GAS:代碼分析 | 以太坊硬編碼常數如何解決“重入攻擊”風險？

原文作者：JordanEarls

譯者：徐錦程

免責聲明：該文僅為技術人員個人觀點，不代表Qtum基金會立場

當我在寫另一篇不相關的文章的時候，接觸了以太坊生態里建立的假設。本篇文章我將會講述為什么以太坊假設是有缺陷的以及給出相應的解決方案。首先，我們需要知道以太坊假設是什么。假設的內容是為了向以太坊智能合約發送ETH，同時為了避免重入攻擊，調用智能合約的gaslimit應該不多于2300。

魔力數和STATICALL

每一個使用transfer函數發送款項的現代智能合約中，都有一個硬編碼的常數——2300。例如在這個簡單的例子中：

contractTester{

function()external{

addresspayablepaymentAddress=0x5A0b54D5dc17e0AadC383d2db43B0a0D3E029c4c;paymentAddress.transfer(5);

}

}

Transfer位轉譯成EVM字節碼后如下：

CALL2300,address,....

這個數字為何如此重要？這樣決定是有原因的。

這曾經是防止一類被歸為“重入”的智能合約漏洞最有效率的方式。重入的概念是，一個智能合約調用另一個智能合約，最終再一次調用了原來的智能合約。重入是在臭名昭著的theDAO黑客事件中被利用的主要漏洞。當時提出的解決方案不是通過改變以太坊協議來允許合約阻止這種行為，而是最終通過改變Solidity讓向智能合約發送ETH的默認行為使用非常少量的gas，這樣重入問題就無法再被利用。當然，也有一個副作用，這個改變讓收錢的智能合約只能在日志里記錄一個事件，而不能改變狀態或者做任何別的事。

Cardano創始人聲援被捕Tornado Cash開發者：編寫代碼只是表達方式，就像寫書:8月23日消息，Cardano創始人Charles Hoskinson發聲以支持最近在荷蘭被捕的Tornado Cash開發人員。他表示，開發人員可以使用開源代碼來編寫代碼，但卻無法控制人們在代碼發布后如何使用代碼。在大多數情況下，代碼就只是文字，并不是由編寫者告訴人們去做某件事。

Charles Hoskinson補充道，作為開發人員，當我們編寫代碼時，它只是一種表達方式。只要我們不參與代碼的運行和使用，我們就只是在編寫它；這就像是寫一本書。Tornado Cash開發者只是編寫了在技術上可以以某種方式使用的代碼。（bitcoinist）[2022/8/24 12:44:31]

但最近以太坊引入了STATICCALL，作為防止重入問題的靈丹妙藥。它真的是靈丹妙藥么？回答是——不全是。

首先，我們試著強制Solidity在我們的測試合約的fallback函數中使用STATICCALL：

pragmasolidity^0.5.9;

contractTester{

function()externalview{

}

functionfoo()externalview{

}

}

然后編譯器用以下報錯獎勵了我們的冒險精神：

browser/test.sol:4:5:TypeError:Fallbackfunctionmustbepayableornon-payable,butis"view".

Solidity發布0.8.10版本，為純Yul模式啟用新的EVM代碼生成器:11月10日消息，以太坊智能合約編程語言Solidity發布0.8.10版本，為純Yul模式引入了一個新的EVM（以太坊虛擬機）代碼生成后端，用于通過Yul進行Solidity的實驗編譯流程，以及優化Yul輸入的編譯。Solidity表示，在其基準測試中，新的代碼轉換可明顯節省Gas成本，不過代碼大小會略有增加。[2021/11/10 6:44:05]

function()externalview{

^(Relevantsourcepartstartshereandspansacrossmultiplelines).

而且，有趣的是，并沒有明確的“non-payable“關鍵字來明確地標識一個函數為non-payable。讓我們從fallback函數里去除view關鍵字，檢查這個ABI：

[

{

"constant":true,

"inputs":,

"name":"foo",

"outputs":,

"payable":false,

"stateMutability":"view",

"type":"function"

},

{

"payable":false,

"stateMutability":"nonpayable",

"type":"fallback"

}

聲音 | RIAT主管：Monero的代碼庫很難在不同的交易所實現:據AMBcrypto 消息，RIAT主管Matthias Tarasiewicz在接受采訪時表示，Monero的誕生確實是為了解決比特幣的缺陷，但Monero與比特幣有很大的不同。Tarasiewicz還指出，Monero“很難在不同的硬件和交易所中實現”，因為它的代碼庫是完全不同的。他進一步表示，這也是Monero尚未被“完全采用”的原因，并補充說，這個問題會及時得到解決。[2019/11/24]

]

所以，Solidity決定一個fallback函數的stateMutability只能是non-payable或者payable，不允許是“view”。

但我們假裝Solidity不那么糟糕，而是允許這么做。然后你就可以讓Solidity使用STATICCALL向一個合約的fallback轉錢，一切正常了嗎？還是不行。STATICCALL的設計很有些特殊。當然，你可以在邏輯中使用fallback函數，但是STATICCALL的設計用意是允許外部合約調用而沒有副作用，只返回計算結果的數據。Fallback函數實際上沒有返回數據的概念，雖然如果你下降到調用者和被調用者的匯編層面來看這可以實現。所以，STATICCALL在這個場景下沒什么用，除非你在做什么很少見的操作。但是如果你要做些不常見的事情，為什么不寫一個常規的函數調用而要用fallback函數呢？好吧，我有些跑題。

STATICCALL強調的是沒有副作用。這意味著你沒法做以下操作：

更改狀態

調用另一個會更改狀態的合約

創建合約

自我銷毀一個合約

聲音 | Brave創始人：寧愿關閉Brave，也不允許瀏覽器代碼中存在后門:隱私保護瀏覽器Brave首席技術官Brian Bondy接受采訪時表示，Brave根本不收集用戶的瀏覽數據，因為所有數據都是用只有用戶擁有的密鑰加密的。此外，Bondy還表示，未來12個月Brave將有詳細的開發計劃公布，包括在集成、Brave的本地加密錢包和支持Brave獎勵的平臺方面投入更多工作。在審計問題上，一些用戶對美國國家安全局、FBI等機構可能會干預Brave表示了擔憂。Brave創始人Brendan Eich表示，目前并未出現這種情況。而且真要如此的話，他寧愿“關閉Brave”也不允許在瀏覽器代碼中存在后門。Bondy稱，Brave革新在線廣告的努力必將遭遇一些障礙，但他相信不斷創新將使一切迎刃而解。當被問及如果像Facebook和谷歌這樣的主要網站決定不與Brave兼容會怎樣時，Eich稱，這是一場他們可能贏下的軍備競賽。他解釋說，就目前而言，Brave看起來就像大多數網站的Chrome一樣。（CryptoSlate）[2019/11/18]

在日志里記錄事件

給別的合約發送ETH，或者更改一個合約的余額

因為一個合約被STATICCALL而收到ETH

你能預計到不能更改狀態，因為正是從這個角度直接阻止了重入錯誤的發生。雖然，我沒預料到在日志里記錄事件也被禁止了。在日志里記錄事件對智能合約來說沒有可見的實際副作用。一旦一個事件被記錄在日志里，一個外部的智能合約就無法看到這個狀態被記錄了。這完全是個空輸出。你向虛空中發送了數據，但是再也不能收到那些數據，甚至不能觀察到那些數據被發送過。這個副作用只有在區塊鏈外的世界里才可見。事件通常被用來通知外部界面進入區塊鏈，就像說“這兒發生了你可能會感興趣的事情”。

動態 | Blockstream開發人員公布一種可以幫助編寫比特幣智能合約代碼的腳本語言:據Decrypt.co消息，Blockstream Research的開發人員Peter Wuille、Andrew Poelstra和Sanket Sanjalkar近日公布了一種新的腳本語言minicript，可以幫助編寫比特幣智能合約代碼，同時防止意外漏洞的發生。通過該語言，開發人員可以更容易地指定使用比特幣的條件。目前比特幣的開發語言已經可以做到這一點，但開發團隊表示，目前整個過程過于復雜。minicript應該可以減少開發人員導致bug的可能性。[2019/8/22]

所以，假設以技術純粹性的名義，STATICCALL非常嚴格地執行了“無副作用”這條規則。無副作用里的副作用包括了只有外部可見的副作用。另外的效果當然是ETH不能在STATICCALL里進行轉移。這有效地打破了它作為解決重入問題競爭者的局面。通常來說，當調用fallback函數時，你或者犯了錯，或者想要給一個合約發送ETH。當一個合約收到ETH時，它通常會在日志里記錄一個事件來告訴外部程序”嘿，我收到了一筆錢，你可能想要對此做點什么，給那個用戶發個信息之類的”。在有神奇的2300gaslimit時，沒法給另一個合約發送部分ETH，也不能更改合約內的狀態，比如更新一下”預計余額“變量之類的。STATICCALL的唯一用處是從你不想送出ETH的合約的廣義函數那里阻止重入攻擊。

這意味著，唯一有效阻止重入攻擊，又能發送ETH、允許創造事件的方式仍然是以前的方法，使用神奇的gaslimit常數——2300。這為什么會是個大問題？這并不是在說硬編碼數字在計算機科學里被認為是不好的，而是說硬編碼數字實際上使一些合約會在需要以太坊周圍的生態環境做一些改變時變得無法運行。

動態區塊鏈里的常量

這個reddit帖子［1］提供了一些有用的細節，指出了以太坊之前在一次升級中增加了CALL指令和一些其他指令的最小花費。這類顧慮在未來所有gasprice調整的時候大都依然適用。NickJohnson指出“有明確gaslimit的調用非常少有“。在這句話提出的時候，Solidity會在做與transfer相等的操作時把所有能用的gas都轉移到一個合約里，于是就留下了利用重入類操作進行攻擊的可能性。Solidity在theDAO攻擊發生后引入了2300的gaslimit，為了阻止發生類似事件。現在，公平地說，在默認情況下調用外部合約函數時，Solidity仍然會默認把所有gas都發送過去。而且文檔里關于這個操作的隱患有無數警告。神奇的2300gaslimit常數僅僅強化了那個reddit帖子里指出的問題。

比如說，想象一個合約有一個payable的fallback函數，這個函數使用了一些在部署的時候便宜到能在2300gaslimit內執行的opcode。但是，為了應對一次攻擊或者什么之前沒發現的問題，后來這些opcode的價格大幅提高了。這個合約就會變得沒法使用，沒法從那些沒明確地將gaslimit提高到高于2300的合約那里接受ETH。更糟糕的是，明確地提高gaslimit會讓那些發起調用的合約暴露在被重入攻擊的危險中。所以，這個合約很可能就必須被棄用了。根據它接收ETH的實際邏輯，它很可能像被擋在了墻里一樣，里面的錢也沒法提取出來。

這個2300gaslimit假設不僅僅對向后兼容性有害。它也傷害了以太坊協議內的潛在的未來創新。例如，EIP-1293［2］，SSTORE的凈gas計量，是一個創新的協議改進，將會降低包括存儲在內的許多智能合約行為的成本。它能使存儲的gas花費能反映出區塊鏈上的實際花費，這意味著當在一次執行中第二次寫入一個存儲鍵值的時候，將會花費更少gas。這符合常理，因為從區塊鏈的角度來看，第二次狀態修改幾乎沒有代價，而第一次狀態修改就幾乎給區塊鏈支付了足夠的費用。這個提案曾經被包括進了君士坦丁堡分叉，但在最后時刻被移除了［3］，因為發現這會給大量現存的智能合約帶來危險隱患［4］。這個判斷是對的，這個改進會減少狀態存儲成本，進而帶來重入類的攻擊隱患，即使只有非常保守的2300點gaslimit。這件事件中諷刺的一點是，提案的設計實際上會減少智能合約重入保護的gas成本，而且這也是它的主要應用場景。

現在，為了EIP-1283的重入問題而提出的解決方案是EIP-1706［5］。這個提案中的改變可以總結為：凈gas值測量帶來的費用減少將不會在當前執行的gaslimit低于2300時執行。所以，現在這個神奇常量在以太坊共識協議里變得更加根深蒂固。這將會有效地迫使任何未來的EVM語言在合約調用時也使用硬編碼的2300gaslimit來防止重入攻擊的危險。

這個神奇的假設基本上斷絕了存儲變得更便宜的可能性，更不用提以太坊將來要修復擴展性問題以及任何別的問題。即使有一天發明一種神奇方法能將所有存儲移到鏈下，使存儲基本免費，存儲的實際gas花費仍然不能低于2300，否則就會暴露在重入攻擊的危險中。

可能的解決方案

我說了很多，但這確實是個很難的問題是吧？我們正在討論區塊鏈，有關區塊鏈的所有技術都很難。這也是個事實，但同時，我也更傾向不認同以太坊團隊在改進共識協議時刻意強調的技術純粹性。實際上，我覺得EIP-1706因為硬編碼問題不會被以太坊主網接受，它不夠純粹。我個人預測EIP-1283會被無限期延期，可能最終會加入到以太坊2.0里面。

我會怎么解決重入問題？有兩個可能的方案。

第一個比較簡單：再加個opcode，但是加一個有用的。我的提議是加入這個opcode:

MAGICCALLWITHOUTREENTRANCYEXPLOITS

這確實是個需要讀很久的簡明的名字。但是嚴肅的說，這個opcode的作用于CALL基本一樣，除了以下改變：

允許SSTORE，就像STATICCALL那樣

其他任何事情都被允許

老實說我不怎么喜歡這個解決方案。我更喜歡解決本質問題，允許重入任何智能合約。理想情況下，可以存在一個非常簡單的opcode，就像這個：

KILLMEIFREENTRANT

這會在當前合約已經在調用棧里時停止執行。這個功能只需要一個老道的開發者工作一晚上就能完成，然后再需要一個白天做安全性測試。這會允許在防止重入攻擊時不會涉及到存儲，并且能用如下的簡單代碼非常低費地實現ifcallstack.exists(currentAddress)thenthrow但是說回來，我覺得這樣一個不夠“純粹”的opcode永遠不會被考慮采納進以太坊。

還有更純粹的替代性方案，比如把所有的調用棧暴露給智能合約。如果知道了調用棧里都有什么，就能簡單地寫一個Solidity函數來在棧里迭代，檢查是否它自己的地址被包含在它里面，來證明現有的執行時在重入。而且當然，如果不在預料之中，合約就會拋出異常來阻止任何不想要的或者預料之外的行為。這也會允許在智能合約里加入其他特性。例如，想象你舉辦了一場智能合約能夠參與的眾籌。但是，你用黑名單拉黑了一些跟恐怖分子有關的智能合約。恐怖分子能簡單地部署一個“過路“智能合約，然后讓被黑名單阻擋的智能合約調用”過路“合約，最后就能調用你的眾籌合約。如果有調用棧的信息，這種行為就能被發現。現在在以太坊里，完全無法在鏈上用智能合約邏輯檢測這一點。

現在以太坊上阻止重入攻擊的設計幾乎都本身存在安全風險。

通常在合約執行的時候，一個變量會被設置成1，表明正在執行。當執行完成后，這個變量會重置成0。這樣，如果你在過程中執行一個合約調用，如果外部合約想要重新進入現有合約，這個合約會看到變量被設置成了1，然后中止執行。然而，如果有些邏輯問題導致執行結束了變量沒被重置回0會怎樣？基本來說，這個智能合約就被隔離了，沒法再被操作，因為它一直認為它正在被攻擊。

重入是以太坊生態內的頭號，也是被討論得最多的問題，同時也被一些網站列為在創建智能合約時應該小心的第一號安全問題。這是導致了theDAO攻擊和一些其他的攻擊與異常的元兇。這也是智能合約開發者最難正確處理的最難問題之一，所有大多數智能合約就簡單地從根源上杜絕了這個可能。對我來說，以太坊還沒有實施什么直接的方法來阻止重入十分不可思議。相反，依靠限制很多的STATICCALL機制或者神奇的2300gaslimit常數似乎優先級更高。在我心中，這值得有一個一流的解決方案，而非一個建立在假設之上的丑陋修改。

Tags：ALLGAS以太坊STAtrustwallet中文名bnb騙局gas費以太坊最新價格美元計價StakedZEN

DAI