漏洞分析
IOST公鏈使用Go語言開發,Go語言的make函數如果參數控制不當容易產生拒絕服務漏洞。在IOST的公鏈代碼中搜索make,找到了一處貌似可以利用的地方。
func(sy*SyncImpl)getBlockHashes(startint64,endint64)*msgpb.BlockHashResponse{resp:=&msgpb.BlockHashResponse{BlockInfos:make(*msgpb.BlockInfo,0,end-start1),}node:=sy.blockCache.Head()ifnode!=nil&&end>node.Head.Number{end=node.Head.Number}省略...
Line3make的第3個參數為end-start1,end和start來自handleHashQuery
func(sy*SyncImpl)handleHashQuery(rh*msgpb.BlockHashQuery,peerIDp2p.PeerID){ifrh.End<rh.Start||rh.Start<0{return}varresp*msgpb.BlockHashResponseswitchrh.ReqType{casemsgpb.RequireType_GETBLOCKHASHES:resp=sy.getBlockHashes(rh.Start,rh.End)casemsgpb.RequireType_GETBLOCKHASHESBYNUMBER:resp=sy.getBlockHashesByNums(rh.Nums。省略...
可以看到并沒有限制end-start1的大小,只要end足夠大,start足夠小就可以導致拒絕服務。所以現在問題就只剩下如何觸發這個漏洞。
漏洞利用
IOST節點之間的P2P通信使用的是libp2p,libp2p是一個模塊化的網絡堆棧,匯集了各種傳輸和點對點協議,使開發人員可以輕松構建大型,強大的p2p網絡。
來看一看IOST節點的P2Pservice啟動流程。
首先創建一個NetService,代碼如下:
IOST鏈上DeFi項目Donnie.Finance上線Dex:據官方消息,IOST鏈上DeFi項目Donnie Finance上線Dex功能,支持交易基于IOST、以太坊、BSC鏈的代幣,用戶能夠通過Bridge功能來跨鏈BSC和以太坊。為了支持Donnie.finance的第一批參與者,Donnie正在提高對流動性提供者的獎勵,目前再度添加DON — HUSD、IOST —DON、IOST — HUSD、BNB — HUSD四大LP池。
Donnie Finance是韓國技術團隊Donnie在IOST鏈上開發的DeFi項目,除支持現有的DeFi存貸款業務外,還提供去中心化交易平臺、資產管理、支付和信用分析等多種服務。此前DonnieFinance已向IOST用戶空投DON總供應量的5%,幫助于IOST用戶初步了解Donnie Finance。 DON目前已登陸MXC、BigOne、Coinone, Bitkub、IOSTDEX、xigua、waxgourd等交易平臺。[2021/5/6 21:30:36]
//NewNetServicereturnsaNetServiceinstancewiththeconfigargument.funcNewNetService(config*common.P2PConfig)(*NetService,error){ns:=&NetService{config:config,}iferr:=os.MkdirAll(config.DataPath,0755);config.DataPath!=""&&err!=nil{ilog.Errorf("failedtocreatep2pdatapath,err=%v,path=%v",err,config.DataPath)returnnil,err}privKey,err:=getOrCreateKey(filepath.Join(config.DataPath,privKeyFile))iferr!=nil{ilog.Errorf("failedtogetprivatekey.err=%v,path=%v",err,config.DataPath)returnnil,err}host,err:=ns.startHost(privKey,config.ListenAddr)iferr!=nil{ilog.Errorf("failedtostartahost.err=%v,listenAddr=%v",err,config.ListenAddr)returnnil,err}ns.host=hostns.PeerManager=NewPeerManager(host,config)ns.adminServer=newAdminServer(config.AdminPort,ns.PeerManager)returnns,nil}
IOST快速拉升24小時漲幅超24%:據Huobi Global交易平臺數據顯示,IOST快速拉升,最高漲至0.0148USDT,24h漲幅一度超24%;現報0.0147USDT,當前漲幅23%,24小時成交量超17億IOST。[2021/1/14 16:09:18]
主要看Line18的startHost,該函數調用libp2p庫創建了一個host
//startHoststartsalibp2phost.func(ns*NetService)startHost(pkcrypto.PrivKey,listenAddrstring)(host.Host,error){tcpAddr,err:=net.ResolveTCPAddr("tcp",listenAddr)iferr!=nil{returnnil,err}if!isPortAvailable(tcpAddr.Port){returnnil,ErrPortUnavailable}opts:=libp2p.Option{libp2p.Identity(pk),libp2p.NATPortMap(),libp2p.ListenAddrStrings(fmt.Sprintf("/ip4/%s/tcp/%d",tcpAddr.IP,tcpAddr.Port)),libp2p.Muxer(protocolID,mplex.DefaultTransport),}h,err:=libp2p.New(context.Background(),opts...)iferr!=nil{returnnil,err}h.SetStreamHandler(protocolID,ns.streamHandler)returnh,nil}
該host的流處理邏輯在ns.streamHandler中
func(ns*NetService)streamHandler(slibnet.Stream){ns.PeerManager.HandleStream(s,inbound。
steamHandler又調用PeerManager的HandleStream函數
//HandleStreamhandlestheincomingstream.////Itcheckswhethertheremotepeeralreadyexists.//Ifthepeerisnewandtheneighborcountdoesn'treachthethreshold,itaddsthepeerintotheneighborlist.//Ifpeeralreadyexits,justaddthestreamtothepeer.//Inothercases,resetthestream.func(pm*PeerManager)HandleStream(slibnet.Stream,directionconnDirection){remotePID:=s.Conn().RemotePeer()pm.freshPeer(remotePID)ifpm.isStreamBlack(s){ilog.Infof("remotepeerisinblacklist.pid=%v,addr=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr())s.Conn().Close()return}ilog.Debugf("handlenewstream.pid=%s,addr=%v,direction=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr(),direction)peer:=pm.GetNeighbor(remotePID)ifpeer!=nil{s.Reset()return}ifpm.NeighborCount(direction)>=pm.neighborCap{if!pm.isBP(remotePID){ilog.Infof("neighborcountexceeds,closeconnection.remoteID=%v,addr=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr())ifdirection==inbound{bytes,_:=pm.getRoutingResponse(string{remotePID.Pretty(。)iflen(bytes)>0{msg:=newP2PMessage(pm.config.ChainID,RoutingTableResponse,pm.config.Version,defaultReservedFlag,bytes)s.Write(msg.content()。time.AfterFunc(time.Second,func(){s.Conn().Close(。。else{s.Conn().Close(。return}pm.kickNormalNeighbors(direction。pm.AddNeighbor(NewPeer(s,pm,direction))return}
動態 | 跨ETH/EOS/TRON/IOST四大公鏈,DApp活躍度排行榜:據 DAppTotal 06月03日數據顯示,過去一周,綜合對比ETH、EOS、TRON、IOST四大公鏈的DApp生態情況發現:總用戶量(個): EOS(173,081) > ETH(87,940) > TRON(73,369) > IOST(14,055);總交易次數(筆):EOS(26,156,496) > TRON(5,512,962) > IOST(3,880,668) > ETH(555,024);總交易額(美元):EOS(343,648,949) > TRON(97,835,836) > ETH(41,227,591) > IOST(5,462,323);跨四條公鏈按用戶量TOP3 DApps為:Endless Game(EOS)、Hash Baby(EOS)、ADM(EOS);按交易次數TOP3 DApps分別為:Hash Baby(EOS)、TRONbet(TRON)、Dice(EOS);按交易額TOP3 DApps分別為:EOSREX(EOS)、TRONbet(TRON)、EOSJacks(EOS)。[2019/6/3]
對于新建立連接的peer,IOST會啟動該peer并添加到neighborlist中
//AddNeighborstartsapeerandaddsittotheneighborlist.func(pm*PeerManager)AddNeighbor(p*Peer){pm.neighborMutex.Lock()deferpm.neighborMutex.Unlock()ifpm.neighbors==nil{p.Start()pm.storePeerInfo(p.id,multiaddr.Multiaddr{p.addr})pm.neighbors=ppm.neighborCount}}
peer啟動之后,IOST會調用peer的readLoop和writeLoop函數對該peer進行讀寫。
//Startstartspeer'sloop.func(p*Peer)Start(){ilog.Infof("peerisstarted.id=%s",p.ID())gop.readLoop()gop.writeLoop(。
動態 | Voyager更新iOS應用程序,添加高級市場數據:據Sludgefeed消息,Voyager推出其iOS交易應用程序的首次重大更新,版本1.1帶來許多新功能,包括損益跟蹤,方便用戶更好地優化交易策略;推出一系列市場數據功能,包括加密資產的市值、24小時交易量、24小時高/低點以及52周高/低點。[2019/3/22]
我們主要看readLoop,看IOST對我們發送的數據如何處理。
func(p*Peer)readLoop(){header:=make(byte,dataBegin)for{_,err:=io.ReadFull(p.stream,header)iferr!=nil{ilog.Warnf("readheaderfailed.err=%v",err)break}chainID:=binary.BigEndian.Uint32(header)ifchainID!=p.peerManager.config.ChainID{ilog.Warnf("mismatchedchainID.chainID=%d",chainID)break}length:=binary.BigEndian.Uint32(header)iflength>maxDataLength{ilog.Warnf("datalengthtoolarge:%d",length)break}data:=make(byte,dataBeginlength)_,err=io.ReadFull(p.stream,data)iferr!=nil{ilog.Warnf("readmessagefailed.err=%v",err)break}copy(data,header)msg,err:=parseP2PMessage(data)iferr!=nil{ilog.Errorf("parsep2pmessagefailed.err=%v",err)break}tagkv:=mapstring{"mtype":msg.messageType().String(。byteInCounter.Add(float64(len(msg.content())),tagkv)packetInCounter.Add(1,tagkv)p.handleMessage(msg。p.peerManager.RemoveNeighbor(p.id。
IOST將于周一下午2點在Huobi、Okex首發:IOST將于周一下午2點在Huobi、Okex首發。據了解,IOST目前其2個telegram群已經獲得來自近40個國家的10萬名用戶。[2018/1/15]
主要是讀取一個固定長度的header,然后根據header中的length來讀取data,通過header和data創建一個P2PMessage,最后調用handleMessage來處理這個msg。節點發送的數據包結構如下:
/*P2PMessageprotocol:0123(bytes)01234567012345670123456701234567--------------------------------|ChainID|--------------------------------------------------------------|MessageType|Version|--------------------------------------------------------------|DataLength|---------------------------------------------------------------|DataChecksum|---------------------------------------------------------------|Reserved|---------------------------------------------------------------||.Data.||---------------------------------------------------------------*/
handleMessage會根據messageType對message進行處理
//HandleMessagehandlesmessagesaccordingtoitstype.func(pm*PeerManager)HandleMessage(msg*p2pMessage,peerIDpeer.ID){data,err:=msg.data()iferr!=nil{ilog.Errorf("getmessagedatafailed.err=%v",err)return}switchmsg.messageType(){caseRoutingTableQuery:gopm.handleRoutingTableQuery(msg,peerID)caseRoutingTableResponse:gopm.handleRoutingTableResponse(msg)default:inMsg:=NewIncomingMessage(peerID,data,msg.messageType())ifm,exist:=pm.subs.Load(msg.messageType());exist{m.(*sync.Map).Range(func(k,vinterface{})bool{select{casev.(chanIncomingMessage)<-*inMsg:default:ilog.Warnf("sendingincomingmessagefailed.type=%s",msg.messageType()。returntrue}。}
了解了IOST節點之間P2P通信的處理邏輯,再來看看如何觸發存在漏洞的handleHashQuery函數。messageLoop中調用了handlerHashQuery
func(sy*SyncImpl)messageLoop(){defersy.wg.Done()for{select{casereq:=<-sy.messageChan:switchreq.Type(){casep2p.SyncBlockHashRequest:varrhmsgpb.BlockHashQueryerr:=proto.Unmarshal(req.Data(),&rh)iferr!=nil{ilog.Errorf("UnmarshalBlockHashQueryfailed:%v",err)break}gosy.handleHashQuery(&rh,req.From())省略...
可以看到當messageType為p2p.SyncBlockHashRequest,Data為BlockHashQuery時,handlerHashQuery函數會被調用。BlockHashQuery的結構如下,End和Start的值可控。
typeBlockHashQuerystruct{ReqTypeRequireType`protobuf:"varint,1,opt,name=reqType,proto3,enum=msgpb.RequireType"json:"reqType,omitempty"`Startint64`protobuf:"varint,2,opt,name=start,proto3"json:"start,omitempty"`Endint64`protobuf:"varint,3,opt,name=end,proto3"json:"end,omitempty"`Numsint64`protobuf:"varint,4,rep,packed,name=nums,proto3"json:"nums,omitempty"`XXX_NoUnkeyedLiteralstruct{}`json:"-"`XXX_unrecognizedbyte`json:"-"`XXX_sizecacheint32`json:"-"`}
因此,我們可以構造一個Message,將Start的值設為0,End的值設為math.MaxInt64,將該Message發送給節點,就可以觸發make函數的capoutofrange,導致拒絕服務。
POC見https://github.com/fatal0/poc/blob/master/go-iost/p2p_dos.go
漏洞修復
官方的修復方式也很簡單,限制end-start1的大小。
https://github.com/iost-official/go-iost/commit/9824cfce3bb4b14f43b60f470cbba86e879dd32a#diff-4e27320b328b8f0d452f10e1ed383d73R330
Gate.ioStartup是一個全球初創項目“首發上線通道”,作為團隊和用戶的橋梁,給優質初創項目提供展示機會,并為用戶提供早期投資渠道.
1900/1/1 0:00:004月28日,火幣發布官方公告:火幣全球站將于新加坡時間5月9日20:00通過火幣優選通道極速版上線首期項目ThunderCore(TT),并正式確定了交易規則.
1900/1/1 0:00:00親愛的用戶:?? IDAX將上線LGD。開通LGD/BTC,LGD/ETH,LGD/USDT交易,立即前往.
1900/1/1 0:00:00共享財經 媒體|營銷|咨詢 摘要:在日本與美國意在對加密貨幣更新立法后,法國對ICO的重新定位再次引起了全球關注。在日本與美國意在對加密貨幣更新立法后,法國監管轉折又引起了全球的關注.
1900/1/1 0:00:00前言:以太坊2.0采用pos共識機制,它如何來激勵人們質押代幣,如何保證網絡的安全?什么是合適的發行率?本文作者EricConner,由“藍狐筆記”社群的“王澤龍”翻譯.
1900/1/1 0:00:00白話區塊鏈 從入門到精通,看我就夠了!又到了一年一度的世界讀書日,年初時你制定的新年目標中,有讀多少本書嗎?到現在為止,今年又讀完了多少本呢?在區塊鏈領域,一直流傳著這樣一句話:圈內一天.
1900/1/1 0:00:00