2. V2EX
  3. 我的网站被入侵了，损失了几千块

我的网站被入侵了，损失了几千块

loveshuyuan 2026-08-30 11:29 1

经过排查，攻击者通过管理员的 apikey 通过接口更改了余额然后进行提现。比起损失，我更想知道 apikey 怎么被泄露的，但是我永远也不会知道了。

最新回复 (43)
  • graetdk 08-30 11:31
    1楼
    提现的收款人是谁，这不就是信息吗
  • loveshuyuan 楼主 08-30 11:33
    2楼
    @graetdk #1 是加密货币
  • mechunjun 08-30 11:34
    3楼
    排查账号异常登陆地点以及思考自己之前在哪里放过 apikey
  • loveshuyuan 楼主 08-30 11:39
    4楼
    @mechunjun #3 全是通过阿里云机器调用，邮箱是临时邮箱，apikey 在内网环境有，但是确实没发现是哪里泄露的
  • GG5332 08-30 11:56
    5楼
    哪里硬编码了，又被什么代码管理软件自动同步到哪里了，或者客户端里面，好好想想。
  • lisxour 08-30 11:58
    6楼
    我更好奇的是你的网站为什么会有接口改余额
  • loveshuyuan 楼主 08-30 12:01
    7楼
    @lisxour #6 管理员接口，运维用的
  • dko 08-30 12:10
    8楼
    你这相当于啥也没讲，服务器啥环境，啥框架写的啥支付 SDK，让大家凭空猜吗
  • loveshuyuan 楼主 08-30 12:11
    9楼
    @dko #8 并不是啊，只是分享一下，目前能确认的就是窃取到了 apikey ，但是具体怎么窃取的就不知道了，也没期望能解决什么
  • jacketma 08-30 12:16
    10楼
    网站提现除非能做到微信、支付宝那种安全级别，涉及到退款、出金的操作，通通增加一道人工审核，否则一个 bug 就倾家荡产
  • dimwoodxi27 08-30 12:22
    11楼
    日志不都有吗，知道用 AI 写站不知道用 AI 看日志吗，日志肯定记录接口是被哪个 IP 调用的又是怎么或是 apikey 的
  • dimwoodxi27 08-30 12:23
    12楼
    @dimwoodxi27 又是怎么获取 apkey 的过程都在日志里面
  • sead 08-30 12:35
    13楼
    内网使用 http ，不排除内网抓包，都不需要入侵服务器
  • esee 08-30 12:39
    14楼
    还是得多重保护啊，管理员的接口和页面你写在同一个项目里没问题，但别放在同一个域名里暴露给用户呀，用户端和管理端用不同的域名，反代的时候用户端域名把管理端的接口屏蔽掉
  • loveshuyuan 楼主 08-30 12:42
    15楼
    @esee #14 确实，还是太大意了
  • loveshuyuan 楼主 08-30 12:48
    16楼
    @esee #14 而且我真没想到 apikey 会泄露，我怀疑是从剪切板窃取的
  • lisxour 08-30 12:50
    17楼
    我说一下我的想法吧，我不知道你的是什么网站，但我接触过的网站从没见过说有做这样的接口给运维，我就假设你的网站程序：1. 不是知名的 2. 经过魔改的 3. 自己或 AI 写的，这种情况下就算 apikey 泄漏，攻击者是怎么知道接口地址和接口参数的？
    1. 服务器有严重漏洞，可以读取到服务器源码，或者泄露过代码
    2. 内鬼，对服务器或者代码知根知底
    3. 针对性攻击，就接口地址这一块，市面上的扫描工具应该都扫不出来的，可以排除脚本小子，剩下的那就是对手针对性的恶意攻击。

    我也是搞逆向的，这个攻击从每一步都充满了不可思议，路径上每一个节点都不应该存在，而不是防不防护的问题
  • lisxour 08-30 12:53
    18楼
    @lisxour #17 如果你专门写了一个类似于调试模式才有的面板，有密码就能进去随便点随便用的话，那更逆天了
  • loveshuyuan 楼主 08-30 12:53
    19楼
    @lisxour #17 api 文档是公开的，自己开发的程序，没有开源
  • jetsung 08-30 12:56
    20楼
    管理端端口和 IP 通过安全组放行，需要时再打开。
  • lisxour 08-30 13:02
    21楼
    @loveshuyuan #19 再公开也好，也是公开常规 api 啊，难不成把内部接口都公开出去？
  • dko 08-30 13:28
    22楼
    @loveshuyuan 所以你的到底用的是什么框架什么系统？你什么都不说怎么给你排查定位出建议？
  • Features 08-30 13:31
    23楼
    root 密码给我一下，我帮你看看
  • hackhp 08-30 13:32
    24楼
    什么项目是提现到加密货币？
  • dko 08-30 13:33
    25楼
    @lisxour 稍微搜了一下，他应该是自己写的那套开源 fastapi 有问题，site:long2ice.io ，没进一步看，但是感觉搞个 RCE 出来问题不大。https://github.com/fastapi-admin/fastapi-admin/releases
  • myflourishway 08-30 13:34
    26楼
    用过中转站吗？
  • kidult 08-30 13:43
    27楼
    怎么敢开放提现功能， 才损失几千可以忽略不计
  • aaronysj 08-30 13:51
    28楼
    装个 AI bot 排查看看？
  • itechify 08-30 14:04
    29楼
    fable 5 搜代码漏洞，或者框架漏洞，很多是底座就有 day0 漏洞
  • Majestic11 08-30 15:04
    30楼
    你电脑中病毒了
  • frankies 08-30 15:19
    31楼
    用过中转站的话，看一下调用记录，有没有涉及越权的 prompt
  • William337 08-30 16:02
    32楼
    现在很多开源库被投毒，可以很容易泄露本地环境变量或者文件，即便是不用运行也可以，比如一些 nodejs 的库，打开 ide 就会运行一些依赖
  • zerovoid 08-30 16:21
    33楼
    只是泄露了 key ，改了余额，
    但是提现不用审核的么？

    此外管理员运维接口没有 ip 白名单么，
    什么 ip 都能操作？
  • no996 08-30 17:22
    34楼
    我只能说 OP 的表达能力极差，原文和评论都没有办法描述出关键信息
  • dianso 08-30 17:26
    35楼
    我一个朋友
    做过 密码管理器，给网友用
    做过 SSH 终端，给网友用
    反正我是乐了，傻子还是多。
  • jijicc 08-30 17:33
    36楼
    确实要做好安全
  • dode 08-30 17:59
    37楼
    大模型中转站?
  • VoiceEXONE 08-30 18:23
    38楼
    这让我想到之前公司小程序金额被薅羊毛；基本是你们曝露了金额操作接口，这是大忌
  • ixcode 08-30 20:13
    39楼
    @itechify 以 fable5 的敏感程度不可能干这种活
  • dosin 08-30 21:01
    40楼
    你这都整不明白 可能还会有下次啊 你让 ai 帮你查查得了
  • h3ral 08-31 00:16
    41楼
    人家已经进你主机了
  • zgsi 08-31 09:08
    42楼
    提现不审核...

    确实永远也不会知道了
  • albertofwb 08-31 10:51
    43楼
    我服务器昨天被攻击了

    All your data was backed up by us. You must pay 0.0064 bitcoin to bc1qk9kvwhzt60u3eqcjllqlj44h0tj7w7n72apz99 or in 48 hours, your data will be publicly disclosed and deleted.
    (for more information visit https://2no.co/2psg) After payment send mail to [email protected] and we will provide a link for you to download your data. Your DATAID is: 37H6B
* 帖子来源V2EX
附近帖子
返回
飞读
随机推荐