ETH合约溢出漏洞逆向技巧

  • A+
所属分类:安全文章
摘要

Peckshield luobobo本文将以一起真实事例——Beauty Coin Token被盗事件,解析如何在字节码层面还原代币溢出漏洞技巧。该合约漏洞原因与一年前美链(Beauty Chain)被攻击事件——“美链(BEC)一行代码蒸发了¥6,447,277,680 人民币!”的漏洞原因一致。

Peckshield luobobo

0x00 背景

本文将以一起真实事例——Beauty Coin Token被盗事件,解析如何在字节码层面还原代币溢出漏洞技巧。该合约漏洞原因与一年前美链(Beauty Chain)被攻击事件——“美链(BEC)一行代码蒸发了¥6,447,277,680 人民币!”的漏洞原因一致。

https://etherscan.io/address/0x623afe103fb8d189b56311e4ce9956ec0989b412#code

我们在etherscan上可以获取该合约的Contract Creation Code,这一部分字节码并非完全是存储在区块链上的。Contract Creation Code由runtime bytecode与creation part组成,creation part部分的字节码完成合约构造函数中的初始化赋值,并将runtime code部署上链。关于runtime bytecode与bytecode的详细概念在 https://arvanaghi.com/blog/reversing-ethereum-smart-contracts/ 已有讲解,不在赘述。由于本合约开源,所以读者也可参考源码阅读反编译结果。本文中反编译工具选用免费的在线反编译器ethervm。

0x01 Entry

ETH合约溢出漏洞逆向技巧

如上图所示,我们将BEC合约的runtime code进行反编译。每份ETH智能合约的入口点都是dispatch函数,通过解析交易的用户输入数据calldata(msg.data),获取相应参数进入被调用函数逻辑。用户调用合约中函数时,calldata的前4bytes指定被调用函数的签名。在dispatch函数中,若calldata.length < 4或calldata[0x00:0x04]未匹配到合约任一函数,则进入合约回调函数(如果合约作者并未写回调函数逻辑,则什么也不发生)。

0x02 Function Signature

ETH合约溢出漏洞逆向技巧

ETH合约溢出漏洞逆向技巧

在dispatch函数中,我们首先定位到balanceOf与transfer这两个函数。以太坊中使用keccak256算法,对函数名与参数类型计算后取前4字节作为函数签名,后续字节作为传入参数,以32字节大小处理。

address参数长度为20bytes,在balanceOf函数中,0x02 ** 0xa0 - 0x01为0xfff...ffff(20bytes),

msg.data[0x04:0x24] & 0x02 ** 0xa0 - 0x01 

这一行反编译代码含义是将msg.data[0x04:0x24]的低位20bytes数值保留,高位12bytes数值置0。var2即为balanceOf(address)的参数。同理在transfer(address,uint256)中msg.data[0x04:0x24]的低位20bytes为传入的address参数,msg.data[0x24:0x44]为uint256参数。

Web3.js与Web3.py都提供相应的API做函数签名运算,当然也可以直接使用Keccak-256哈希函数计算:

ETH合约溢出漏洞逆向技巧

https://www.4byte.directory/ 同时,读者可在Ethereum Function Signature Database中查询特定函数签名所对应的函数

0x03 mapping数据类型

在源码中我们可以看到BEC在构造函数中定义了映射变量balanceOf

mapping (address => uint256) public balanceOf;

以太坊智能合约中public类型的全局变量会被编译为constant函数,以便查询合约内部数据信息。

ETH合约溢出漏洞逆向技巧

此处arg0为address变量,balanceOf返回该地址的token余额。当合约定义了多个mapping (address => uint256)映射变量时,不同变量参与地址哈希运算的index不同。如上图第二行所示,我们可以看到balanceOf参与storage地址哈希值计算的index(memory[0x20:0x40])被编译器设置为1。

0x04 有保护的transfer函数

ETH合约溢出漏洞逆向技巧

接下来我们定位到transfer(address _to, uint256 value)的反编译代码逻辑,将其逐一解析:

var var1 = arg0; if (!(var1 & 0x02 ** 0xa0 - 0x01)) { revert(memory[0x00:0x00]); } 

revert是交易回滚指令,这一句表示传入地址参数_to若为0x0地址,则结束执行,交易回滚。

var var2 = arg1; if (var2 <= 0x00) { revert(memory[0x00:0x00]); } 

这一句表示传入uint256参数_value转账金额若为0,则结束执行,交易回滚。

以上用solidity语句还原则为:

require(_to != 0x0); require(_value > 0); 

接下来是交易发起者的token余额检测:

memory[0x00:0x20] = msg.sender; memory[0x20:0x40] = 0x01;     if (storage[keccak256(memory[0x00:0x40])] < arg1) { revert(memory[0x00:0x00]); } 

由balanceOf函数已知该处storage[keccak256(memory[0x00:0x40])]balanceOf(msg.sender),即交易发起者的余额。这一句表示若交易发起者的token余额小于转账金额,则结束执行,交易回滚。

memory[0x00:0x20] = arg0 & 0x02 ** 0xa0 - 0x01; memory[0x20:0x40] = 0x01; var temp0 = storage[keccak256(memory[0x00:0x40])];     if (temp0 + arg1 <= temp0) { revert(memory[0x00:0x00]); } 

这一步检测balanceOf(_to) + _value 是否上溢出。

var temp1 = 0x02 ** 0xa0 - 0x01; var temp2 = temp1 & msg.sender; memory[0x00:0x20] = temp2; memory[0x20:0x40] = 0x01; var temp3 = keccak256(memory[0x00:0x40]); var temp4 = arg1; storage[temp3] = storage[temp3] - temp4; var temp5 = arg0 & temp1; memory[0x00:0x20] = temp5; var temp6 = keccak256(memory[0x00:0x40]); storage[temp6] = temp4 + storage[temp6]; 

上述反编译语句还原成solidity语言为:

balanceOf[msg.sender] = balanceOf[msg.sender] - _value; balanceOf[_to] = balanceOf[_to] + _value;             

后续反编译语句中对内存赋值与log(...)等,都是transfer函数中Transfer Event的反编译结果,不修改合约的数据状态。

0x05 transferMulti函数中的溢出漏洞

ETH合约溢出漏洞逆向技巧

我们首先来到transferMulti的输入参数读取部分,看看数组类型参数在calldata中是如何分布的:

先说结论,对于参数为两个数组类型的函数,calldata[0x04:0x24]内存储着第一个数组参数的长度的存储位置与calldata[0x4]的偏移位置,calldata[0x24:0x44]存储着第二个数组参数的长度的存储位置与calldata[0x4]的偏移位置。EVM通过获取数组参数的长度,向后读取20bytes*长度的数值存储至内存中,并传递内存存储地址给inline function。对于其他不同的函数参数类型,读者可在Remix中自实现相应函数,通过提供的Debug功能观察EVM对参数的处理情况。

在上图中,temp21为address[]的长度,temp23为address[]的占用的字节长度,var2为memory中address[]的存储地址(包括数组长度);同理var3为memory中uint256[]的存储地址(包括数组长度)。我们可通过一条攻击溢出漏洞的交易来查看calldata的数值分布,见下图:

ETH合约溢出漏洞逆向技巧

[0] : 0x40指向[2] : 0x02,后续0x02 * 0x20 长度的数值为address[000000000000000000000000dd8ef7dbe457f1fbf546acb6cc73f4940322af9a,000000000000000000000000dd8ef7dbe457f1fbf546acb6cc73f4940322af9a]

[1] : 0xa0指向[5] : 0x02,后续0x02 * 0x20 长度的数值为uint256[8000000000000000000000000000000000000000000000000000000000000000, 8000000000000000000000000000000000000000000000000000000000000000]

ETH合约溢出漏洞逆向技巧

如上图,接下来我们分析函数function transferMulti(var arg0, var arg1)的逻辑,memory[arg0:arg0+0x20]为用户本次交易调用所传入address[]数组的长度,memory[arg1:arg1+0x20]为用户本次交易调用所传入uint256[]数组的长度,若二者不等则revert。

当调用者传入address[]数组的长度大于0时,进入else逻辑:

ETH合约溢出漏洞逆向技巧

此处memory[var6 + 0x20: var6 + 0x20 + 0x20]存放着uint256[0]的数值,不难看出上图为一个loop逻辑,将用户传入uint256[]数组中所有值累加置var0中,之后跳转至label_0996继续执行(0x0996指runtime bytecode中该指令offset)。

ETH合约溢出漏洞逆向技巧

memory[0x00:0x20] = msg.sender; memory[0x20:0x40] = 0x01; if (storage[keccak256(memory[0x00:0x40])] < var0) { revert(memory[0x00:0x00]); } 

结合前文中提到mapping变量balanceOf的解析,我们不难看出,若balanceOf(msg.sender) 小于所有要转账的金额累计和,则合约执行revert。在又一次参数数组的长度判断之后,该函数开始循环为address[]参数中的地址一一分发uint256[]中转账金额。虽然在此处同样存在上溢漏洞,但黑客无法在此获利。

BEC合约真正致命的溢出漏洞,是在label_096F中对uint256[]数组所有值做累加时,未检测上溢出。黑客构造恶意uint256[]参数,使var0在溢出后被构造成一个任意小的数值,得以绕过balanceOf(msg.sender) >= var0的检测,达到任意分发代币token的目的。

在下一篇文章中,我将介绍EOS智能合约的逆向技巧,解析对EOS智能合约编译后WASM字节码的逆向分析过程。

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: