火眼金睛:蚂蚁矿池钱包安全实践(二)

OKX欧易app

OKX欧易app

欧易交易所app是全球排名第一的虚拟货币交易所,注册领取6万元盲盒礼包!

APP下载   官网注册

引子:“真行者珞珈山诉苦,假猴王水帘洞誊文。”——《西游记·第五十八回》

在《西游记》中,六耳猕猴冒充猴王孙悟空,以假乱真,骗过了唐僧,骗过了众神,纵使是照妖镜也分不出真假。现在,智能合约遇上了“六耳猕猴”,又会擦出怎样的火花?

在智能合约中,构造函数负责一些数据的初始化工作,owner值一般也会放在构造函数中进行初始化。

owner是智能合约拥有者的称呼,也常被用来owner可能被分配的权限有:铸造/销毁代币、冻结代币等。

如果开发者以错误的语法创建“构造函数”,造成构造函数缺失,致使“六耳猕猴”以假乱真,瞒过了开发者,最后使得攻击者成为合约的拥有者(owner),那么攻击者便可依赖owner的权限,对代币进行增发或销毁等操作,进而可能造成整个代币的崩盘。

一、构造函数简介

在Solidity语言中,当函数名和合约名相同时,此函数就是合约的构造函数,在合约对象创建时,会先调用构造函数对相关的数据进行初始化。

以太坊Solidity0.4.22版本中引入了关键字constructor,新的构造函数声明形式:constructor public{},引入的目的是用以替代低版本中将合约名作为构造函数名的语法形式,从而避免开发者笔误造成构造函数命名错误的问题。

引入的这个关键字看似平淡无奇,实则意蕴深刻,且听我慢慢道来。

二、Fal1out“以假乱真?”

–漏洞分析

下面以ethernaut靶场的Fallout题目为例进行分析。

一眼看去,这似乎是一个正常没有漏洞的合约代码,但经过仔细观察发现,该合约存在一个致命错误——构造函数名称与合约名称不一致,Fallout合约的构造函数被写错成了Fal1out(字母l和数字1的差异)。

这样的错误使其成为了一个被public修饰的普通函数,失去了构造函数仅在合约部署时被调用的特性,使得任何人都可以调用。该题目源码如下图所示:

图1

在Fal1out函数中直接指定了函数调用者的地址即为owner,所以只需要调用Fal1out函数即可实现对合约owner的更改。

如下图所示:

图2

“假猴王”Fal1out想借着一些字体类型的相似字符的视觉差异混淆视听,可最终还是没能逃过我们的“火眼金睛”。

三、前车之覆:

MorphToken事件分析

在过去也曾发生过类似的安全事件,包含着假构造函数的合约被成功发布到主链上,其中比较出名的是“MorphToken事件”,其因为一个看似很小的问题而造成了数千万市值的代币被增发。

合约代码地址:https://etherscan.io/address/0x2ef27bf41236bd859a95209e17a43fbd26851f92#code

在Owned合约中,由于首字母大小写的错误,导致本该成为构造函数的Owned成为了普通函数owned,且被public修饰,可供任何人调用。

如下图所示:

图3

MorphToken合约继承了Owned合约,并在自己的构造函数内进行了owner的初始化,但是父合约Owned的owned函数是可供任何人调用的,攻击者便可通过调用owned函数更改合约的所有者owner。

owner的初始化代码如下图所示:

图4

由上述可知,任何人都可以通过调用合约的owned函数,成为合约的拥有者(owner)。

如下图所示:

图5

失之毫厘,差之千里,一个小小的字母错误,却导致了合约的代币的崩盘。代币也被恶意增发。

如下图所示:

图6

四、后车之鉴:

开发者应如何正确使用构造函数

建议更换Solidity0.4.22及以上版本,并使用正确的constructor语法。

如下图所示:

图7

切记:constructor前并无function,function constructor public{}为错误的构造函数形式。

如果要使用低于0.4.22的版本,则一定要着重检查函数名是否和合约名一致。

如下图所示:

图8

五、安全建议

在智能合约中因开发者粗心,而造成安全漏洞的事件层出不穷,“千里之堤,溃于蚁穴”,成都链安-安全实验室在此给出如下建议:

1、开发者在编写智能合约敏感函数(如构造函数、回退函数fallback)时,应严格按照官方要求的代码书写规范,注意不要出现字符错误等情况。

2、在某些情况下,编译器会对constructor的错误使用发出警告,开发者应予以正确对待,不可认为其只是警告信息而忽略不处理。

3、在合约正式上线前一定要找专业可信的机构做好合约代码的审计工作。

本站所有软件信息均由用户上传发布,版权归原著所有。如有侵权/违规内容,敬请来信告知邮箱:764327034@qq.com,我们将及时撤销! 转载请注明出处:https://czxurui.com/zx/47907.html

打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2023年08月08日
下一篇 2023年08月08日

相关推荐

  • 合约做多什么意思,期货做多是什么意思

    一、期货做多是什么意思期货做多指的是投资者认为市场价格会上涨,因此选择购买合约,以期在未来抛售合约时赚取差价的行为。具体来说,做多是以相对较低的价格买入期货合约,然后在价格上涨后再把期货卖掉,从而获得利润。这是比较常见的投资方式,也是目前市场上的主流投资方

    2024-11-05 21:30:01
    4 0
  • LON是哪个交易所的币,什么是基于智能合约的原子币币兑换系统

    一、什么是基于智能合约的原子币币兑换系统意思是和传统的中心化交易所相比,imToken的Tokenlon品牌不再是一个中心化的平台,用户实现币币兑换都是基于智能合约完成的,像基于Kyber协议的闪兑,以及基于0x协议的点对点币币兑换功能。一种P2P形式的数字代码,它的创作想法来源

    2024-11-05 06:30:01
    3 0
  • 货币怎么查看ETH地址,如何查区块链合约地址信息

    一、如何查区块链合约地址信息***区块链合约地址查询***怎么查币安代币合约地址登入币安交易所官网,进入首页,点击【钱包】,点一下钱包一览就可看到。此外还有一种方式进入账户,点击【充值】,点击【数字货币】,选择币种,进入充值网络,即可查看钱包地址。截止目前,币安

    2024-11-04 22:00:01
    7 0
  • 合约币怎么挖,以太坊怎么挖矿

    一、以太坊怎么挖矿与所有区块链技术一样,以太坊使用基于激励的安全模型。声称是网络中的矿工的任何节点都可以尝试创建并阻止验证区。世界各地的许多矿工正在同时创建和验证区块。一、以太坊采矿的基本原则1、与所有区块链技术一样,以太坊使用基于激励的安全模型。声称是网

    2024-11-03 20:00:01
    9 0
  • 混合合约怎么收费,合作协议书

    一、猎头公司费用多少猎头公司是收费的。猎头公司收费方式主要有三种,一是按过程收费,二是按结果收费,三是打包收费。1、按照过程收费国际主流大牌猎头公司收费都是按照过程收费,里面含有咨询服务。和审计师、上市承销律师类似,可能人选还没招聘到位呢,服务费已经收了一

    2024-11-02 19:00:02
    9 0
  • 币市合约到底是什么,虚拟币合约是什么意思

    一、数字货币合约是什么什么是永续合约什么是期权合约1、数字货币合约交易是一种数字货币衍生产品,用户可以通过判断涨跌,选择买入做多或卖出做空合约来获取数字货币价格上涨/下降的收益。根据《关于防范代币发行融资风险的公告》,境内没有批准的数字货币交易平台。根据我国

    2024-11-02 15:00:01
    10 0

发表回复

8206
验证码

评论列表(0条)

    暂无评论

ok交易所
已有100万用户加入ok交易所

立即下载