基于網頁挖礦攻擊的防御策略研究與實現

◆高 巖

?

基于網頁挖礦攻擊的防御策略研究與實現

◆高 巖

(武漢虹旭信息技術有限責任公司 湖北 430000)

隨著區塊鏈的快速發展以及虛擬貨幣的大量引入，挖礦木馬成為了被攻擊者運用最頻繁的攻擊方式，從挖礦的形態上可以分為PC客戶端挖礦和網頁挖礦。本文的研究重點是針對網頁挖礦攻擊進行有效防御。針對已有的防御策略的不足，本文提出了通過黑名單限制常見挖礦引擎，并通過檢測CPU使用率阻止新型的挖礦引擎，同時自動更新黑名單的防御策略，完成對網頁挖礦攻擊的防御。

區塊鏈；挖礦攻擊；挖礦攻擊防御

0 引言

近來年隨著互聯網的快速發展，區塊鏈的出現將原有的信息互聯網轉化為價值互聯網。區塊鏈是一種去中心化的信息同步技術，其以密碼學以及POW（proof of work）共識機制為基礎，利用分布式節點共識算法來生成和更新數據，最終完成完整的記錄價值轉移的過程。而為了保證這一安全性，挖礦的概念被提出，挖礦是一種CPU密集型的資源爭搶工作，挖礦的中心思想起源于hashcash機制，該機制初次提出時主要用來阻止惡意用戶向郵件服務器發送垃圾郵件。攻擊者通過惡意代碼將挖礦程序植入受害者計算機，利用受害者的計算機的算力進行挖礦，此類挖礦攻擊日益增多，如何有效防御挖礦攻擊是如今信息安全研究的熱點。

常見的挖礦攻擊方式主要分為：僵尸網絡挖礦以及網頁挖礦。僵尸網絡網礦是指攻擊者通過網絡入侵其他計算機建立僵尸網絡并植入木馬，通過所控制計算機的巨大算力來進行挖礦。網頁挖礦通常指攻擊者通過在頁面植入JavaScript惡意腳本，當普通用戶訪問該頁面時，執行javascript腳本，通過javascript腳本進行挖礦。本文主要針對網頁挖礦的攻擊手段進行分析，并針對性地提出對應的防御措施。

1 網頁挖礦概述

網頁挖礦在用戶瀏覽器訪問頁面時，執行網頁中包含的挖礦代碼，導致在不知情的情況下計算機CPU被占用進行挖礦。網頁挖礦拓撲圖如圖1所示。

圖1 網頁挖礦拓撲圖

圖2 廣告聯盟挖礦框圖

1.1 廣告聯盟進行挖礦

現階段通過網頁進行挖礦已經不滿足于單個網站挖礦，而是將目標對準更大流量的網站進行傳播，其中通過廣告引入惡意挖礦腳本是其主要攻擊方式之一。廣告聯盟挖礦的流程如圖2所示。

攻擊者通過在廣告窗口嵌入挖礦腳本，受害者訪問包含該廣告的網站時瀏覽器會自動加載該挖礦腳本，挖礦腳本占用大量用戶CPU的使用率進行挖礦，導致受害者卡頓。但當受害者關閉該頁面時，瀏覽器停止挖礦操作。

1.2 跨站腳本挖礦

跨站腳本攻擊(Cross-Site Scripting,XSS)是近年來出現頻率最高的漏洞之一，跨站腳本攻擊具有攻擊范圍廣泛、跨平臺、破壞力強等特性受到攻擊者重視。根據XSS攻擊的攻擊方式以及利用手法不同，將跨站腳本分為三類：反射型XSS、存儲型XSS、DOM型XSS。由于挖礦攻擊需要受害者在加載頁面后執行攻擊者的惡意腳本，因此攻擊者通常利用存儲型XSS漏洞向正常頁面注入挖礦腳本。存儲型XSS通常出現在用戶與服務器交互的接口，如留言板、個性簽名、發帖處等。攻擊者在這些接口處通過已存的漏洞注入惡意腳本，惡意腳本會存入服務器中，當其他用戶或管理員瀏覽該信息時，瀏覽器將會直接從服務端讀取攻擊者構造的惡意腳本，在不知情的情況下，受害者瀏覽器會自動加載攻擊者注入的代碼并進行挖礦操作。

1.3 釣魚頁面挖礦

網絡釣魚是一種以社會工程學為基礎的攻擊手段，大多數通過電子郵件、即時通訊工具、網頁虛假宣傳進行傳播，最終意圖是引導用戶點擊并訪問釣魚網站。傳統的釣魚網站是為了欺騙用戶登錄完全模仿真實網站的虛假網站，從而獲取用戶的敏感信息（如賬號、密碼、手機驗證碼等）。而釣魚頁面挖礦則危害更加直接，攻擊者只需要誘導用戶訪問釣魚頁面，之后攻擊者通過代碼隱藏釣魚頁面，此時在釣魚頁面中執行了挖礦腳本。而由于攻擊者隱藏了釣魚頁面，導致用戶無法正常關閉該頁面，挖礦腳本將持續運行，導致受害者CPU占用率增高。

2 網頁挖礦防御策略

2.1 跨域訪問限制

以同源策略為基礎，不允許用戶訪問非當前域下的外聯javascript腳本，不允許用戶打開非當前域下的網站。但僅僅通過此方法，會影響到用戶正常瀏覽網站時的用戶體驗，如非惡意的廣告聯盟所推送的廣告無法顯示，有些網站本身引用了非本域的javascript以及css腳本，此時會導致用戶瀏覽器所解析的頁面出現錯誤。

2.2 CSP

CSP（Content-Security-Policy，內容安全策略）規范了網頁中某個標簽所能加載的第三方域，從協議層對存在安全隱患的非信任數據進行過濾，其核心思想是同源策略，同時限制內聯腳本的執行，以此來防御跨站腳本攻擊。CSP運用了白名單策略，用來判定輸入內容是否存在于白名單中。CSP在默認配置下限制內聯代碼(