搜索

[12123] 2017-12-13_话题讨论关于网页植入挖矿代码的探讨

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-12-13_话题讨论关于网页植入挖矿代码的探讨 话 题 讨 论   |   关 于 网 页 植 入 挖 矿 代 码 的 探 讨 f i y s k y   F r e e B u f   2 0 1 7 - 1 2 - 1 3 前 一 段 时 间 有 关 利 用 网 页 前 一 段 时 间 有 关 利 用 网 页 J S 挖 矿 的 新 闻 屡 见 不 鲜 ， 其 手 段 为 黑 客 入 侵 网 站 后 将 正 常 网 站 页 面 嵌 入 恶 意 挖 矿 脚 挖 矿 的 新 闻 屡 见 不 鲜 ， 其 手 段 为 黑 客 入 侵 网 站 后 将 正 常 网 站 页 面 嵌 入 恶 意 挖 矿 脚 本 ， 用 户 通 过 浏 览 器 访 问 这 些 站 点 时 这 些 脚 本 会 在 后 台 执 行 并 大 量 占 用 资 源 ， 电 脑 会 变 慢 、 卡 顿 ， 本 ， 用 户 通 过 浏 览 器 访 问 这 些 站 点 时 这 些 脚 本 会 在 后 台 执 行 并 大 量 占 用 资 源 ， 电 脑 会 变 慢 、 卡 顿 ， C P U   利 用 率 利 用 率 甚 至 飙 升 至 甚 至 飙 升 至 1 0 0 % 。 最 近 上 网 浏 览 网 页 的 时 候 发 现 电 脑 。 最 近 上 网 浏 览 网 页 的 时 候 发 现 电 脑 C P U 有 升 高 ， 但 是 也 在 有 升 高 ， 但 是 也 在   7 0 % 以 下 ， 以 为 是 后 台 运 行 一 些 以 下 ， 以 为 是 后 台 运 行 一 些 更 新 程 序 什 么 的 ， 结 果 没 想 到 抓 包 一 看 是 挖 矿 脚 本 ！ 更 新 程 序 什 么 的 ， 结 果 没 想 到 抓 包 一 看 是 挖 矿 脚 本 ！ 数 据 包 如 下 ： “ n e w s c d n . y s w 3 6 5 . c o m / s t a t i c / v 5 / j s / c s s l o a d e r . j s ? v = 1 ” 这 个 J S 文 件 其 实 是 一 个 挖 矿 脚 本 ， 来 源 于 一 个 在 线 挖 矿 网 站 p p o i . o r g   ， 类 似 于 著 名 的 c o i n h i v e ， 与 之 前 暴 力 简 单 的 嵌 在 正 常 网 页 中 的 挖 矿 J S 相 比 ， 作 者 设 置 了 s e t T h r o t t l e   ， 线 程 应 保 持 空 闲 的 时 间 百 分 比 ， 用 来 控 制 C P U 资 源 占 用 率 ， 使 得 用 户 不 会 轻 易 发 现 自 己 被 人 利 用 挖 矿 。 可 见 作 者 不 想 像 之 前 黑 产 那 样 不 计 后 果 暴 力 的 去 进 行 挖 矿 ， 而 是 想 “ 细 水 长 流 ” 。 J S 脚 本 中 的 自 定 义 信 息 ， 包 含 S i t e k e y 和 T h r o t t l e 值 ： 此 时 我 机 子 的 C P U 利 用 率 为 6 6 % ， 与 之 前 的 接 近 于 1 0 0 %   的 利 用 率 ， 更 不 容 易 被 发 现 。 由 r e f e r e r 头 可 以 看 出 是 由 9 9 e 3 . c o m 这 个 域 名 跳 转 来 的 ， 目 前 推 测 有 两 种 情 况 ： 该 域 名 被 黑 ， 被 嵌 入 跳 转 的 J S   脚 本 ； 或 者 该 域 名 和 上 面 跳 转 的 域 名 n e w s c d n . y s w 3 6 5 . c o m 为 同 一 个 作 者 ， 其 作 用 仅 仅 是 用 作 执 行 挖 矿 脚 本 的 诱 饵 。 访 问 该 网 站 ， 乍 看 起 来 像 正 常 的 资 讯 网 站 ：
随 意 点 开 一 条 新 闻 ， 发 现 立 即 跳 转 到 s o h u 新 闻 的 页 面 ， 而 点 击 箭 头 指 向 内 容 ， 则 会 打 开 本 站 网 页 ， 网 页 源 码 中 同 样 嵌 入 了   S c r i p t 标 签 来 调 用 n e w s c d n . y s w 3 6 5 . c o m / s t a t i c / v 5 / j s / c s s l o a d e r . j s ? v = 1 这 个 挖 矿 脚 本 。 第 一 反 应 先 扫 下 这 个 网 站 ， 目 录 如 下 ： 看 到 网 站 结 构 便 一 目 了 然 ， 可 调 用 挖 矿 脚 本 的 网 页 内 容 放 在 a 、 V 2 、 V 5   目 录 下 ， 正 常 网 页 根 据 不 同 的 类 型 重 定 向 到 s o h u 的 指 定 页 面 。 这 样 白 加 黑 的 手 法 更 加 使 用 户 不 易 察 觉 ， 实 际 访 问 过 程 中 ， 明 显 感 觉 到 可 调 用 挖 矿 脚 本 的 网 页 内 容 更 加 比 正 常 网 页 具 有 诱 惑 性 ， 成 功 诱 使 用 户 点 击 的 概 率 更 高 。 为 了 找 到 跳 转 网 站 （ 9 9 e 3 . c o m ） 与 挖 矿 网 站 （ n e w s c d n . y s w 3 6 5 . c o m ） 的 联 系 ， 随 后 查 询 了 两 个 网 站 的   w h o i s 、 P D N S 等 信 息 。 9 9 e 3 . c o m   域 名 解 析 I P   为 1 0 1 . 1 3 2 . 1 6 3 . 1 7 3 ， 关 联 该 I P 信 息 发 现 在 2 0 1 7 年   1 1 月 1 日 时 同 样 可 以 解 析 到 n e w s . y s w 3 6 5 . c o m 域 名 。 这 与 挖 矿 网 站 的 二 级 域 名 一 致 ， 可 以 得 出 结 论 ： 网 站 作 者 利 用 诱 饵 网 站 进 行 钓 鱼 ， 采 用 诱 惑 性 内 容 诱 导 用 户 点 击 相 关 资 讯 ， 从 而 调 用 挖 矿 脚 本 为 作 者 牟 利 。
n e w s c d n . y s w 3 6 5 . c o m 的 W h o i s 信 息 被 阿 里 云 隐 私 保 护 ， 无 法 追 溯 ， 9 9 e 3 . c o m 的   W h o i s 信 息 如 下 ： 可 以 看 出 是 位 于 福 建 南 平 的 一 位 名 叫 z h a n g y a n 的 人 进 行 了 域 名 注 册 ， 关 联 其 邮 箱 地 址 ， 发 现 其 他 诱 饵 网 站 ， 均 为 “ 9 9 热 评 ” 。 以 上 是 整 个 关 联 分 析 过 程 ， 除 了 之 前 爆 过 的 黑 产 利 用 入 侵 网 站 到 现 在 黑 产 自 己 做 诱 饵 网 站 进 行 挖 矿 ， 手 段 虽 然 产 生 变 化 ， 但 实 质 并 未 发 生 改 变 ， 都 是 消 耗 用 户 资 源 来 为 自 己 牟 利 。 同 时 我 有 一 个 思 考 ， 如 果 说 正 常 的 网 站 站 长 自 己 在 源 码 中 插 入 挖 矿 代 码 并 将 T h r o t t l e 降 低 到 一 定 程 度 ， 我 们 又 是 自 愿 点 击 去 浏 览 这 些 网 站 ， 那 么 这 样 合 法 吗 ， 我 们 能 进 行 谴 责 吗 ？ 欢 迎 交 流 ~ * 本 文 作 者 ： f i y s k y ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理