作者:隐形人真忙
作者博客:http://blog.csdn.net/u011721501/article/details/79450122

0x00 前言

最近关注了一下区块链方面的安全,因此翻出来之前的DAO攻击事件研究了一番,形成此文。

之后可能还会发一些其他的安全分析文章。

0x00 基础知识

1.跨合约调用

智能合约之间的调用本质上是外部调用,可以使用message call或者创建智能合约对象的形式进行调用。

(1)使用message call

比如合约1调用合约2的某个方法:

bytes4 methodId = bytes4(keccak256("increaseAge(string,uint256)"));  
return addr.call(methodId,"jack", 1);  

(2)还原智能合约对象 如果已知合约的地址,可以通过如下方式获取到合约对象:

Contract1 c = Contract1(AddressOfContract1) ;  
c.foo() ; //跨合约调用  
2.智能合约发送ETH

我们可以在智能合约中用代码向某个地址(这个地址可以是人,也可以是智能合约)发送以太币,比较常见的两个方式是:

(1)调用send函数

比如:msg.sender.send(100)

(2)使用message call

msg.sender.call.value(100)()

这两个方式不同的是发送的gas数量,gas就是执行opcode需要花费的一种币,称作为gas也特别形象。当调用send方法时,只会发送一部分gas,准确地来讲,是2300gas,一旦gas耗尽就可能抛出异常。

而使用message call的时候,则是发送全部的gas,执行完之后剩余的gas会退还给发起调用的合约。

3.fallback函数

智能合约中可以有唯一的一个未命名函数,称为fallback函数。该函数不能有实参,不能返回任何值。如果其他函数都不能匹配给定的函数标识符,则执行fallback函数。

当合约接收到以太币但是不调用任何函数的时候,就会执行fallback函数。如果一个合约接收了以太币但是内部没有fallback函数,那么就会抛出异常,然后将以太币退还给发送方。

下面就是一个fallback函数的代码示例:

contract Sample{  
    function () payable{  
       // your code here  
    }  
}  

一般单纯使用message call或者send函数发送以太币给合约的时候,没有指明调用合约的某个方法,这种情况下就会调用合约的fallback函数。

0x01 攻击事件还原

我们先用简单的模拟代码来了解下整个攻击过程。

首先是存在漏洞的智能合约代码,Bank:

用户可以通过addToBalance方法存入一定量的以太币到这个智能合约,通过withdrawBalance方法可以提现以太坊,通过getUserBalance可以获取到账户余额。

注意到这里是通过message call的方式来发送以太币,所以在调用sender的fallback函数的时候我们就会有充足的gas来进行循环调用。如果是send的方式,gas只有2300,稍微一操作就会耗尽gas抛出异常,是不够用来进行嵌套调用的。以下是不同操作所需要的gas数量:

出问题的是withdrawBalance方法,特别是在修改保存在区块链的balances的代码是放在了发送以太币之后。 攻击代码如下:

这里的deposit函数是往Bank合约中发送10wei。withdraw是通过调用Bank合约的withdrawBalance函数把以太币提取出来。注意看这里的fallback函数,这里循环调用了两次Bank合约的withdrawBalance方法。

攻击的过程如下:

(1)假设Bank合约中有100wei,攻击者Attack合约中有10wei
(2)Attack合约先调用deposit方法向Bank合约发送10wei
(3)之后Attack合约调用withdraw方法,从而调用了Bank的withdrawBalance方法。
(4)Bank的withdrawBalance方法发送给了Attack合约10wei
(5)Attack收到10wei之后,又会触发调用fallback函数
(6)这时,fallback函数又调用了两次Bank合约的withdrawBalance,从而转走了20wei
(7)之后Bank合约才修改Attack合约的balance,将其置为0

通过上面的步骤,攻击者实际上从Bank合约转走了30wei,Bank则损失了20wei,如果攻击者多嵌套调用几次withdrawBalance,完全可以将Bank合约中的以太币全部转走。

0x02 复现过程

给Bank合约100wei,给Attack合约10wei。

(1)部署Bank,分配100wei

(2)部署Attack

分配给Attack 10wei。

(3)调用Attack合约的deposit方法

(4)调用Attack合约的withdraw方法

(5)查看Attack合约的余额,变成了30wei,即窃取了20wei

0x03 DAO攻击事件代码分析

在DAO源码中,有withdrawRewardFor函数:

function withdrawRewardFor(address _account) noEther internal returns (bool _success) {  
  if ((balanceOf(_account) * rewardAccount.accumulatedInput()) / totalSupply < paidOut[_account])  
    throw;  
  uint reward =  
    (balanceOf(_account) * rewardAccount.accumulatedInput()) / totalSupply - paidOut[_account];  
  if (!rewardAccount.payOut(_account, reward)) //vulnerable  
    throw;  
  paidOut[_account] += reward;  
  return true;  
}  

这里调用了payOut函数进行付款。

function payOut(address _recipient, uint _amount) returns (bool) {  
  if (msg.sender != owner || msg.value > 0 || (payOwnerOnly && _recipient != owner))  
      throw;  
  if (_recipient.call.value(_amount)()) { //vulnerable  
      PayOut(_recipient, _amount);  
      return true;  
  } else {  
      return false;  
}  

而payOut中直接使用的是message call的方式发送以太币,从而导致了嵌套漏洞。

0x04 总结

在编写智能合约进行以太币发送的时候,要使用send或者transfer,不要使用message call的方式,而send其实还是有些小问题,以后有时间再分析。DAO事件直接导致了以太坊硬分叉,分为ETH和ETC。可见,区块链领域的安全不容忽视,因为其修复难度和所造成的影响都很高,毕竟是和钱打交道。


Paper 本文由 Seebug Paper 发布,如需转载请注明来源。本文地址:https://paper.seebug.org/544/