在一次给客户做态势感知的分析中发现了一个挖矿的木马，该木马占用CPU资源进行门罗币（XMR）的挖矿行为。即利用僵尸网络散播勒索病毒后，现在的僵尸网络攻击方式转向种植挖矿木马了，在分析的过程中对数字货币产生了兴趣，所以决定自己也来挖一挖。
本篇内容都是由自己查阅资料学习后，根据自己理解所写，如有理解不当还请大神们多指点。
比特币小知识
想要了解门罗币，先得看看他爸爸比特币
2008年爆发的一场全球金融危机，全球经济惨遭“滑铁卢”，在这期间，一个自称“中本聪”（Satoshi Nakamoto）的人在一个隐秘的密码学评论组上贴出了一篇研讨陈述《一种点对点的电子现金系统》（白皮书地址http://www.8btc.com/wiki/bitcoin-a-peer-to-peer-electronic-cash-system），比特币就此诞生。
区块链是比特币的底层技术，区块链技术是一种分布式数据存储、点对点传输、共识机制（将在下文门罗币中举例说明）、加密算法等计算机技术的新型应用模式。在比特币的应用中区块链是一个基于密码学安全的分布式账本，是一个方便验证，不可篡改的账本。看起来超级难懂，我们简单点来介绍：
加密算法：
加密算法--哈希函数，哈希表中元素是由哈希函数确定的。将数据元素的关键字K作为自变量，通过一定的函数关系（称为哈希函数），计算出的值，即为该元素的存储地址。
哈希函数有如下特点：
1、同样的原始信息用同一个哈希函数总能得到相同的摘要信息
2、原始信息原始信息任何微小的变化都会哈希出面目全非的摘要信息
3、从摘要信息无法逆向推算出原始信息（这个特点保证了不可篡改性，现在的Hash解密都是使用撞库的方式，并没有真正的解密方法）
这里举个例子：
将“付款100圆”使用哈希256加密后将会得到“d948453b056687a5622457dbd7ca836f7ba8b6c21e3f2dec2ae5f89545f1e902”
区块
区块（Block），把账页信息（序号、记账时间、交易记录）、文件或者其他任何你想存储的数据，作为原始信息进行Hash后的值组合到一起就构成了一个区块。
该概念在中本聪的白皮书中提出，中本聪创造第一个区块，即“创世区块”。
2009年1月3日，比特币的创始人中本聪在创世区块里留下一句永不可修改的话：
“The Times 03/Jan/2009 Chancellor on brink of second bailout for banks（2009年1月3日，财政大臣正处于实施第二轮银行紧急援助的边缘）。”
当时正是英国的财政大臣达林被迫考虑第二次出手纾解银行危机的时刻，这句话是泰晤士报当天的头版文章标题。
链
为了保证比特币交易的准确性、公正性和可追溯，需要通过区块链技术记录和确认整个交易过程，就像银行系统准确记录每一笔资金的汇划金额和支付时间、交易对象。比特币交易系统每10分钟就将这段时间内全网所有的交易数据打包，存储在特定的区块文件中，并发送到每个节点，这些区块文件按照时间先后顺次排列，就成为区块链。
注意区块在记第2个账页的时候，会把上一个块的Hash值和当前的账页信息一起作为原始信息进行Hash,这样第2个区块不仅包含了本账页信息，还间接的包含了第一个区块的信息。依次按照此方法继续记账，则最新的区块总是间接包含了所有之前的账页信息。
分布式存储：
在银行存款，银行为你开立账户，你的账户就存储在银行的服务器上。如果你需要转账给同一个银行的其他人的账户，你需要通过这个银行为你转账和结算，如果你需要转账给其他银行的其他人的账户，你需要通过银联为你转账和结算，尽管一个普通用户感知不到如此多的过程，不过这些步骤确实是存在的，从这个过程中我们看到记账的账户系统是专用的，是中心化的，归某一个组织所有并维护，通常这个组织是权威的、可信赖的。
而比特币并没有中心化的记账系统，而是通过分布式的区块链来记载比特币的拥有权和交易信息。每个比特币的参与者都拥有一份相同的区块链副本，区块链包含着多个随着时间排序的块，后一个块通过哈希指针指向前一个块，形成一个链，从链的顶端通过这个指针，可以一直找到底端第一个块。他通过分布式存储于每一个区块中。
点对点传输（p2p）：
点对点传输，在比特币系统中也就是点对点交易，只要把电子钱包地址告诉对方，付款人直接付款就行没有中间商赚差价，瓜子二手车用区块链技术才能达到真正的点对点交易吧,关键谁愿意去存他的账本呢，整个区块链都会记录你的这次交易。
互联网上的贸易，几乎都需要借助金融机构作为可资信赖的第三方（比如银行）来处理电子支付信息。虽然这类系统在绝大多数情况下都运作良好，但是这类系统仍然内生性地受制于“基于信用的模式”(trust based model)的弱点。我们无法实现完全不可逆的交易，因为金融机构总是不可避免地会出面协调争端。而金融中介的存在，也会增加交易的成本，并且限制了实际可行的最小交易规模，也限制了日常的小额支付交易。并且潜在的损失还在于，很多商品和服务本身是无法退货的，如果缺乏不可逆的支付手段，互联网的贸易就大大受限。因为有潜在的退款的可能，就需要交易双方拥有信任。而商家也必须提防自己的客户，因此会向客户索取完全不必要的个人信息。而实际的商业行为中，一定比例的欺诈性客户也被认为是不可避免的，相关损失视作销售费用处理。而在使用物理现金的情况下，这些销售费用和支付问题上的不确定性却是可以避免的，因为此时没有第三方信用中介的存在。
比特币系统基于密码学原理而不基于信用，使得任何达成一致的双方，能够直接进行支付，从而不需要第三方中介的参与。杜绝回滚(reverse)支付交易的可能，这就可以保护特定的卖家免于欺诈；而对于想要保护买家的人来说，在此环境下设立通常的第三方担保机制也可谓轻松加愉快。比特币系统是一种通过点对点分布式的时间戳服务器来生成依照时间前后排列并加以记录的电子交易证明，从而解决双重支付问题。只要诚实的节点所控制的计算能力的总和，大于有合作关系的(cooperating)攻击者的计算能力的总和，该系统就是安全的。(后面解释)
工作量证明-比特币：
这个部分我转载了Tiny熊的博客，写的真的非常好，博客原文地址https://learnblockchain.cn/2017/11/04/bitcoin-pow/
我们知道所有的计算和存贮是需要消耗计算机资源的，既然要付出成本，那节点为什么还要参与记账呢？在中本聪（比特币之父）的设计里，完成记账的节点可以获得系统给与的一定数量的比特币奖励，这个奖励的过程也就是比特币的发行过程，因此大家形象的把记账称为“挖矿”。
由于记账是有奖励的，每次记账都可以给自己凭空增加一定数量的个比特币（当前是12.5比特币，博文写作时每个比特币是4万人民币以上，大家可以算算多少钱），因此就出现大家争相记账，大家一起记账就会引起问题：出现记账不一致的问题，比特币系统引入工作量证明来解决这个问题，规则如下：
1、一段时间内（10分钟左右，具体时间会与密码学难题难度相互影响）只有一人可以记账成功
2、通过解决密码学难题（即工作量证明）竞争获得唯一记账权
3、其他节点复制记账结果
不过在进行工作量证明之前，记账节点会做进行如下准备工作：
1、收集广播中还没有被记录账本的原始交易信息
2、检查每个交易信息中付款地址有没有足够的余额
3、验证交易是否有正确的签名
4、把验证通过的交易信息进行打包记录
5、添加一个奖励交易：给自己的地址增加12.5比特币
区块链记账原理我们了解到，每次记账的时候会把上一个块的Hash值和当前的账页信息一起作为原始信息进行Hash。
如果仅仅是这样，显然每个人都可以很轻松的完成记账。
为了保证10分钟左右只有一个人可以记账，就必须要提高记账的难度，使得Hash的结果必须以若干个0开头。同是为了满足这个条件，在进行Hash时引入一个随机数变量。
#用伪代码表示一下：
Hash(上一个Hash值，交易记录集) = 456635BCD
Hash(上一个Hash值，交易记录集，随机数) = 0000aFD635BCD
我们知道改变Hash的原始信息的任何一部分，Hash值也会随之不断的变化，因此在运算Hash时，不断的改变随机数的值，总可以找的一个随机数使的Hash的结果以若干个0开头（下文把这个过程称为猜谜），率先找到随机数的节点就获得此次记账的唯一记账权。我们简单分析下记账难度有多大，Hash值是由数字和大小写字母构成的字符串，每一位有62种可能性（可能为26个大写字母、26个小写字母，10个数字中任一个），假设任何一个字符出现的概率是均等的，那么第一位为0的概率是1/62（其他位出现什么字符先不管），理论上需要尝试62次Hash运算才会出现一次第一位为0的情况，如果前两2位为0，就得尝试62的平方次Hash运算，以n个0开头就需要尝试62的n次方次运算。
数字货币的死穴
“中本聪”曾在白皮书中写到“只要诚实的节点所控制的计算能力的总和，大于有合作关系的(cooperating)攻击者的计算能力的总和，该系统就是安全的。”在工作量证明中我们曾说到，其实挖矿的过程就是我们需要找到其相应的解，而对于任何一个六十四位的哈希值，要找到其解，都没有固定算法，只能靠计算机随机的hash碰撞，而一个挖矿机每秒钟能做多少次hash碰撞，就是其“算力”的代表，单位写成hash/s,这就是所谓工作量证明机制POW(Proof Of Work)。如果有人掌握了50%以上的算力，他能够比其他人更快地找到开采区块需要的那个随机数，因此他实际上拥有了绝对哪个一区块的有效权利。
有很多基于区块链技术开发的数字货币，之所以早早夭折就是因为已经有人掌握了51%，在拥有绝对算力的前提下，基本所有hash的碰撞都会被这个人掌握，那么其他人将不会获得奖励的货币，没人能赚钱了，就不会在使用他，这种数字货币就将失去他的价值。
门罗币XMR
比特币打开了区块链的大门，其他如以太坊ETH、零XZC、门罗XMR等众多数字货币都相继到来。
XMR一种使用CryptoNote协议的一个虚拟币币种，其并不是比特币的一个分支。CryptoNote 在2012年已经开发出来，当年已有Bytecoin使用CrytoNote技术，XMR是在2014年开发出来，可以预见CryptoNote技术已经非常成熟，基于CryptoNote技术，门罗致力于隐私保护的新一代虚拟货币。采用环签名（Ring Signatures）方式使转账匿名化。
门罗对比比特币的优势
1、门罗币拥有更好的挖矿算法
比特币算法在定制的挖矿芯片上（被称为ASICs）的运行速度比在标准家庭电脑或者笔记本电脑上快得多。这意味普通的电脑用户想要参与比特币挖矿几乎是不可能，这会导致矿工相对集中在电力成本低的那些国家。相比之下，门罗币的挖矿算法是专门设计的，因此ASICs与普通公众的电脑设备相比不会拥有太大优势。世界各地的人都可以在家里或者工作的电脑上运行挖矿软件。 运行挖矿软件的人可以通过处理和验证其他门罗币交易而赚取门罗币。不需要特殊的挖矿设备，下载门罗币钱包的人可以轻易在他们的电脑上点击按钮进行挖矿。但是算力的大小任然是决定你收益的主要因素。
2、门罗币的“自适应区块大小限制”
当交易广播到门罗币或者比特币的网络时，它们将被打包到“区块”中。门罗币每两分钟出一个块，而比特币平均每十分钟出一个块。因为区块大小拥有上限，因此如果空间不足，你的交易会被延迟。如果你非常想立刻将你的交易打包到区块中，那么你必须提高支付给网络的交易手续费。（现在比特币手续费已经涨到500了）
门罗币从一开始就设置了自适应的区块大小，这意味着，它可以自动的根据交易量的多少来计算需要多大的区块。因此门罗币从设计上不存在需要通过硬分叉和共识来提高区块大小的问题。
3、资助开发”不可见的互联网(I2P)： kovri”成为门罗币的标准组成部分
门罗币除了能隐藏货币发送者/接受者的交易地址、交易金额外，同时还将隐藏参与交易双方的IP地址。
作为最被大众熟知的匿名中继网络TOR（洋葱网络，大多数暗网交易都在这个网络上完成，之前打算装一个，听说端口容易被监听就没弄），在若干年前就被认为是不够匿名的。在前段时间的wannacry 勒索软件事件中，政府机构找到了黑客用于控制勒索软件的tor command hub，最终将犯罪贩子抓获。I2P作为继TOR之后全新一代的匿名中继网络（新的日音网）。提供超高标准的匿名在网络上冲浪，使得没有任何人或者组织可以跟踪和分析你的网络流量和访问网络的行为。
门罗币独立资助了kovri成为其标准套件的一部分，以彻底的隐藏交易双方的IP地址。当一笔交易发出并且广播到全网的时候， 没有任何机构或者组织可以通过监控其他的网络节点来计算出这笔交易是从哪里发出的。
Kovri 不仅可以隐藏双方的交易IP。 同时还可以隐藏门罗币的所有的流量行为，这意味着，哪怕是全世界的组织联合起来封堵门罗币， 只要有一台机器还运行着门罗币的软件，其他的人就可以通过kovri对其进行扩散。
这个核心部分也解决了比特币最大的缺点。比特币最大的缺陷是缺乏保密性。如果你要把比特币地址给我，我才能给你发送交易，那么你直接放弃了你的隐私。我可以通过公开的交易记录，看到你的比特币钱包有多少钱。这就如同你在街上走着头顶上就有个标签显示你有多少钱。
门罗币硬分叉
在硬分叉中很好的体现了共识机制。
硬分叉指的就是区块的交易方式（也称“共识”）放生改变的时候，没有进行升级的节点拒绝对已经升级过的节点生产出的区块进行验证，大家各自沿着自己的链向前走，自然而然就形成了不同的两个链。通俗来说就是交易方式改变了，还用原来交易方式记账的区块链称为旧链，升级后使用新的记账方式的区块链称为新链。
门罗为何进行了硬分叉呢，今年3月上旬，加密货币挖矿硬件制造商比特大陆(Bitmain)发布一款新矿机AntMiner X3，就是专为挖掘门罗币而设计。比特大陆利用比特币PoW（工作证明）算法机制的漏洞，开发出一个名为 ASIC Boost 的程序，可以让该公司三个矿池的挖矿速度快过竞争对手20％。这必然会将大部分算力都集中到拥有矿机的人手中。
抵制挖矿中心化是门罗币项目的核心价值理念，该项目称XMR基于Cryptonote协议，旨在创建一个平等的挖矿网络，推动去中心化的发展。门罗币的开发者们坦承ASIC可能无法阻挡，但是他们认为，过渡到以ASIC挖矿为主的网络上就要尽可能地平等，从而推动网络去中心化的发展。门罗币称其工作量证明机制“使用工作量证明算法，限制内存存储容量，以缩小CPU和GPU矿工之间的差距”。他们认为这么做有三个好处：“首先，算力是分散的，要迫使矿工不确认某一笔交易，或者是对区块链进行审查是非常困难的。其次，减轻大型数据中心集中挖矿所带来的压力。最后，政府很难规范出售通用矿机的公司（相对于出售专用硬件的公司）。
基于AntMiner X3（蚂蚁X3矿机）在5月正式发售，北京时间2018年4月6日16点22分11秒，高度1546000的区块被挖出，硬分叉正式开始，这是社区第一次使用如此极端的方式，来向ASIC宣战。产品升级为Monero 0.12.0.0“锂月神”，对于一言不合就分叉的罗门，结果在分叉后生了4个儿子。
Monero Classic
由新加坡门罗币爱好者领导，包括了一些开发者和矿工，相信ASICs是市场健康发展的表现。
Monero-Classic(XMC)
比特大陆带领的分叉，基本是蚂蚁X3挖矿了。自己和自己玩。
Monero 0(XMZ)
由POW 狂热支持者领导。
Monero Original(XMO)
领导者未知，由Github库和媒体发布。Hitbtc支持。
http://mineXMR.com是门罗币相对较大的矿池，分叉后，算力出现骤降，只剩下原来的三分之一左右。
我的XMR之旅
我为何选择了门罗，和大家分享下：
1、门罗原则性很强坚持自己的核心价值，现在还有多少公司或者个人还能够坚持自己的初衷，如此极端的方式硬分叉还是给自己带来了不小的影响；
2、门罗算力的大减，有利于我们这些小盆友去挖挖玩一玩，看一看密码学世界给我们带来的惊奇；
3、没有时间再去了解以太坊（ETH）了，以太坊是目前世界第二大的数字货币，这里为喜欢研究的小伙伴们以太坊开发者指南https://ethereum.gitbooks.io/frontier-guide/content/ethereum.html
4、有时候还是想去看一看日音网是什么样子的，“当你凝望深渊时 深渊也在凝望你”这里引用下《唐人街探案2》的话，鸡冻。
5、现在基于区块链技术所做的游戏已经产生了，这证明了已经可以拥有自己的虚拟资产（比如游戏账号），以后一定会长生更多的虚拟资产，这些资产都是不可逆的，再使用虚拟货币来进行交易资产。未来的世界会变成像头号玩家那样吗，想想还是挺酷的。
安装XMR钱包
在安装XMR钱包时候，请务必在官网下载0.12.0.0版本的，这个是硬分叉后升级的版本。
官网钱包下载地址：https://getmonero.org/downloads/
注意这里请选择GUI图形化界面的版本进行安装，若选择的是CLI命令行界面的，安装钱包请参考http://www.csminer.com/460.html
下载解压后点击monero-wallet-gui.exe运行
这里选择简体中文，其实只要你看的懂选哪个都可以咯。
这里选择创建一个新的钱包。
这里取个钱包的名称，种子码点右下角可以复制，一定要保存好!在最下面选择钱包安装的位置
这里请设置好自己的钱包密码
如果使用远程同步区块，也可以在区块同步程序位置中输入远程的地址、端口等信息，点连接即可。虽然远程同步比较方便，也很少占用本地存储，但是由于网络等原因，可能导致不稳定，同时，在安全性上，也不及本地存储。这里我选了个本地的试试水。
安装完成可以使用了
接下来只有慢慢等了，不过有了地址就可以先进行挖矿了
这里的我不得不说，大家没有长期打算还是不要选本地了，本地区块40个G我更新了6天，不稳定经常断开连接，大家还是找个远程地址同步吧，我已经更新好了就没有去找了，建议大家还是使用远程地址，但是一定要注意你更新的地址是爸爸的还是儿子的。
这里也暴露出了区块的问题，因为区块是随着时间的增加而逐渐增加的，正如清华大学经管系区块链金融研究中心姚教授所说，在性能和扩展性方面，随着区块的增多，运行区块链所要求的硬件性能会越来越高，最终将归于只有少数大机构才能运行的中心化技术。
更新好可以直接用客户端可以进行挖矿，这里不建议，因为算力太小了，看看矿池就懂了，一个人要和一群人竞争是很难的。
矿池选择
由于比特币全网的运算水准在不断的呈指数级别上涨，单个设备或少量的算力都无法在比特币网络上获取到比特币网络提供的区块奖励。在全网算力提升到了一定程度后，过低的获取奖励的概率。促使一些“bitcointalk”上的极客开发出一种可以将少量算力合并联合运作的方法，使用这种方式建立的网站便被称作“矿池”(Mining Pool)。
PPLNS模式：(最纯正的组队挖矿)全称Pay Per Last N Shares，意思是说“根据过去的N个股份来支付收益”，这意味着，所有的矿工一旦发现了一个区块，大家将根据每个人自己贡献的股份数量占比来分配区块中的货币。当然还有一些其他的分配方式，小伙伴们自行查阅资料看下。
终于到了选择矿池的时候了，可以到http://moneropools.com/来选择自己心仪的矿池。
这里我选择的矿池是pool.support.xmr.com:5555
挖矿工具
在官网中给出了可以硬分叉后可以使用的挖矿工具
Patches will be available for the following software: zone117x's pool, Snipa's pool, Lucas Jones' CPU miner, wolf0's CPU miner, ccminer-cryptonight, sgminer-gm, xmr-stak, xmrig-nvidia, wolf-xmr-miner.
Windows挖矿工具可以选择xmr-stak，在地址里有youtube的配置教程，前提你得会番羽土啬
https://github.com/fireice-uk/xmr-stak/blob/master/doc/compile_Linux.md
我本人主要准备使用Linux系统的CPU进行挖矿，这里使用的也是xmr-stak
#centOS 使用方法
yum -y install epel-release
yum -y install centos-release-scl cmake3 hwloc-devel libmicrohttpd-devel openssl-devel git screen nano make htop
yum -y install devtoolset-4-gcc*
scl enable devtoolset-4 bash
git clone https://github.com/fireice-uk/xmr-stak.git
mkdir xmr-stak/build
cd xmr-stak/build
#在进行下步操作前请看下我写的下文
#这里是不进行编译N卡和A卡
cmake3 . -DCUDA\_ENABLE=OFF -DOpenCL\_ENABLE=OFF
make install
cd bin/
./xmr-stak
该文件作者提交于github上，文件中提到捐赠2%的算力给作者（意思就是没运算100分钟有2分钟的算力是属于作者的），如果你不想捐赠，可以打开xmrstak文件夹对donate-level.hpp(捐赠级别)进行修改。
将文件下方2.0 / 100.0 改为 0.0/100.0 。当然如果你愿意捐赠可以忽略这步操作。
编译后就可以运行了，运行的时候会问几个问题，如实填就行了。
#If you don't want to use it, please enter 0, otherwise enter port number that the miner should listen on
问你用不用，不用就填0，用就从0~65535选给端口给他
# Please enter the currency that you want to mine:
问你选个你要挖的币 我们挖门罗就写- monero7(硬分叉后是v7版这次没走错路了)
#Pool address: e.g. pool.usxmrpool.com:3333
问你矿池地址是什么 pool.supportxmr.com:5555
#Username (wallet address or pool login):
这里选登录用户，这个矿池的登录用户就是钱包地址433FwewAjapYeLRQkcLzLzRGwtXrifgWdYqKCaa93mLd4xRtCBXCuCgZvKR5joQAsTYa4fSERqqmw8ecejfby3krFgShHig
#Password (mostly empty or x):
密码一般没有填x
#Rig identifier for pool-side statistics (needs pool support). Can be empty:
矿池的rig表示符 我也不知道有没有他说可以填空我就直接回车咯
#Does this pool port support TLS/SSL? Use no if unknown. (y/N)
问你是否支持TLS/SSL 根据矿池官网配置实例选N
#Do you want to use nicehash on this pool? (y/n)
问你是否想使用nicehash 根据矿池官网配置实例选N
#Do you want to use multiple pools? (y/n)
问你是否使用多矿池，这里我选的N 奏用这一个了
运行就可以直接进行挖矿了。
可以使用screen命令将挖矿挂起。
yum install screen / apt-get install screen
#前面centos 后面 ubuntun
screen -R ./xmr-stak
把挖到的币从矿池里面提取到钱包是要付一定的费用的，当然是从你挖到的扣除，我还没挖到这里就不写了，等到了后期挖到了再在博客上做补充，我还想再研究下其他矿池日后再对博客进行更新。
这里还是把我最爱的ubuntu如何进行编译安装做个补充吧
sudo apt-get --assume-yes update
sudo apt-get --assume-yes upgrade
sudo apt-get --assume-yes install libmicrohttpd-dev libssl-dev cmake build-essential libhwloc-dev screen git nano htop wget curl
curl -4 icanhazip.com
#开启大内存和memlock（这一步骤不一定需要）
sysctl -w vm.nr_hugepages=128
sed -i '1s/^/vm.nr_hugepages=128\\n/' /etc/sysctl.conf
echo '* soft memlock 262144' >> /etc/security/limits.conf
echo '* hard memlock 262144' >> /etc/security/limits.conf
git clone https://github.com/fireice-uk/xmr-stak.git
cd xmr-stak/
cmake . -DCUDA\_ENABLE=OFF -DOpenCL\_ENABLE=OFF
make install
cd bin/
./xmr-stakgit clone https://github.com/fireice-uk/xmr-stak.git
交易
这里先放交易平台地址https://gateio.io/ref/625612
在平台里面注册账号，使用钱包地址和密码就可以去交易了，下图为6月1日门罗币的市值
如果几个月前研究，是不是在分叉后买如就能赚上一笔，
其实还有很多交易平台地址小伙伴们都可以去看看。
参考
这个也是个可以使用客户端挖矿的矿池，看不懂上面服务器挖矿的小伙伴可以使用这些客户端挖，在上面看不懂我在里面走了一些弯路，主要是Github的挖矿工具连接不在了https://minergate.com/altminers/cpuminer-multi-wolf
吐槽
Markdown编辑模式段落开头不能空两格 ，真实要折磨死我这个强迫症啊。