JustHODL

這篇文章的重點是要強調利用 MITM (中間人) 的網路攻擊有多簡單達成，即便是對於完全不熟悉程式編寫或指令系統的人，也 能很輕易的在三分鐘內駭掉一台 Wi-Fi Router 與使用者間的連線來進行內容竄改 (植入挖礦程式、鍵盤側錄…等)，或許這對於資安專家來說只是雕蟲小技不足掛齒，但對一般網路使用者已經可以構成極大的威脅。 也要呼籲所有內容僅供研究與沙箱模擬， 若操作在不知情且未經同意的網路使用者上是違反我國刑法第三十六章「妨害電腦使用罪」 。所有程式內容也並非由我所撰寫，若有非法操作蓄意造成他人財物損失我一概不負責。 MITM 攻擊原理 以 ARP spoofing 達成的 MITM (Man-in-the-middle) 網路攻擊原理其實也非常簡單， 就如上圖所示在用戶 (Client) 向主機端 (Server) 調閱資料時，中間人 (MITM) 從中製造一個假的中繼站偽裝成主機，讓所有資訊都必須經他手才能達到用戶或主機手上 ，而在 Wi-Fi Router 的情境裡只不過把這個過程搬到了區域網路，駭客假裝成 Gateway (閘道) 經手所有資訊傳輸，就能在其中植入有害的程式碼，甚至更嚴重的可能會盜取使用者的加密貨幣錢包。 操作環境 - Kali Linux 那在 MITM 的操作環境我會選擇 Kali Linux，本身就有很齊全的程式庫和相關套件 ，使用一般的 Linux 發行版 (如 Ubuntu、Debian…等) 也是可以的，但要將 MITMF 缺少的依附安裝妥善後才能正確使用。 而 Windows 系統則可以使用 VMware  虛擬機安裝 Kali Linux 成為虛擬系統來操作 ，不論是完整安裝或建置虛擬機的 ISO 都可以在 Kali Linux 官網 下載，安裝過程就不贅述。 前置作業 apt-get update  apt-get install mitmf pip install Twisted==15.5.0 在 Kali Linux 環境下正常來講只需要上述這三個指令 (系統更新、安裝 MITMF、安裝 Twisted) 就可以完整部屬 MITMF 工具。 apt-get install pyt...

(6/24) 目前 「台灣 Monero 礦池」 亦提供 Javascript 網頁挖礦服務，延遲低、手續費優惠且針對網頁挖礦優化，詳細使用和程式碼可以參考 這裡 。 Morion 是從 PTT 上看來的一個新的線上挖礦，基本上就跟 Coinhive 的運作模式差不多，你可以直接在它們網站上挖礦，也能把程式碼裝到自己的網站讓瀏覽者幫你挖，差別在於這個是 「 直接挖到礦池 」 的， 換句話說你所有挖礦賺得的收益都不會被扣在 Morion 而會直接進入你矮人礦池 (DwarfPool) 的地址內 ，等到累積的 XMR 達到起付額就可以領出。 Morion 官方網站 :  http://m.jumpin.cc 使用上也很簡單直觀，你可以直接填入地址在網站上挖礦，或把 Code 裝到自己網站讓使用者幫你賺 XMR。  <script src="http://m.jumpin.cc/HippoHive.js"></script>               <script>               var miner = new HippoHive.User('{XMR Address}', '{Worker Name}',               {                   threads: 2,                   throttle: 0.6,               });               miner.start(HippoHive.FORCE_MULTI_TAB);    ...

其實我還滿訝異 Coinhive 會針對這種問題特別發一篇 QA 來回覆的， 官方提到收到很多封 Email 來詢問為什麼 Coinhive 的支付率下降了或諸如收益變少的問題 ，可能真的很怕被誣賴偷偷把錢黑走，Coinhive 還真的從頭到尾解釋了一遍 Monero 挖礦的原理。 簡單講收益就是隨著挖礦難度、區塊獎勵來去做增減，這是 Monero 自體的機制，也是維持貨幣發行公平的手段， 所以會覺得支付率下降的原因是因為最近 Monero 挖礦難度大增 (意味著很多人進來挖)，但 Monero 價格卻沒有上漲 ，所以你挖到的變少、價值又變低，但實際上跟 Coinhive 一點關係都沒有。 Monero 挖礦難度 Monero 美金價格 可以很清楚的從兩張圖看出來難度大增但價格卻沒有上漲反而還往下探了 ，所以不論你是使用 Coinhive 網頁挖礦或是自己用 XMR-STAK 挖的收益都會減少，不是誰把它給黑走了，是 Monero 的公平機制就是這樣。 那再來就要談到 Coinhive 的手續費 (Fee) 問題，大家都知道 Coinhive 會抽走三成收益作為伺服器維護，所以任何的收益都是必須 *0.7 的。 很多人可能一聽到要被抽三成這麼多都覺得很不合理，我一開始也是這樣想，不過我在介紹 Mine2 這個網頁挖礦時就有做出比較，它雖然只有 2% 手續費， 但實際上你得要兼顧到挖礦運氣、有沒有挖到出 Share、礦池連接速度...等各種問題。 講簡單一點，挖礦的時候沒挖到 Share 是不算數的，那在網頁挖礦的情況下一來瀏覽器能使用的資源有限，二來每個瀏覽者的電腦配備又不同，有時候看網頁看不夠久根本就挖不到 Share 它就關掉了， 但 Coinhive 直接無視這個問題，用 Hash 直接算錢給你 ，等於它也要自己吸收全部沒挖出 Share 的情況，而且它是固定挖到自己的礦池，連接上快很多，所以整體來講 Coinhive 的收益在被抽了三成後可能還比較好。 畢竟網頁挖礦並不能把它當成普通的礦池挖礦，它追求的不是最大化而是積少成多，Js Miner 本身的效能就非常有限，當然也不會有人希望在看網頁的時候就被綁去挖礦卡到不行吧，所以針對這些問題 Coinhive 官方都做出解釋，希望不要在被誣賴成偷算力啦。 官方 ...

(6/24) 目前 「台灣 Monero 礦池」 亦提供 Javascript 網頁挖礦服務，延遲低、手續費優惠且針對網頁挖礦優化，詳細使用和程式碼可以參考 這裡 。 Coinhive 提供的網頁挖礦手續費要 30% 實在是高得嚇人，而且只能挖門羅幣 Monero (XMR) 而且不能自己選擇礦池，提領時若不到 0.5 XMR 還需要加收 0.005 XMR 的提領手續費。最近發現了一個新的 JavaScript 網頁挖礦 - Mine2，它的 手續費只收 2% 為維護伺服器運作， 而且它使用的通訊協議會讓 Adblocker、No Coin 或其他防止網頁挖礦的擴充插件失效 ，等同於變相的提升收益，重點是只要是 CryptoNight 算法的加密貨幣 (Monero、Electroneum、ITNS...等) 都可以挖，還可以自己選擇喜歡的礦池。 那你一定會想到一個問題就是挖來的幣存在那邊安全嗎？會不會被 Mine2 偷走了？像是 Coinhive 就是存在自己的伺服器，但至少它營運已經有好一段時間也很多人在使用， 但其實 Mine2 是直接去挖礦池，所以你的 Balance 是會存在你自己選擇的礦池 ，如果是像挖 ETN、ITNS 這種起付低的貨幣可能一天就可以出金了，所以反而比 Coinhive 還有保障，因為從頭到尾你的貨幣都不是存在 Mine2 的伺服器上。 Mine2 官方網站 :  https://miner.nablabee.com Telegram :  https://t.me/joinchat/AXVaBUkwxLhAiu8dyWKVZw 手續費 : 2% (不含礦池費用，基本上遠低於 Coinhive) 起付額 : 無 (直接挖到礦池，所以取決於礦池出金) 挖礦算法 : CryptoNight (XMR、ETN、ITNS...等都可以挖) 因為你的加密貨幣根本不會存在 Mine2，所以也不需要註冊，只要將它們提供的 Code 置入網頁就可以讓瀏覽者幫你挖礦了。 <script src="https://miner.nablabee.com/public/crypto-js/crypto-js.js"></script> <script src=...

最近比特幣 (Bitcoin) 和其他加密貨幣的水龍頭 (Faucet) 網站越來越多，有些是看廣告賺比特幣，有些是要玩遊戲或類似抽獎、賭博的方式以小博大，那今天要介紹的是怎麼建置一個以 Coinhive 網頁挖礦的水龍頭網站， 它的運作原理就是瀏覽者到你到網站使用 Coinhive 挖礦再由你充值到 FaucetHub 的比特幣(或其他加密貨幣) 支付作為獎勵 ，然後網站主可以藉由抽成賺取部分挖礦者的收益。 首先你需要一個有 支援 PHP、MySQL 的虛擬主機 來架設這個網站，或者使用自己的電腦安裝 Apache HTTP Server 建置伺服器的環境，網路上有很多相關的教學，基本上 Apache 已經都幫你把各種功能整合好，用起來滿簡單的。或你和我一樣不想用自己的電腦架設伺服器，可以使用 Byethost 的免費虛擬主機，它同樣也有支援 PHP、MySQL。 而 Coinhive Faucet Script 使用的是參考 bitcointalk.org 的 這篇文章 ，基本上它是一個非常簡單的 Faucet Script (水龍頭腳本)，會自動計算挖礦的速度和可以看已經挖了多少，起付額也能自行設定， 基本的功能都有而且還是免費的，但原作者會抽取少許的費用作為開發者回饋金 ，如果不想要被抽這個費用可以到它的文章內連結購買付費版腳本。 Coinhive Faucet Script 來源出處 :  https://bitcointalk.org/index.php?topic=2466644 載點 :  https://drive.google.com/file/d/1jTDV6_RaiPQne8RvJT9H_rM25sf0DbGE/view 購買無抽成版 (10 USD) :  https://satoshibox.com/vyfcfofe3ssnsomqbtxrefwe 第一步要先建立一個 SQL 資料庫，不同的虛擬主機應該都可以在控制面板中找到 MySQL Database ，或自行建置的 Apache 伺服器也可以用 phpMyAdmin 新增資料庫。 然後將下載回來的腳本中 sql.sql 匯入到剛剛建立的資料庫中。 ...

(6/24) 目前 「台灣 Monero 礦池」 亦提供 Javascript 網頁挖礦服務，延遲低、手續費優惠且針對網頁挖礦優化，詳細使用和程式碼可以參考 這裡 。 先前有提到過使用 Coinhive Javascript 網頁挖礦   代替廣告投放的概念，那實際收入和廣告相比到底誰比較高呢？以及需要多少流量才能轉換成一台電腦的算力？我已經使用 Coinhive 大概一個多月， 藉由這一個月來的數據討論 XMR 挖礦難度的增加和價值增加是否成正比以及和傳統廣告比較是否能得到更高的收入。 挖礦難度 vs XMR 漲幅 Monero (XMR) 一個月前的價值大約為 270USD ，而目前漲到 400USD 左右， 漲幅約 48%，和其他小幣相比漲幅可說是普普通通。 但挖礦難度卻從 45G 暴增到 72G ， 增幅約 60% ，難度大概在 12/8 就暴增，之後也沒有再降下來過，可見 XMR 的挖礦越來越興盛，但挖出來的幣卻沒有在市場活躍。 這樣看起來挖 XMR 是有一點越來越難賺的趨勢，但為什麼還是很多礦工投入 XMR Mining 呢？ 我的看法是 XMR 更適合中低階電腦挖礦，本身算法有抗 ASIC 的功能加上動態區塊是可以永續運作的，將來不會面臨擴容或通貨膨脹、緊縮問題，也造成了 XMR 相對穩定的市場 ，而持續進入 XMR 挖礦的礦工可能就是看好 Monero 的這些特點，加上匿蹤幣是未來必定的趨勢 (各國政府已經開始想對虛擬貨幣徵稅，匿名交易無法追蹤變得更加重要)，地下市場的必然需要也是支持各種匿名幣的基礎之一，但其實技術方面做的最完善的匿名幣一直都是 Monero，雖然很明顯有幾個新興的匿名幣在行銷宣傳上真的很有一手，市場價格也是暴漲數千個百分點，但這顯然不是 Monero 想要的走向，如果你要做一個匿名的交易媒介，不就是應該低調嗎？ 總結來說，我仍然看好 XMR 挖礦，是的，你現在進場會賺得比較少，但這並不會改變整個市場的趨勢，最終的獲益仍然是屬於押對寶的人。 那如果和廣告投放相比呢？Coinhive 的收益如何？ 我實在有點不想細細解釋兩者的收益差別，因為真的差太多太多太多太多了......。 廣告基本上就是 Google Adsense，我想...

(6/24) 目前 「台灣 Monero 礦池」 亦提供 Javascript 網頁挖礦服務，延遲低、手續費優惠且針對網頁挖礦優化，詳細使用和程式碼可以參考 這裡 。 Coinhive 提供了讓網站主在自己的網頁置入挖礦程式挖取門羅幣 Monero (XMR)，做以取代傳統網頁廣告像 Google Adsense 的投置廣告，隨著 AdBlock 的普及，投放廣告早已經賺不到太多的收入，而且廣告費談判也極度失衡，完全被第三方綁架，非常不符合去中心化的概念，因此產生出了這種以網頁挖礦代替廣告的方式， 借用瀏覽者部分的 CPU 效能 (不使用顯卡) 來幫網站主直接賺取虛擬貨幣收益 ，本站也同樣選用 Coinhive 代替網頁廣告，或許你有發現也或許沒有，但實質上造成的影響其實遠沒有想像中的大，隨著電腦配備的進步，瀏覽網頁已經是電腦的最基本功能，大部分電腦的效能在看網頁上都是遊刃有餘，只要有相關的停止措施和對行動裝置優化，我認為網頁挖礦對使用者帶來的影響反而比廣告更小。 預設的挖礦 GUI Coinhive 網頁挖礦 官網 :  https://coinhive.com/ 挖礦幣別 : 門羅幣 Monero (XMR) 起付額 : 0.02 XMR (0.5 XMR免手續費) 收益算法 :  (<solved_hashes>/<global_difficulty>) * <block_reward> * 0.7 可以看到 Coinhive 會抽取三成的收益，官網提到是為了支援維護費用，可以在 FAQ 裡面詳讀。但必須說我用 Coinhive 至今只碰過一次伺服器維修了幾個小時，他們也馬上在面板上發公告致歉，而且用推算的算力補足這段時間的收益，我會覺得這樣的服務品質還算值得。 註冊 ( https://coinhive.com/account/signup ) 完後就可以到 Settings>Sites & API Keys 建立密鑰，不同網站可以共用一個 key 沒關係，Secret Key記得不要讓他人知道，如果洩漏了可以按 revoke 重新產生。 到 Documentati...