +265,5 @@ pg_dump -Fc <dbname> > before-purge-$(date +%F-%H%M).dump
 - **只挡 NotFound**：如果将来给 `/admin` 之类路径注册了真实路由，蜜罐会自动让位 —— 这是刻意设计（业务优先）。
 - **告警邮件仍带明文用户名/密码**：这正是它的价值（看到对方在用什么字典），但也意味着邮件是敏感物，收件人只应是你自己。
 - **不主动反制**：不回打、不上报第三方、不做删除/篡改，只有「记录 + 临时封禁」。
+- **XML-RPC 的凭据提取是启发式的**：不上 `encoding/xml` 解析（蜜罐会被高频命中），而是抓出所有 `<string>`、剔除方法名与站点 URL 后两两配对。`wp.getUsersBlogs` 的第一个参数是 `blog_id`，若是数字会让配对错位一位——为此会把原始串全量写进取证文件的 `fields`（`xmlrpc.0`、`xmlrpc.1` …），即便配对失败原文也不丢。
+- **`X-Pingback` 需要配 `external_url`**：没配就不发这个头（相对路径比不发更假）。