Blackhat USA 2018议题解读 | 以太坊智能合约重放攻击细节剖析

在刚刚结束的 DEF CON 26 全球黑客大会上，来自 360 独角兽安全团队(UnicornTeam)的 Zhenzuan Bai, Yuwei Zheng 等分享了议题《Your May Have Paid More than You Imagine：Replay Attacks on Ethereum Smart Contracts》，慢雾安全团队学习并测试实践后，整理了这篇文章供大家交流参考。

攻击背景

在资产管理体系中，常有委托管理的情况，委托人将资产给受托人管理，委托人支付一定的费用给受托人。这个业务场景在智能合约中也比较普遍。

合约设计

function transferProxy(address _from, address _to, uint256 _value, uint256 _fee, uint8 _v, bytes32 _r, bytes32 _s)

transferProxy 方法涉及的角色：

角色1: 需要转 Token，但自己钱包地址里没有 ETH 的人，即合约中的 _from
角色2: 帮助角色1来转 Token，并支付 ETH 的 gas 费用，即合约中的 msg.sender，也是调用这个合约的人
角色3: Token 接收方，即合约中的 _to

transferProxy 方法的目的：

角色1想要转 Token 给角色3，但自己又没有 ETH 来支付手续费，于是角色1找到有 ETH 的角色2说：我给你一些 Token 当做手续费，你来通过调用 transferProxy 来把我的 Token 转给角色3，因为你有 ETH。

合约实现

function transferProxy(address _from, address _to, uint256 _value, uint256 _fee,
    uint8 _v, bytes32 _r, bytes32 _s) public returns (bool){

    if(balances[_from] < _fee + _value 
        || _fee > _fee + _value) revert();

    uint256 nonce = nonces[_from];
    bytes32 h = keccak256(_from,_to,_value,_fee,nonce);
    if(_from != ecrecover(h,_v,_r,_s)) revert();

    if(balances[_to] + _value < balances[_to]
        || balances[msg.sender] + _fee < balances[msg.sender]) revert();
    balances[_to] += _value;
    emit Transfer(_from, _to, _value);

    balances[msg.sender] += _fee;
    emit Transfer(_from, msg.sender, _fee);

    balances[_from] -= _value + _fee;
    nonces[_from] = nonce + 1;
    return true;
}

合约中关键的点是keccak256和ecrecover，即椭圆曲线加密数字签名(ECDSA)函数和验签函数，keccak256等同于sha3。

如下是签名、验签过程：

角色1(_from)先用sha3函数对 _from,_to,_value,_fee,nonce进行处理得到msg值，然后使用web3.eth.sign(address, msg)得到签名signature；
将signature取前 0~66 个字节作为 r， 66~130 之间的字节作为 s，130~132 的字节作为 v，然后把 v 转为整型，角色1把这些信息告知角色2，角色2调用合约的transferProxy进行转账；
合约内ecrecover接收签名数据的哈希值以及r/s/v等参数作为输入，返回实施该签名的账户地址

let msg = web3.sha3(_from,_to,_value,_fee,nonce)
let signature = web3.eth.sign(_from, msg)

let r = signature.slice(0, 66)
let s = '0x' + signature.slice(66, 130)
let v = '0x' + signature.slice(130, 132)
v = web3.toDecimal(v)

console.log('r', r)
console.log('s', s)
console.log('v', v)
console.log(msg)

备注

角色1、角色2需要事先沟通好nonce、_fee，其中nonce在合约中定义，从0开始自增，可调用合约的getNonce(address _addr)查询。