tron:TRON漏洞：通過耗盡內存和CPU來引發DoS_tronlink錢包怎么充值

簡介：單個請求向/wallet/deploycontract提交幾兆字節碼以及CPU密集型長解析將消耗CPU大約10分鐘，同時仍然在堆中保存幾兆字節碼。發起足夠的請求，足以使用所有可用線程來處理傳入的HTTP請求，填滿內存并導致產生拒絕訪問。

描述：

*從一個很大的帶有大指數的十進制數中獲取longValue非常慢。例如newBigDecimal("10000000e100000000").longValue();這段代碼大約需要2-3分鐘才能在較新的macbookpro中運行完成。*/wallet/deploycontract有6個字段，它們從解析的json對象中獲取longValue，即token_id，call_token_value，fee_limit，call_value，consume_user_resource_percent，origin_energy_limit。這意味著單個請求可以使用最多12分鐘的線程。*當一個線程被鎖定12分鐘/deploycontract時，整個字節碼也會放入內存中，這會占用內存并過早地將對象從eden內存空間移動到舊的內存空間*一旦將對象移動到舊的存儲空間，當指針被釋放時將很難清理它們，因此GC會在嘗試清理之前卡住。請注意gc日志和屏幕截圖，其中內存在攻擊停止后很長時間內保持在3G狀態。

由波場TRON總冠名的2023香港Web 3.0嘉年華分論壇即將舉辦:據官方最新消息，由波場TRON總冠名的2023香港Web 3.0嘉年華分論壇《2023，METAVERSE機遇在哪里》將于4月14日下午在香港會議展覽中心舉辦。

本次論壇將討論元宇宙、Web 3.0、NFT、AIGC等熱門話題，并將吸引超過500名參會者、50余名演講嘉賓、30多家媒體和100萬名社群成員參與。

屆時，全國政協委員、香港立法會議員吳杰莊，Web 3.0從業者伊能靜等港府成員和業內外人士屆時將齊聚一堂，共商香港Web 3.0發展前景和布局。波場TRON創始人孫宇晨于今年出版的《區塊鏈與數字新世界》一書也將在活動期間進行展示。[2023/4/13 14:01:14]

參考：

媒體咨詢公司Digital Distro移除Web3服務業務:金色財經報道，Digital Distro 自稱是一家提供全方位服務的 web3 咨詢公司，宣布計劃從其咨詢服務清單中刪除 Web3，Digital Distro 提供的 web3 服務包括加密市場教育以及客戶將基于區塊鏈的產品整合到項目中以創建“數字媒體體驗”的方式，該公司將取消所有基于區塊鏈的咨詢，直到加密行業變得更加穩定。Digital Distro 首席執行官Andrew Lane在新聞稿中說： “鑒于 NFT 和加密貨幣領域仍處于發展初期并且充滿了不確定性，我們認為專注于電影、音樂和品牌影響力符合我們股東的最大利益”。[2023/1/25 11:29:03]

jconsole代表內存，CPU和線程的截圖

動態 | TronCard與BitTorrent達成合作:據newsbtc報道，加密貨幣支付卡TronCard與BitTorrent達成合作。據悉，TronCard通過Grid運行，持有該卡的人可以在支持Poppy系統的商店進行交易。[2019/2/15]

gclog來顯示JVM進入無限的GC并且仍然無法釋放內存

修復建議

JSONObject.parse使用Feature.UseBigDecimal.getMask;默認情況下。不使用BigDecimal會解決問題，但可能會在需要BigDecimal的其他地方引入問題。

如果整個字節碼一直沒有放入內存中那就好了。

影響使用單臺計算機，攻擊者可以向所有或51％的SR節點發起DDOS攻擊，并使Tron網絡無法使用。

Tags：TROWEBRONtronBitrockfio幣web3tronlink錢包怎么充值tronlink波寶錢包怎么激活

FTT