區塊鏈:科普 | 智能合約安全審計入門篇 —— 自毀函數

By：小白@慢霧安全團隊

背景概述

上次我們了解了什么是溢出漏洞和如何預防和發現它。這次我們要了解的是solidity中自帶的函數——?selfdestruct自毀函數。

前置知識

我們先來了解solidity中能夠轉賬的操作都有哪些：

徐明星新書《趣說金融史》正式發布 科普金融發展之道:金色財經現場報道，9月23日，歐科云鏈創始人徐明星攜手著名財經作家李霽月、行業觀察者顧澤輝力作《趣說金融史》一書，跨越5000年金融歷史，重讀金錢故事，并預測新的金融時代。該書由中信出版社出版，將于近期正式發售。據了解，本書可以更好地呈現金融的起源與發展，幫助人們理解貨幣、金融與未來經濟。作為區塊鏈行業領軍企業——歐科云鏈的創始人，徐明星深知技術探索對經濟社會的重要推動作用，他曾先后出版過《圖說區塊鏈》、《區塊鏈：重塑經濟與世界》、《通證經濟》、《鏈與未來》等行業權威著作，解讀區塊鏈等新型技術的推動下，金融與社會的升級之道，對經濟社會發展做出了重大貢獻。其中，《區塊鏈：重塑經濟與世界》曾作為新中國70周年重點推薦圖書之一被相關書店推薦。[2021/9/23 17:00:57]

1

歐科云鏈集團正式啟動區塊鏈科普行動“星途計劃”:歐科云鏈集團于4月26日，正式宣布啟動了區塊鏈科普行動——“星途計劃”，行動包括將在全國范圍展開系列沙龍，加大力度推進區塊鏈科普進機關、進國企、進校園等，聯合政府部門、行業協會等共同構建起更加完善和有效的區塊鏈科普教育生態，與此同時，直擊區塊鏈科普現存痛點，推出簡單易懂的“秒懂區塊鏈”公益短視頻課。

該計劃旨在全維度推動社會建立對產業更清晰的認知，與“鯤鵬計劃”一道助力數字經濟及區塊鏈產業本身健康發展夯實“人才”和“產業認知”兩大基礎。[2021/4/26 20:59:37]

}functionclaimReward()public{require(msg

動態 | 新浪財經：官媒針對區塊鏈的報道從科普宣傳轉向打假監管:據新浪財經今日消息，“1025新政”滿月，一個月間，官媒對區塊鏈的態度風向已轉。據11月初的一項統計，七家黨媒在新政一周內發布了65篇直接相關報道，當時文章中的關鍵詞是數據、產業、安全、創新等，大量文章偏向于科普區塊鏈的概念以及應用介紹，提醒警惕虛擬貨幣炒作的僅有3篇。近期，官媒的批評焦點則紛紛指向借區塊鏈之名進行的虛擬貨幣發行和炒作行為。據統計，新華網、人民網收錄轉載的，以打擊虛擬貨幣或揭露假借區塊鏈行騙為主題的文章，自10月25日到11月25日午間，共28篇；其中，11月19日至11月25日的一周內就高達15篇。這些文章主要圍繞三個觀點展開：厘清區塊鏈和虛擬貨幣的關系，說明二者概念不等；打擊偽“區塊鏈”騙局，或是虛擬貨幣騙局揭露；提醒民眾，區塊鏈不能成為炒作的噱頭，更不是行騙的招牌，需警惕此類活動，理性投資。[2019/11/26]

}漏洞分析

EtherGame合約實現的功能是一個游戲，我們這里可以稱它為“幸運七”。玩家每次向EtherGame合約中打入一個以太，第七個成功打入以太的玩家將成為winner。winner可以提取合約中的7個以太。

玩家每次玩游戲時都會調用EtherGame

functionattack()publicpayable{addresspayableaddr=payable(address(etherGame));selfdestruct(addr);}這里我們還是引用三個角色來講解攻擊合約的攻擊過程

玩家一：Alice

玩家二：Bob

攻擊者：Eve

1.開發者部署EtherGame合約；

2.玩家Alice決定玩游戲，她這輩子玩游戲從來沒贏過，她覺得這個游戲可以讓她體驗一次當winner的快感，所以她決定連續調用EtherGame

}functionclaimReward()public{require(msg

}作為審計者

作為審計者我們需要結合真實的業務邏輯來查看address(this).balance的使用是否會影響合約的正常邏輯，如果會影響那我們就可以初步認為這個合約存在被攻擊者強制打入非預期的資金從而影響正常業務邏輯的可能。在審計過程中還需要結合實際的代碼邏輯來進行分析。

Tags：區塊鏈GAMAMEETH區塊鏈dapp開發合法嗎ZOD RUNE - Rune.GameGames for a LivingETH數字錢包

幣贏交易所