利用 Github Actions 的 Workflows 挖矿挖掘数字加密货币
GitHub Actions 是一个 CI/CD 免费服务,现在正在被利用挖矿挖掘数字加密货币,什么是 GitHub Actions,我再另一篇文章中进行了介绍,此处不在赘述,请参考:《初体验 GitHub Actions Workflows 工作流入门教程以及我的使用感受》。
首先,利用 Github Actions 的 Workflows 挖矿挖掘数字加密货币这个行为是极为不道德的,占用了公共资源,我非常鄙视这样的人,而且警告各位不要尝试,Github 目前的解决方式是发现即封号,是封整个账号,请勿尝试!
事件介绍
利用 Github Actions 的 Workflows 挖矿挖掘数字加密货币最早是在 2020 年 11 月就被发现了,但目前没有很好的解决办法,Github 只能是见一个封一个账号,暂时无法批量禁止挖矿。
挖矿的原理
首先,找一个正常的 Github 中的项目仓库,甚至是官方的仓库,只要这个仓库启用了 Github Actions 的 Workflows,并设置了 Pull Request 的 CI/CD,大部分项目会这样设置,保证持续集成的代码正确性或者进行相关单元测试和测试覆盖率统计都会开启。
然后,你 Fork 到自己的仓库,这个时候仓库里的代码你就可以随便修改了,这个时候你就可以加入你的挖矿程序,例如执行一个 npm.exe,只要运行 Github Actions 的 Workflows 就会被触发开始挖矿。
最后,将你的代码版本向原有仓库提交一个 Pull Request 请求,这个时候就会触发 CI/CD,也就是会运行 Github Actions 的 Workflows ,开始运行你插入的挖矿程序。而且这完全是自动的,无需原有仓库管理员批准恶意的 Pull Request,就可以被触发运行。
事件危害
首先,此攻击行动并未危害开发者的储存库,只是利用储存库的 GitHub Actions 功能在 GitHub 服务器上植入挖矿程序,也就是在薅羊毛,Github 免费为我们提供了服务器资源,而此行为会占用大量公共资源运行挖矿程序。
Github 目前已经展开调查,但仍没有很好的解决办法,只能是见一个就封一个号。因为很多恶意程序会伪装成正常的程序,例如:黑客所嵌入的恶意程序名为npm.exe,但它并不是Node.js套件管理器Npm,而是个如假包换的挖矿程序。
商业用途请联系作者获得授权。
版权声明:本文为博主「任霏」原创文章,遵循 CC BY-NC-SA 4.0 版权协议,转载请附上原文出处链接及本声明。
相关推荐
猜你还喜欢这些内容,不妨试试阅读一下评论与留言
以下内容均由网友提交发布,版权与真实性无法查证,请自行辨别。微信订阅号
扫码关注「任霏博客」微信订阅号- 你好,我想问一下如果是分析型的数据库要怎么制作docker镜像呢 是修改V008R003C002B0320版本号吗
- 可以的,我也正在开发分享的程序,可以邮件或群联系我都可以,关于页面里有联系方式:https://www.renfei.net/page/about 。
- 有破解软件的需要可以私下联系您吗?
- 您好,手机APP只是个客户端,用于数据呈现展示,数据均保存在服务器上,只留个APP没有任何用处,无能为力哦。
- 老哥 看你弄了这么多软件好厉害啊。 我有个软件 我买过几个小会员 没用几天 然后商家跑路了,软件服务器关闭了,连不上去 用不了。 你能做成一个打补丁版本可以本地用的么? 方便看下么?https://haodezhe.lanzouw.com/iD0f30h9joza 谢谢老哥!
- 您好,由于版权投诉和我国知识产权法的完善,我已经下架所有破解软件的下载链接了。
- 请问怎么下载呀
- 我保存的License在:https://gitlab.com/renfei/KingbaseES-V8-R3/-/tree/master/License ,开发版是长期有效的,只不过限制连接数,现在官网好像已经下线 V8R3 的下载页面了,其他版本我也不确定是否过期
- 这个版本的license有没有
- 序列号长度不对呀
- 优雅的源代码管理(二):Git 的工作原理
- 优雅的源代码管理(一):版本控制系统 VCS(Version Control System)与软件配置管理 SCM(Software Configuration Management)
- ChatGPT 开发商 OpenAI 买下极品域名 AI.com
- 火爆的 AI 人工智能 ChatGPT 国内注册教程、使用方式和收费标准
- 解决 SpringCloud 中 bootstrap.yml 不识别 @[email protected] 参数
- Cron表达式书写教程搞定Linux、Spring、Quartz的定时任务
- 阿里云香港可用区C发生史诗级故障
- 国产统信UOS服务器操作系统V20提供免费使用授权
- 开源站长推送工具效果评测推荐(百度/必应/谷歌)
- 获取公网IP服务「ip.renfei.net」升级增加地理定位数据字段公示