比特幣(BTC) | 虛擬貨幣 觀測站

這篇文章的重點是要強調利用 MITM (中間人) 的網路攻擊有多簡單達成，即便是對於完全不熟悉程式編寫或指令系統的人，也 能很輕易的在三分鐘內駭掉一台 Wi-Fi Router 與使用者間的連線來進行內容竄改 (植入挖礦程式、鍵盤側錄…等)，或許這對於資安專家來說只是雕蟲小技不足掛齒，但對一般網路使用者已經可以構成極大的威脅。 也要呼籲所有內容僅供研究與沙箱模擬， 若操作在不知情且未經同意的網路使用者上是違反我國刑法第三十六章「妨害電腦使用罪」 。所有程式內容也並非由我所撰寫，若有非法操作蓄意造成他人財物損失我一概不負責。 MITM 攻擊原理 以 ARP spoofing 達成的 MITM (Man-in-the-middle) 網路攻擊原理其實也非常簡單， 就如上圖所示在用戶 (Client) 向主機端 (Server) 調閱資料時，中間人 (MITM) 從中製造一個假的中繼站偽裝成主機，讓所有資訊都必須經他手才能達到用戶或主機手上 ，而在 Wi-Fi Router 的情境裡只不過把這個過程搬到了區域網路，駭客假裝成 Gateway (閘道) 經手所有資訊傳輸，就能在其中植入有害的程式碼，甚至更嚴重的可能會盜取使用者的加密貨幣錢包。 操作環境 - Kali Linux 那在 MITM 的操作環境我會選擇 Kali Linux，本身就有很齊全的程式庫和相關套件 ，使用一般的 Linux 發行版 (如 Ubuntu、Debian…等) 也是可以的，但要將 MITMF 缺少的依附安裝妥善後才能正確使用。 而 Windows 系統則可以使用 VMware  虛擬機安裝 Kali Linux 成為虛擬系統來操作 ，不論是完整安裝或建置虛擬機的 ISO 都可以在 Kali Linux 官網 下載，安裝過程就不贅述。 前置作業 apt-get update  apt-get install mitmf pip install Twisted==15.5.0 在 Kali Linux 環境下正常來講只需要上述這三個指令 (系統更新、安裝 MITMF、安裝 Twisted) 就可以完整部屬 MITMF 工具。 apt-get install python-dev python-setuptools libpcap0.8-dev libnetfilter-qu...

Morion 是從 PTT 上看來的一個新的線上挖礦，基本上就跟 Coinhive 的運作模式差不多，你可以直接在它們網站上挖礦，也能把程式碼裝到自己的網站讓瀏覽者幫你挖，差別在於這個是 「 直接挖到礦池 」 的， 換句話說你所有挖礦賺得的收益都不會被扣在 Morion 而會直接進入你矮人礦池 (DwarfPool) 的地址內 ，等到累積的 XMR 達到起付額就可以領出。 Morion 官方網站 :  http://m.jumpin.cc 使用上也很簡單直觀，你可以直接填入地址在網站上挖礦，或把 Code 裝到自己網站讓使用者幫你賺 XMR。  <script src="http://m.jumpin.cc/HippoHive.js"></script>               <script>               var miner = new HippoHive.User('{XMR Address}', '{Worker Name}',               {                   threads: 2,                   throttle: 0.6,               });               miner.start(HippoHive.FORCE_MULTI_TAB);               </script> Code 也都和 Coinhive 是一樣的， 如果原本有在使用 Coinhive 的人大可以把 .js 的地址和...

其實我還滿訝異 Coinhive 會針對這種問題特別發一篇 QA 來回覆的， 官方提到收到很多封 Email 來詢問為什麼 Coinhive 的支付率下降了或諸如收益變少的問題 ，可能真的很怕被誣賴偷偷把錢黑走，Coinhive 還真的從頭到尾解釋了一遍 Monero 挖礦的原理。 簡單講收益就是隨著挖礦難度、區塊獎勵來去做增減，這是 Monero 自體的機制，也是維持貨幣發行公平的手段， 所以會覺得支付率下降的原因是因為最近 Monero 挖礦難度大增 (意味著很多人進來挖)，但 Monero 價格卻沒有上漲 ，所以你挖到的變少、價值又變低，但實際上跟 Coinhive 一點關係都沒有。 Monero 挖礦難度 Monero 美金價格 可以很清楚的從兩張圖看出來難度大增但價格卻沒有上漲反而還往下探了 ，所以不論你是使用 Coinhive 網頁挖礦或是自己用 XMR-STAK 挖的收益都會減少，不是誰把它給黑走了，是 Monero 的公平機制就是這樣。 那再來就要談到 Coinhive 的手續費 (Fee) 問題，大家都知道 Coinhive 會抽走三成收益作為伺服器維護，所以任何的收益都是必須 *0.7 的。 很多人可能一聽到要被抽三成這麼多都覺得很不合理，我一開始也是這樣想，不過我在介紹 Mine2 這個網頁挖礦時就有做出比較，它雖然只有 2% 手續費， 但實際上你得要兼顧到挖礦運氣、有沒有挖到出 Share、礦池連接速度...等各種問題。 講簡單一點，挖礦的時候沒挖到 Share 是不算數的，那在網頁挖礦的情況下一來瀏覽器能使用的資源有限，二來每個瀏覽者的電腦配備又不同，有時候看網頁看不夠久根本就挖不到 Share 它就關掉了， 但 Coinhive 直接無視這個問題，用 Hash 直接算錢給你 ，等於它也要自己吸收全部沒挖出 Share 的情況，而且它是固定挖到自己的礦池，連接上快很多，所以整體來講 Coinhive 的收益在被抽了三成後可能還比較好。 畢竟網頁挖礦並不能把它當成普通的礦池挖礦，它追求的不是最大化而是積少成多，Js Miner 本身的效能就非常有限，當然也不會有人希望在看網頁的時候就被綁去挖礦卡到不行吧，所以針對這些問題 Coinhive 官方都做出解釋，希望不要在被誣賴成偷算力啦。 官方 QA : https://coinhive.co...

Coinhive 提供了讓網站主在自己的網頁置入挖礦程式挖取門羅幣 Monero (XMR)，做以取代傳統網頁廣告像 Google Adsense 的投置廣告，隨著 AdBlock 的普及，投放廣告早已經賺不到太多的收入，而且廣告費談判也極度失衡，完全被第三方綁架，非常不符合去中心化的概念，因此產生出了這種以網頁挖礦代替廣告的方式， 借用瀏覽者部分的 CPU 效能 (不使用顯卡) 來幫網站主直接賺取虛擬貨幣收益 ，本站也同樣選用 Coinhive 代替網頁廣告，或許你有發現也或許沒有，但實質上造成的影響其實遠沒有想像中的大，隨著電腦配備的進步，瀏覽網頁已經是電腦的最基本功能，大部分電腦的效能在看網頁上都是遊刃有餘，只要有相關的停止措施和對行動裝置優化，我認為網頁挖礦對使用者帶來的影響反而比廣告更小。 預設的挖礦 GUI Coinhive 網頁挖礦 官網 :  https://coinhive.com/ 挖礦幣別 : 門羅幣 Monero (XMR) 起付額 : 0.02 XMR (0.5 XMR免手續費) 收益算法 :  (<solved_hashes>/<global_difficulty>) * <block_reward> * 0.7 可以看到 Coinhive 會抽取三成的收益，官網提到是為了支援維護費用，可以在 FAQ 裡面詳讀。但必須說我用 Coinhive 至今只碰過一次伺服器維修了幾個小時，他們也馬上在面板上發公告致歉，而且用推算的算力補足這段時間的收益，我會覺得這樣的服務品質還算值得。 註冊 ( https://coinhive.com/account/signup ) 完後就可以到 Settings>Sites & API Keys 建立密鑰，不同網站可以共用一個 key 沒關係，Secret Key記得不要讓他人知道，如果洩漏了可以按 revoke 重新產生。 到 Documentation 選擇適合自己網站的程式碼( https://coinhive.com/documentation )，基本上它分為幾種，個人網站會選用的大概就是最簡單的 Simple Miner UI 和 JavaScript Miner ，如果是使用 WordPress 的用戶也可以直接裝...