我的网站被入侵了，损失了几千块

提现的收款人是谁，这不就是信息吗

@graetdk #1 是加密货币

排查账号异常登陆地点以及思考自己之前在哪里放过 apikey

@mechunjun #3 全是通过阿里云机器调用，邮箱是临时邮箱，apikey 在内网环境有，但是确实没发现是哪里泄露的

哪里硬编码了，又被什么代码管理软件自动同步到哪里了，或者客户端里面，好好想想。

我更好奇的是你的网站为什么会有接口改余额

@lisxour #6 管理员接口，运维用的

你这相当于啥也没讲，服务器啥环境，啥框架写的啥支付 SDK，让大家凭空猜吗

@dko #8 并不是啊，只是分享一下，目前能确认的就是窃取到了 apikey ，但是具体怎么窃取的就不知道了，也没期望能解决什么

网站提现除非能做到微信、支付宝那种安全级别，涉及到退款、出金的操作，通通增加一道人工审核，否则一个 bug 就倾家荡产

日志不都有吗，知道用 AI 写站不知道用 AI 看日志吗，日志肯定记录接口是被哪个 IP 调用的又是怎么或是 apikey 的

@dimwoodxi27 又是怎么获取 apkey 的过程都在日志里面

内网使用 http ，不排除内网抓包，都不需要入侵服务器

还是得多重保护啊，管理员的接口和页面你写在同一个项目里没问题，但别放在同一个域名里暴露给用户呀，用户端和管理端用不同的域名，反代的时候用户端域名把管理端的接口屏蔽掉

@esee #14 确实，还是太大意了

@esee #14 而且我真没想到 apikey 会泄露，我怀疑是从剪切板窃取的

我说一下我的想法吧，我不知道你的是什么网站，但我接触过的网站从没见过说有做这样的接口给运维，我就假设你的网站程序：1. 不是知名的 2. 经过魔改的 3. 自己或 AI 写的，这种情况下就算 apikey 泄漏，攻击者是怎么知道接口地址和接口参数的？

1. 服务器有严重漏洞，可以读取到服务器源码，或者泄露过代码
2. 内鬼，对服务器或者代码知根知底
3. 针对性攻击，就接口地址这一块，市面上的扫描工具应该都扫不出来的，可以排除脚本小子，剩下的那就是对手针对性的恶意攻击。

我也是搞逆向的，这个攻击从每一步都充满了不可思议，路径上每一个节点都不应该存在，而不是防不防护的问题

@lisxour #17 如果你专门写了一个类似于调试模式才有的面板，有密码就能进去随便点随便用的话，那更逆天了

@lisxour #17 api 文档是公开的，自己开发的程序，没有开源

管理端端口和 IP 通过安全组放行，需要时再打开。