2017 年 12 月有一則新聞稱，國(guó)外一家星巴克店內(nèi)的無(wú)線網(wǎng)絡(luò)被發(fā)現(xiàn)植入了惡意代碼，劫持網(wǎng)絡(luò)流量，利用用戶設(shè)備挖掘門羅幣（XMR）。與加密貨幣相關(guān)的安全事件總是引人注目，我們也再次見(jiàn)識(shí)到了公共 Wi-Fi 的危險(xiǎn)。

不久，Arnau Code 寫了一篇文章 CoffeeMiner: Hacking WiFi to inject cryptocurrency miner to HTML requests，其中詳細(xì)介紹了如何通過(guò) MITM 攻擊植入 JavaScript 代碼，從而讓 Wi-Fi 網(wǎng)絡(luò)內(nèi)的所有設(shè)備幫助攻擊者挖礦，架構(gòu)如圖 2-132 所示。

在本文內(nèi)容中，我們將提出一種可以檢測(cè)周圍 Wi-Fi 網(wǎng)絡(luò)是否被植入挖礦代碼的便捷方法。

1. 什么是 CoinHive

在星巴克挖礦事件中所使用的便是 CoinHive 挖礦程序。CoinHive 是一個(gè)提供了門羅幣挖礦腳本的網(wǎng)站平臺(tái)，攻擊者將該平臺(tái)提供的腳本植入到自己或入侵的網(wǎng)站上。一旦有用戶訪問(wèn)加載網(wǎng)頁(yè)上的JavaScript 代碼，便會(huì)利用用戶設(shè)備來(lái)挖掘門羅幣。

在 CoinHive 官網(wǎng)中可以發(fā)現(xiàn)多種部署方式，包括 JavaScript 代碼形式、人機(jī)驗(yàn)證形式、WordPress插件形式等，種類非常豐富。例如，在注冊(cè)登錄時(shí)的人機(jī)驗(yàn)證，界面如圖 2-133 所示。一旦單擊就會(huì)啟動(dòng)挖礦程序，在運(yùn)算一段時(shí)間后用戶才可以繼續(xù)登錄。

根據(jù) JavaScript Miner 的介紹文檔，將示例代碼放入網(wǎng)站的 HTML 文件中就可以了，部署極其簡(jiǎn)單，如圖 2-134 所示。

由于 JavaScript 挖掘代碼的易用性及加密貨幣的經(jīng)濟(jì)價(jià)值，CoinHive 經(jīng)常被不法分子所利用。例如，站長(zhǎng)或黑客攻破網(wǎng)站后主動(dòng)插入挖礦代碼，站點(diǎn)本身沒(méi)有挖礦腳本卻被運(yùn)營(yíng)商鏈路劫持插入挖礦代碼，通過(guò)廣告聯(lián)盟將挖礦代碼隨著廣告分發(fā)到大量的網(wǎng)站上。

這次星巴克熱點(diǎn)的挖礦事件向大家揭示了公共 Wi-Fi 網(wǎng)絡(luò)也是容易被不法分子利用的場(chǎng)景。

2. 無(wú)線熱點(diǎn)中的挖礦代碼植入原理

在星巴克熱點(diǎn)挖礦案例中，可以通過(guò)多種方式達(dá)到植入挖礦代碼的目的。

(1) 在商家無(wú)線網(wǎng)絡(luò)中，通過(guò)中間人攻擊植入挖礦代碼，如圖 2-135 所示。

ARP 欺騙是中間人攻擊中最為常見(jiàn)的一種。在局域網(wǎng)中，設(shè)備間的通信依賴于 MAC 地址（而不是 IP），每個(gè)設(shè)備都會(huì)在本地維護(hù)一個(gè) ARP 映射表，記錄 MAC 與 IP 的對(duì)應(yīng)關(guān)系。所謂 ARP 欺騙，就是讓目標(biāo)設(shè)備在本地 ARP 表中記錄錯(cuò)誤的對(duì)應(yīng)關(guān)系（如圖 2-136 所示的 ARP 映射表），使其將數(shù)據(jù)發(fā)向錯(cuò)誤的目標(biāo)，從而被黑客所劫持。黑客通過(guò)對(duì)用戶進(jìn)行中間人攻擊，進(jìn)而劫持目標(biāo)與網(wǎng)關(guān)間的通信數(shù)據(jù)，例如替換網(wǎng)頁(yè)圖片（如圖 2-137 所示）、替換安裝包及植入挖礦代碼等。

(2) 攻擊者創(chuàng)建釣魚熱點(diǎn)植入挖礦代碼。在 2.4 節(jié)中我們了解到，當(dāng)無(wú)線設(shè)備發(fā)現(xiàn)周圍存在同名同加密類型的歷史連接熱點(diǎn)時(shí)，會(huì)嘗試自動(dòng)連接。黑客可以通過(guò)創(chuàng)建與星巴克熱點(diǎn)同名的開(kāi)放式熱點(diǎn)騙取用戶主動(dòng)或被動(dòng)連接。而該處的 DNS 是由黑客控制的，可以將所有的網(wǎng)頁(yè)請(qǐng)求指向被黑客植入了挖礦代碼的網(wǎng)頁(yè)，如圖 2-138 所示。

3. 檢測(cè)工具的原理與實(shí)現(xiàn)

現(xiàn)有檢測(cè)工具大多數(shù)使用終端上的安全軟件對(duì)網(wǎng)絡(luò)入口流量進(jìn)行檢測(cè)，進(jìn)而發(fā)現(xiàn)挖礦代碼，這需要設(shè)備先連接目標(biāo)網(wǎng)絡(luò)才能檢測(cè)。如果想檢測(cè)周邊的所有熱點(diǎn)就只能逐個(gè)連接，可預(yù)想到效率會(huì)非常低。而下面介紹的檢測(cè)方法可以在無(wú)連接的情況下批量檢測(cè)周邊熱點(diǎn)，這種檢測(cè)方式主要基于以下兩點(diǎn)。

① 由于惡意熱點(diǎn)出于吸引更多用戶的目的，往往是無(wú)密碼的開(kāi)放式熱點(diǎn)。

② 開(kāi)放式熱點(diǎn)的通信數(shù)據(jù)是未加密的。

檢測(cè)工具的原理就呼之欲出了，即監(jiān)聽(tīng)明文的802.11 數(shù)據(jù)幀，當(dāng)發(fā)現(xiàn)挖礦特征便進(jìn)行告警。

(1) 搭建測(cè)試熱點(diǎn)

為方便后續(xù)測(cè)試，先建立一個(gè)包含挖礦代碼的開(kāi)放式熱點(diǎn)。參考 2.4 節(jié)釣魚熱點(diǎn)中的內(nèi)容，通過(guò)hostapd 建立熱點(diǎn)，利用 dnsmasq 提供 DHCP 及 DNS 服務(wù)，本地 nginx 提供 Web 服務(wù)并植入 CoinHive代碼，最后通過(guò) iptables 配置 Captive Portal 強(qiáng)制門戶。如此，當(dāng)移動(dòng)設(shè)備連接該熱點(diǎn)時(shí)會(huì)自動(dòng)彈出窗口提示需要認(rèn)證，單擊后就會(huì)訪問(wèn)含有挖礦代碼的網(wǎng)頁(yè)了。

(2) 監(jiān)聽(tīng)明文 802.11 數(shù)據(jù)幀

監(jiān)聽(tīng)傳遞在空中的 HTTP 數(shù)據(jù)。將無(wú)線網(wǎng)卡配置為 Monitor 模式，切換到熱點(diǎn)所在的 Channel，并使用 Wireshark 進(jìn)行觀察。命令如下：

ifconfig wlan0 down
iwconfig wlan0 mode monitor
ifconfig wlan0 up
iwconfig wlan0 channel 11

我們的目標(biāo)是獲取未加密的數(shù)據(jù)幀，其中的 HTTP 數(shù)據(jù)將會(huì)被 Wireshark 所解析，在圖 2-139 中輸入 http.response 進(jìn)行 HTTP Response 幀篩選。與此同時(shí)，需要讓移動(dòng)設(shè)備訪問(wèn)目標(biāo)網(wǎng)頁(yè)，接著就能觀察到一些數(shù)據(jù)。

直接嘗試過(guò)濾出包含 CoinHive 特征代碼的數(shù)據(jù)包 data-text-lines contains CoinHive.Anonymous，結(jié)果如圖 2-140 所示。

此時(shí)便能得出結(jié)論，該熱點(diǎn)存在 CoinHive 挖礦代碼。從 wlan.sa 字段取得該熱點(diǎn)的 MAC 地址，再結(jié)合 Beacon 幀或 Probe 幀獲取該熱點(diǎn)的名稱。以上描述的方法也可以使用 Wireshark 的命令行工具Tshark 在終端中進(jìn)行操作。

(3) 使用 Scapy 編寫挖礦熱點(diǎn)識(shí)別框架

我們即將打造的程序就是一個(gè)對(duì)明文 802.11 數(shù)據(jù)幀的分析器。按照這個(gè)思路，只需要添加不同的識(shí)別規(guī)則就能擴(kuò)展出對(duì)攻擊代碼的檢測(cè)了。為了便于擴(kuò)展，使用 Scapy 來(lái)編寫一個(gè)簡(jiǎn)單的框架。

① 安裝Scapy。由于Scapy 沒(méi)有對(duì)HTTP 協(xié)議進(jìn)行解析，所以需要引入了scapy_http 擴(kuò)展包。命令如下：

apt install python-pip
pip install scapy
pip install scapy_http

② 獲取熱點(diǎn)列表。掃描周邊熱點(diǎn)信息，以便后用，相關(guān)代碼如下：

from scapy.all import *
from scapy.layers import http
iface = "wlan0"
ap_dict = {}
def BeaconHandler(pkt) :
  if pkt.haslayer(Dot11) :
     if pkt.type == 0 and pkt.subtype == 8 :
         if pkt.addr2 not in ap_dict.keys() :
             ap_dict[pkt.addr2] = pkt.info
sniff(iface=iface, prn=BeaconHandler, timeout=1)

③ 監(jiān)聽(tīng)含有關(guān)鍵字的HTTP 數(shù)據(jù)包。當(dāng)匹配到告警規(guī)則后，輸出熱點(diǎn)名稱、MAC 地址及告警詳情，相關(guān)代碼如下：

filter_response = "tcp src port 80"
def HTTPHandler(pkt):
  if pkt.haslayer('HTTP'):
    mac = pkt.addr2
    if "CoinHive.Anonymous" in pkt.load:
      reason = "CoinHive"
    else:
      return
    if mac in ap_dict.keys() :
      ssid = ap_dict[mac]
      print "Find Rogue AP: %s(%s) -- %s" %(ssid, mac, reason)
    else:
      print mac

sniff(iface=iface, prn=HTTPHandler, filter=filter_response, timeout=5)

④ 監(jiān)聽(tīng)模式及信道切換。在2.4 GHz 中，熱點(diǎn)一般會(huì)建立在1、6、11 三個(gè)互不干擾的信道上。為了增加監(jiān)聽(tīng)覆蓋的信道，可以讓程序增加信道切換功能，相關(guān)代碼如下：

import os
print "[+] Set iface %s to monitor mode" %(iface)
os.system("ifconfig " + iface + " down")
os.system("iwconfig " + iface + " mode monitor")
os.system("ifconfig " + iface + " up")
channels = [1,6,11]
print "[+] Sniffing on channel " + str(channels)
while True:
    for channel in channels:
        os.system("iwconfig " + iface + " channel " + str(channel))
        ...

把以上模塊組裝在一起就可以使用了（完整代碼見(jiàn)https://github.com/PegasusLab/WiFi-Miner-Detector）。如果想添加更多的檢測(cè)規(guī)則，可以在HTTPHandler 函數(shù)中進(jìn)行擴(kuò)展。

本文節(jié)選自《黑客大揭秘 近源滲透測(cè)試》

網(wǎng)絡(luò)安全一直是計(jì)算機(jī)領(lǐng)域的熱點(diǎn)，“黑客”一詞在生意參謀上的熱度排名第七，隨著Wifi已經(jīng)遍及生活的各個(gè)角落，近源信息安全必將成為未來(lái)信息安全領(lǐng)域的熱點(diǎn)。

本書由國(guó)際知名安全研究團(tuán)隊(duì)天馬安全團(tuán)隊(duì)（PegasusTeam）榮譽(yù)出品，專業(yè)技術(shù)過(guò)硬，內(nèi)容值得信賴；用漫畫故事引出全篇的內(nèi)容，富有趣味和新意；汲取多年無(wú)線滲透測(cè)試案例精華與技巧，講解滲透測(cè)試領(lǐng)域全新概念“近源滲透測(cè)試”；數(shù)十位業(yè)內(nèi)黑客大咖傾力推薦。