區塊鏈:科普 | 智能合約安全審計入門篇 —— 自毀函數

By：小白@慢霧安全團隊

背景概述

上次我們了解了什么是溢出漏洞和如何預防和發現它。這次我們要了解的是solidity中自帶的函數——?selfdestruct自毀函數。

前置知識

我們先來了解solidity中能夠轉賬的操作都有哪些：

現場 | 火幣中國推出數字經濟及區塊鏈產業科普新書:金色財經現場報道，12月6日，由海南省工業和信息化廳主辦，南南合作金融中心協辦，海南生態軟件園、火幣中國承辦的“海南自貿港數字經濟和區塊鏈國際合作論壇”在海口舉行，這是全球首次區塊鏈部長級論壇。

在本次論壇上，火幣中國舉行了“數字經濟及區塊鏈產業科普系列新書發布”儀式，希望通過教材、專業教育、培訓等多種方式，幫助從業者、高校、研究機構深入了解區塊鏈，從而建立起區塊鏈全局性知識模型，真正推動區塊鏈應用落地。火幣中國CEO袁煜明介紹，將聯合機械工業出版社面向普通高等教育推出《區塊鏈導論》、《區塊鏈系統設計與應用》和《區塊鏈新商業模式分析》系列教材，這是國內最早推動的區塊鏈教材之一；火幣中國還積極參與數字經濟的研究，由中信出版社出版的新書《讀懂Libra》已經上市；由火幣中國負責編寫的區塊鏈技術科普讀物《區塊鏈技術進階指南》將于12月面世；首本行業內最全的區塊鏈應用案例集《區塊鏈產業應用100例》在本次論壇進行了首次刊印。[2019/12/6]

1

動態 | 央行官微舊文重發“再科普”：范一飛詳解數字貨幣:據中國經濟網消息，今日，央行官微公眾號頭條重新發布央行副行長范一飛在2018年1月25日題為《關于央行數字貨幣的幾點考慮》的文章，對央行數字貨幣再次進行科普。同時，微信公眾號第二條發布支付司副司長穆長春8月10日在第三屆中國金融四十人伊春論壇上的演講。近年來，各主要國家和地區央行及貨幣當局均在對發行央行數字貨幣開展研究，新加坡央行和瑞典央行等已經開始進行相關試驗，人民銀行也在組織進行積極探索和研究。[2019/8/21]

}functionclaimReward()public{require(msg

聲音 | 火星人朋友圈科普RAM:火星人在朋友圈發文稱，“什么是RAM？簡單來說就是EOS這個國家的土地，所有的經濟行為都離不開土地。只要EOS的BP們能投票形成一個穩定的供給預期，并且不改變目前的Bancor算法，那么RAM后續的價格有可能會像北上廣深的房價走勢。房價下跌不行，房價過快上漲也不行，EOS的生態越來越像某國了，真有意思。”[2018/7/6]

}漏洞分析

EtherGame合約實現的功能是一個游戲，我們這里可以稱它為“幸運七”。玩家每次向EtherGame合約中打入一個以太，第七個成功打入以太的玩家將成為winner。winner可以提取合約中的7個以太。

玩家每次玩游戲時都會調用EtherGame

functionattack()publicpayable{addresspayableaddr=payable(address(etherGame));selfdestruct(addr);}這里我們還是引用三個角色來講解攻擊合約的攻擊過程

玩家一：Alice

玩家二：Bob

攻擊者：Eve

1.開發者部署EtherGame合約；

2.玩家Alice決定玩游戲，她這輩子玩游戲從來沒贏過，她覺得這個游戲可以讓她體驗一次當winner的快感，所以她決定連續調用EtherGame

}functionclaimReward()public{require(msg

}作為審計者

作為審計者我們需要結合真實的業務邏輯來查看address(this).balance的使用是否會影響合約的正常邏輯，如果會影響那我們就可以初步認為這個合約存在被攻擊者強制打入非預期的資金從而影響正常業務邏輯的可能。在審計過程中還需要結合實際的代碼邏輯來進行分析。

Tags：區塊鏈THEETHEERG區塊鏈域名誰在管理ethereum-classicEthereum Name ServiceCoinMerge

幣贏