مقدمة: الآلاف من اموى 10000 وقا، على الرغم من الصعب، Chuijin حتى بداية إلى الذهب - "أمواج" ليو يو شى

ربات البيوت

آخر مرة يأتي الكتاب، الأسماك DAPP في النقود المزيفة، وظيفة نقل بالكشف عن الرقابة قذرة

فإنه سوف ينتج أكثر المتغيرات لضعف الحال بالنسبة لصناعة EOS الزائفة غير المطابقة للمواصفات، في الواقع، وتحتاج فقط للتحقق ما إذا كان eosio المصدر، أو الاتصال على عرض رمزي عقد المعلومات ذات الصلة، ولكن تحقق من الرموز العملية لا تزال غير كافية صارمة، مما أدى إلى في خطر من المتغيرات الهجوم، وEOS ذكي كود عقد باللونين الأبيض والأسود، ويجب ألا تكون غامضة. ويبدو للقيام الثغرات الدفاعية كاملة يجب أن يكون فهم شامل للمنطق الأعمال EOS وقواعد الحد من الخصائص. هذه المسألة لدينا EOS خصائص منطق الأعمال كنقطة انطلاق، تحليل استهلاك RAM ودحر الثغرات المعاملة.

الموضوع الحالي

غريب نقل RAM ابتلاعه، يتم إرجاع المعاملة مرة أخرى الجوائز نظرا بعيدا

كل لعبة اللاعبين لديهم خبرة في اللعبة التي اتخذت زمام المبادرة، وان فو مو مفتوحة الشرفة، كما شهدت خائفا، حارس البرد القارس. ولكن اللعبة هي لعبة بعد كل شيء، في معظم الحالات، هناك العديد من الفرص لمحاولة، لا سيما بعد لعبة قائمة بذاتها، بالاخطار في الوقت المناسب، وإعادة قراءة ملف الاستمرار في محاولة ل"سقوط الحصول على ما يصل من مكان."

في اللعبة EOS وDAPP الناشئة اليوم، وآلية بالاشتراك مع اللعبة التقليدية القائمة بذاتها لم تظهر بعد. لديها الكثير من التخمين ألعاب مثل شعبية، ولكن ألعاب التخمين هي عادلة ومفهوم لعبة مسابقة، لا يمكن أن نسمح لاعب للحفاظ على محاولة طريقة للحصول على المكافآت. ولكن تحاول باستمرار القيام به هو زيادة فرص الحصول على وسيلة فعالة جدا لمكافأة، والمتسللين ثم تجد وسيلة للحفاظ تحاول مسابقة صفر التكلفة، وسهلة تحاول الخروج على أعلى في EOS DAPP. قبل إدخال مثل هذه الهجمات، دعونا نلقي نظرة على منطق EOS الأعمال الخاصة.

مبادئ

EOS ذكاء الأعمال عقد خصائص المنطق

مبدأ

في EOS عقود ذكية السيناريو، غالبا ما تحتاج إلى تلقي الوضع عقد EOS رمزية لأداء منطق الأعمال ذات الصلة، والذي يتحقق أساسا من خلال وظيفة استلام الإخطار eosio.token نقل العقد:

عندما يحول المستخدم أ المستخدم B، يتلقى المستخدم B هذا الإشعار، ويجوز وفقا لتجهيز وظيفة، وهو نتيجة وجود آلية محددة لrequire_recipient.

require_recipient تنفيذ المنطق هنا هو: سيتم تعديل المتلقي العمل الأصلي للحساب الجديد، ومن ثم إطلاق دعوة إلى العمل، وهو ما يعادل بنفس الحجج واستدعاء دالة نقل ألف وحسابات B.

حول هذه الآلية معينة، EOS يعطي تفسيرا الرسمية ذات الصلة:

لذا، إذا ذكي عقد نشر حساب B، ويمكن تعريف وظيفة نقل لأداء المعالجة منطق الخدمة، على سبيل المثال:

علما بأن هنا وظيفة نقل إذا استخدمت على ذكر (من == _self || ل! = _self) وسيلة للدفاع، تحقق واستقبال التحويلات من تلقاء نفسها لمنع الهجمات نقل متغير.

بالطبع، بالإضافة إلى نقل، require_recipient (ACCOUNT_NAME العقد حساب XXX) يمكن أيضا استدعاء وظائف أخرى من نفس العقد اسم XXX.

ومن ناحية الضعف إلى جنب

نقاط الضعف استهلاك RAM

وفقا لحسابات B أعلاه داخل العقد الذكية لتنفيذ منطق الأعمال، فإنه لا توجد مشكلة، ولكن إذا ما نفذت وفقا للعقد التالية، سوف تكون هناك مشكلة:

هذه العقود ذكية، KOMO :: نقل لحلقة كتابة الكثير من السجلات غير مجدية لstate.db بإذن من الحساب، وهذه العملية عندما يكون المستخدم في معرفة eosio :: نقل.

وكتب المسؤول إلى الأطراف المعنية التغييرات المقترحة هذه الحالة:

عندما تنفيذ معالج عمل المشغل require_recipient، معالج أثار يحظر استخدام العمل المسموح به حاليا.

إذا تسبب في العمل معالج لديها متطلبات التخزين، يمكنك استخدام الإجراءات المضمنة إلى حل، فإنه لن يأذن استخدام العمل الأصلي عندما يتم تنفيذ العمل المضمنة.

ومع ذلك، فإن استخدام العمل المضمنة إذا كنا لا تولي اهتماما، سوف تنتج ثغرة أخرى.

دحر الثغرات المعاملة

الأحداث التاريخية

يمكن استغلالها eos.win في 9 فبراير من قبل المهاجمين لمهاجمة عمل مضمنة لدحر الثغرات المعاملة في التخليص الجمركي، من خلال تفاصيل الصفقة هي كما يلي:

المبدأ:

وينقسم دعوة إلى العمل داخل العقد EOS إلى عمل مضمنة وتأجيل العمل، والمكالمات عقد عمل أخرى، وهذه استدعاء اثنين هو الفرق معين:

1. العمل المضمنة مع العمل الأصلي هو نفس المعاملة، إذا فشل عمل مضمنة، يتم إرجاع المعاملة بالكامل الظهر.

2. إجراء مؤجل مع العمل الأصلي لا تنتمي لنفس المعاملة، ولا يضمن التنفيذ الناجح لإجراء مؤجل، اذا فشلت، وانها لن تتسبب المعاملة إلى دحر العمل الأصلي.

في وقت مبكر، ويتم تنفيذ العديد من الألعاب عقد EOS استخدام العمل المضمنة في هذه الطريقة، من الرهان، واليانصيب والجوائز، لاحظ، على الرغم من أن يكتب في سلسلة من العمليات في عمل مختلف، ولكن من خلال مسار التنفيذ هو عمل مضمنة المتشابكة الطريقة، الرهانات المستعمل تحقيق التلقائي جوائز اليانصيب تأثير.

في هذه الحالة، إذا كان العقد اليانصيب بإرسال إشعارات للمستخدمين من خلال حساب require_recipient، يمكن حساب المستخدم الحكم على نجاح الفوز بالجائزة، إذا فشل ذلك، ثم eos_assert المكالمة (0) إخطار من require_recipient المتلقي لفشل العمل منذ كل عمل هو العمل المضمنة، والذي يؤدي فشل المعاملة بالكامل، سيتم إرجاع الرهان EOS المستخدم.

إذا لم يتم إرسال العقد إخطار require_recipient، يمكن للمهاجم تجميع العمل المضمنة الخاصة بهم، ومن ثم لتنفيذ هجوم العودة إلى الحالة السابقة من حكمهم على ميزان البيانات العقد أو قاعدة البيانات.

وبهذه الطريقة، المهاجم صنعت بعد فشل العمل، كل واحد سوف تكون قادرة على العودة رهان EOS، وذلك دون أي تكلفة للانضمام إلى اللعبة حتى تاريخ الجائزة، وهي لعبة محاكاة واحدة "ملف قراءة بلا حدود"، حتى إزالة من اللعب.

إصلاح الأخطاء

جوائز اليانصيب التلقائي في سلسلة من الإجراءات، لا تستخدم الجمود العمل المضمنة في التفكير، واستخدامها في الوقت المناسب لإجراء مؤجل يمكن أن تمنع عملية المعاملة بالكامل قبل أن يتم إرجاع رهان العودة إلى تجنب خطر المهاجمين المشاركة في المباراة مجددا بدون تكلفة.

قراصنة لا يزال المثابرة، كيف التراخي الأمني الكسل

مقارنة مع EOS ساحة إيثرنت، ذات القدرة الإنتاجية لها، وتجهيز سريع سرعة، وكذلك المعاملة والتكلفة المنخفضة لتحتل مكانة مواتية لتطوير DAPP، مقارنة مع ساحة إيثرنت في وقت مبكر، من الأخطاء على مستوى منخفض تؤدي إلى الثغرات الأمنية الإصابة يظهر أن يكون الحد، ولكن لأن منطق الأعمال اللعبة وDAPP من عقود العملة الرقمية ببساطة ذكية لتكون أكثر تعقيدا، يمكن للمتسللين لا تزال تجد المطورين لم يتصور "روتينية" منطق الأعمال بمثابة نقطة انطلاق لتحقيق أرباح سريعة.

هذه المسألة من البرامج هجوم المعاملة التراجع أن حتى للمهاجمين، كما نسعى باستمرار إلى التفكير في طريقة للجهود المبذولة لتحقيق أهدافها لتحقيق الفوز في المباراة. وسلسلة كتلة من سلامة البيئة من المؤيدين والبنائين، ويجب أن يكون كل واحد منا أكثر لروح المثابرة، رمز الأساسي منذ البداية، للحفاظ على التطبيقات المتصلة سلسلة كتلة الأمن، والتنمية المطردة.

أقتبس:

: تنبيه! عقد EOS المتطفلين يمكن ابتلع تحليل RAM الضعف

: مضمنة العمل على عقد خارجي