搜索

[12273] 2018-01-23_拒绝成为免费劳动力：检测含有挖矿脚本的WiFi热点

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2018-01-23_拒绝成为免费劳动力：检测含有挖矿脚本的WiFi热点 拒 绝 成 为 免 费 劳 动 力 ： 检 测 含 有 挖 矿 脚 本 的 W i F i 热 点 q i n g x p 9   F r e e B u f   2 0 1 8 - 0 1 - 2 3 前 几 日 看 到 一 则 新 闻 ， 一 家 星 巴 克 店 内 无 线 网 络 被 发 现 植 入 了 恶 意 代 码 ， 劫 持 网 络 流 量 利 用 用 户 设 备 挖 掘 门 罗 前 几 日 看 到 一 则 新 闻 ， 一 家 星 巴 克 店 内 无 线 网 络 被 发 现 植 入 了 恶 意 代 码 ， 劫 持 网 络 流 量 利 用 用 户 设 备 挖 掘 门 罗 币 （ 币 （ X M R ） 。 ） 。 与 加 密 货 币 相 关 的 安 全 事 件 总 是 引 人 注 目 ， 我 们 除 了 认 识 到 门 罗 币 具 有 一 定 的 入 手 价 值 外 ， 还 再 次 见 识 到 了 公 共 W i F i 的 危 险 。 不 久 后 [ A r n a u   C o d e 写 了 一 篇 文 章 ， 详 细 介 绍 了 如 何 通 过 M I T M 攻 击 植 入 J a v a S c r i p t 代 码 ， 从 而 让 W i F i 网 络 内 的 所 有 设 备 帮 助 攻 击 者 挖 矿 ， 并 以 C o f f e e M i n e r 的 名 称 进 行 了 开 源 ：   h t t p s : / / g i t h u b . c o m / a r n a u c o d e / c o f f e e M i n e r 。 我 相 信 有 很 多 家 伙 会 从 这 个 新 闻 以 及 C o f f e e M i n e r 工 具 中 得 到 启 发 ， 利 用 类 似 的 攻 击 方 式 开 创 挖 矿 事 业 。 不 过 本 篇 我 并 不 想 过 多 讨 论 攻 击 方 面 的 问 题 ， 最 近 行 业 内 出 现 了 对 防 御 型 安 全 人 才 的 呼 声 ， 因 此 我 打 算 应 景 的 写 一 篇 防 御 角 度 的 文 章 ， 分 析 如 何 便 捷 的 检 测 周 围 W i F i 网 络 是 否 被 植 入 了 挖 矿 代 码 。
后 文 我 将 围 绕 “ C o i n H i v e 的 介 绍 ” ， “ 开 放 式 W i F i 网 络 的 特 性 ” ， “ 检 测 工 具 的 实 现 ” 三 点 来 进 行 叙 述 ， 文 章 的 末 尾 将 公 布 完 整 的 实 现 代 码 方 便 大 家 参 考 。 C o i n H i v e 星 巴 克 挖 矿 事 件 中 所 使 用 的 便 是 C o i n H i v e 挖 矿 程 序 。 C o i n h i v e 是 一 个 提 供 门 罗 币 挖 掘 J S 脚 本 的 网 站 平 台 ， 攻 击 者 会 将 其 提 供 的 脚 本 植 入 到 自 己 或 入 侵 的 网 站 上 。 一 旦 有 用 户 访 问 网 页 加 载 J S 后 ， 便 会 利 用 用 户 设 备 的 运 算 资 源 挖 掘 门 罗 币 。 在 C o i n H i v e 官 网 注 册 登 陆 后 ， 在 其 文 档 中 发 现 了 多 种 部 署 方 式 的 介 绍 ， 包 括 J S 代 码 形 式 、 人 机 验 证 形 式 、 W o r d p r e s s 插 件 形 式 等 等 ， 种 类 非 常 丰 富 。 比 如 注 册 登 陆 时 候 的 人 机 验 证 ， 就 会 启 动 挖 矿 程 序 ， 等 待 一 段 时 间 的 挖 矿 后 才 能 登 录 。 根 据 J a v a S c r i p t   M i n e r 的 介 绍 文 档 ， 将 事 例 代 码 放 入 网 站 的 h t m l 中 就 可 以 了 ， 部 署 极 其 简 单 。 相 应 的 ， 屏 蔽 的 方 法 也 很 简 单 ， 各 种 A d b l o c k 软 件 早 已 将 它 们 屏 蔽 啦 。
根 据 提 示 ， 如 果 不 想 有 提 示 用 户 的 弹 窗 可 以 将 代 码 中 的   a u t h e d m i n e . m i n . j s   替 换 为   c o i n h i v e . m i n . j s 。 开 放 式 开 放 式 W i F i 的 特 性 的 特 性 无 密 码 的 开 放 式 W i F i 网 络 一 直 以 来 因 其 存 在 的 安 全 威 胁 为 广 大 安 全 人 员 所 诟 病 ， 主 要 在 于 两 点 ： 攻 击 者 可 轻 易 建 立 同 名 钓 鱼 W i F i （ 客 户 端 会 自 动 连 接 ！ ） ， 通 信 数 据 未 加 密 容 易 被 嗅 探 。 最 近 W i - F i 联 盟 表 示 将 在 即 将 发 布 的 W P A 3 中 ， 添 加 对 开 放 式 W i F i 的 通 信 数 据 加 密 。 但 在 支 持 W P A 3 的 设 备 被 广 泛 使 用 前 ， 需 要 警 惕 相 应 的 攻 击 场 景 还 会 存 在 很 长 一 段 时 间 。 回 到 本 文 ， 开 放 式 的 W i F i 网 络 一 直 是 类 似 恶 意 攻 击 发 生 的 重 灾 区 ， 结 合 刚 刚 所 介 绍 的 “ 通 信 数 据 未 加 密 特 性 ” ， 我 们 的 检 测 工 具 实 现 原 理 就 呼 之 欲 出 了 ， 即 监 听 明 文 的 8 0 2 . 1 1 数 据 帧 ， 当 发 现 目 标 信 息 便 进 行 告 警 。 检 测 工 具 的 实 现 检 测 工 具 的 实 现 搭 建 测 试 热 点 搭 建 测 试 热 点 首 先 ， 建 立 一 个 包 含 攻 击 代 码 的 开 放 式 W i F i 网 络 方 便 后 续 测 试 。 笔 者 是 通 过 无 线 网 卡 H o s t a p d 建 立 软 A P ， D n s m a s q 提 供 D H C P 及 D N S 服 务 ， 本 地 N g i n x 提 供 W e b 服 务 并 植 入 C o i n H i v e 代 码 ， 最 后 通 过 i p t a b l e s 配 置 C a p t i v e   P o r t a l （ 强 制 认 证 登 陆 页 面 ） 。 如 此 当 移 动 设 备 连 接 到 该 热 点 ， 会 自 动 弹 窗 提 示 需 要 认 证 ， 点 击 后 就 会 访 问 含 有 挖 矿 代 码 的 网 页 了 。 考 虑 到 大 部 分 读 者 并 不 像 我 这 样 富 有 ， 同 时 拥 有 两 块 无 线 网 卡 ！ （ 之 后 需 要 一 块 来 进 行 监 听 ） ， 而 且 H o s t a p d 、 D n s m a s q 、 N g i n x 、 i p t a b l e s 这 套 方 案 的 部 署 配 置 较 为 复 杂 ， 没 有 祖 传 的 手 艺 容 易 出 问 题 。 在 此 我 推 荐 一 个 简 单 的 方 案 ： 利 用 随 身 W i F i 或 者 家 庭 路 由 器 建 立 热 点 ， 配 置 认 证 页 面 到 本 地 W e b 服 务 。 好 吧 ， 如 果 没 有 认 证 页 面 的 配 置 选 项 ， 手 动 访 问 网 页 也 是 一 样 的 。 监 听 明 文 监 听 明 文 8 0 2 . 1 1 数 据 帧 数 据 帧
下 一 步 ， 我 们 来 嗅 探 传 递 在 空 气 中 的 H T T P 数 据 。 将 无 线 网 卡 配 置 为 M o n i t o r 模 式 ， 切 换 到 热 点 所 在 的 C h a n n e l ， 并 使 用 W i r e s h a r k 进 行 观 察 。 映 入 眼 帘 的 应 该 是 大 量 的 各 种 8 0 2 . 1 1 帧 。 我 们 的 目 标 是 未 加 密 的 数 据 帧 ， 其 中 的 H T T P 数 据 将 会 被 W i r e s h a r k 所 解 析 ， 我 们 键 入 “ h t t p . r e s p o n s e ” 进 行 筛 选 H T T P   R e s p o n s e 包 。 与 此 同 时 ， 需 要 让 我 们 的 移 动 设 备 访 问 目 标 网 页 ， 接 着 就 能 观 察 到 一 些 数 据 啦 。 我 们 直 接 尝 试 过 滤 包 含 C o i n H i v e 特 征 代 码 的 数 据 包 “ d a t a - t e x t - l i n e s   c o n t a i n s   C o i n H i v e . A n o n y m o u s ” ， 结 果 如 下 。 此 时 我 们 便 能 得 出 结 论 ， 该 热 点 存 在 着 C o i n H i v e 挖 矿 代 码 。 从 w l a n . s a 字 段 取 得 该 热 点 M A C 地 址 ， 再 结 合 B e a c o n 或
P r o b e 帧 获 取 其 热 点 名 称 。 当 然 我 们 也 可 以 使 用 W i r e s h a r k 的 命 令 行 工 具 T s h a r k 在 终 端 里 进 行 操 作 ， 并 指 定 输 出 格 式 只 输 出 热 点 M A C 地 址 。 使 用 使 用 S c a p y 编 写 恶 意 热 点 识 别 框 架 编 写 恶 意 热 点 识 别 框 架 总 结 一 下 ， 我 们 的 程 序 就 像 是 一 个 对 明 文 8 0 2 . 1 1 数 据 帧 的 分 析 器 。 按 照 这 个 思 路 ， 只 需 要 添 加 不 同 的 识 别 规 则 就 能 扩 展 出 对 各 种 不 同 攻 击 行 为 的 检 测 。 为 了 添 加 扩 展 性 ， 在 此 使 用 S c a p y 来 编 写 一 个 简 单 的 框 架 。 1 . 使 用 使 用 P I P 安 装 安 装 S c a p y 注 意 由 于 s c a p y 没 有 对 h t t p 协 议 进 行 解 析 ， 所 以 引 入 了 s c a p y _ h t t p 扩 展 包 。 2 . 获 取 热 点 列 表 获 取 热 点 列 表 上 面 t s h a r k 的 程 序 有 个 缺 点 ， 就 是 不 太 方 便 同 时 显 示 出 热 点 名 称 。 于 是 在 此 框 架 中 ， 我 们 会 先 扫 描 一 下 周 边 热 点 信 息 以 便 后 用 。 3 . 监 听 含 有 关 键 字 的 监 听 含 有 关 键 字 的 H T T P 数 据 包 数 据 包 当 匹 配 到 告 警 规 则 后 ， 输 出 热 点 名 称 、 M A C 地 址 及 告 警 详 情 。
4 . 监 听 模 式 及 信 道 切 换 监 听 模 式 及 信 道 切 换 2 . 4 G H z 中 ， 热 点 一 般 会 建 立 在 1 、 6 、 1 1 三 个 互 不 干 扰 的 信 道 上 。 为 了 增 加 监 听 覆 盖 的 信 道 ， 让 我 们 的 程 序 增 加 信 道 切 换 功 能 。 5 .   最 终 效 果 最 终 效 果
把 以 上 的 模 块 组 装 在 一 起 就 可 以 使 用 啦 ， 可 以 [ 在 这 查 看 完 整 代 码 ] 。 测 试 效 果 如 下 ： 如 果 你 想 添 加 更 多 的 检 测 规 则 ， 可 以 在 H T T P H a n d l e r 函 数 里 边 扩 展 。 * 本 文 作 者 ： q i n g x p 9 @ 3 6 0 P e g a s u s T e a m ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理