区块广播:

EOS dApp 漏洞盘点分析-EOSBet 假充值漏洞二

55fed80889水手发布在 技术文档
 2707  0

Written by WeaponX@零时科技

本文所有过程均在本地测试节点完成

文章用到的所有代码均在 https://github.com/NoneAge/EOS_dApp_Security_Incident_Analysis

0x00 背景

EOSBet在2018年10月14日遭到黑客攻击,根据EOSBet官方通告,此次攻击共被盗142,845 EOS(折合人民币510万,10月14日价格)。
0.png

0x01 技术分析

由于EOSBet官方在2018.09.14被黑客攻击后,将源代码开源至gitlab上,经过分析EOSBet官方合约eosbetdice11的转账记录,我们初步判断黑客可能是利用了转账通知伪造攻击。我们就直接分析源码来寻找安全问题。

首先,我们审查一下EOSIO_BAI_EX

微信截图_20190315123327.png

这个代码在2018年9月14日被黑客攻击后已经修复相关漏洞,验证了transfer的调用者只能是eosio.token,也就是说只有支付了eosio.token发布的EOS才能进行相关的游戏操作。

这块代码是没有问题的。然后,我们审查一下transfer函数

微信截图_20190315123408.png

验证转账账户不是自己或转账账户不是eosbetcasino才能进行相关的游戏操作。问题就出在这,EOSBet没有验证转账消息是否和自己有关就开始了相关操作。

黑客可以通过创建两个子账户AB,只要给B账户部署以下合约

微信截图_20190315123456.png
微信截图_20190315123519.png
微信截图_20190315123530.png

就可以子账号间的转账A->B时将转账通知recipient抄送给eosbetdice11,进行相关的抽奖游戏且不用消耗任何的EOS,简单来说就是输了不用赔钱,赢了还能赚钱。

0x02 攻击复盘

创建eosio.token账户
微信截图_20190315123649.png

部署eosio.token合约并初始化
微信截图_20190315123713.png

创建游戏账户、开奖账户和攻击者账户
微信截图_20190315123824.png

编译攻击者合约并部署
微信截图_20190315123855.png

设置账户随机权限和开奖权限
微信截图_20190315124008.png

向相关账户冲入代币
微信截图_20190315124035.png

1.png

部署游戏合约并初始化

微信截图_20190315124208.png

模拟黑客发起攻击
微信截图_20190315124249.png

5.png

可以看到,因为黑客的attacker合约require_recipient(N(eosbetdice11))eosio.token又将转账通知发送给了eosbetdice11

微信截图_20190315124352.png

6.png

查询相关账户的余额

微信截图_20190315124447.png

7.png

可见黑客控制的账户总余额没有变化,EOSBet账户金额也没有变化,却生成了游戏订单。

对订单签名并开奖
微信截图_20190315124619.png

8.png

0x03 后记

EOSBet官方在受到攻击后做了以下加固,在transfer函数中对转账的付款人和收款人做了限制,必须 有一项是合约本身。也就是说,转账和自身合约有关的才会去处理。

微信截图_20190315124707.png

至此,EOSBet才正确的修复了假充值漏洞。

0x04 修复方案

零时科技安全专家建议,要防止转账通知伪造必须在处理转账交易时要验证以下内容:

  • 通知是否来自eosio.token,即只处理eosio.token发送的通知

微信截图_20190315124844.png

  • 转账发起人或者接受人是否是自己,即转账必须跟合约本身有关,不处理其他合约的转账通知

微信截图_20190315124934.png

0x05 Refer

https://medium.com/@eosbetcasino/eosbet-statement-on-hack-and-1st-dividend-distribution-a5c9aa617eaf

https://gitlab.com/EOSBetCasino/eosbetdice_public

本主题由 Linkea 于 2019-03-18 16:39:54 分类
  • 正序
  • 最新
帖子暂无回复,回帖抢沙发
登录 账号发表你的看法,还没有账号?立即免费 注册