OpenBountyXTZساعة الفتح الزمنية XTZ

هاش (SHA 1) لهذا المقال: 4f5b9f376aa53c6cccca03a2ddd065a59550d73c

رقم: سلسلة الأمان رقم 003

تم الكشف عن منصة OpenBounty لمكافآت الثغرات في 3 يوليو 2024 ، التي قدمت تقارير غير مصرح بها عن الثغرات بشكل علني على الشبكة العامة. هذا السلوك غير مسؤول وغير احترامي تجاه كل البنى التحتية المدرجة في قاعدة البيانات والباحثين الأمنيين المعنيين. ونتيجة لقيمة مجموع المكافآت لجميع الثغرات هذه التي تتجاوز 11 مليار دولار ، أثارت بعض النقاشات في الجمهور ، مما جعل منصة مكافآت الثغرات معروفة في نظر الجمهور. قام فريق Chain Source Security بتحليل الحادثة وعرض جزء من التفاصيل ، على أمل أن يساعد القراء في فهم التفاصيل وفهم وجود منصة مكافآت الثغرات مثل هذه.

معلومات ذات صلة

OpenBounty في معلومات تقرير الثغرات التي نشرت بشكل غير شرعي على سلسلة SEHNTU (تم حذف المقترحات ذات الصلة بـ Ethereum):

مكافأة إيجاد الأخطاء/挖洞

منصة مكافأة الثغرات في عالم السلسلة الداخلية ومنصة "حفر الثغرات" في الأمان التقليدي شبيهتان للغاية، حيث يكون الهدف الرئيسي لكلاهما هو جذب الباحثين الأمنيين وهاكر القبعة البيضاء من خلال آلية المكافأة للبحث عن الثغرات والإبلاغ عنها في النظام، مما يؤدي في النهاية إلى تعزيز الأمان الشامل.

نهج عملهم يتبع العملية التالية من الناحية الزمنية:

（1）تحدي إطلاق المشروع: سواء كان مشروع سلسلة كتلية أو تطبيق شبكة تقليدي، فسيتم نشر برنامج المكافأة لاكتشاف الثغرات على المنصة.

(2) تقرير الثغرات: يقوم الباحثون الأمنيون والقراصنة بفحص كود المشروع أو النظام والعثور على ثغرات ثم تقديم تقرير مفصل عنها.

(3) التحقق والإصلاح: يقوم فريق المشروع بالتحقق من الثغرات المذكورة في تقرير التحقق وإصلاحها.

（4）توزيع الجوائز: بعد إكمال عملية الإصلاح، سيتم منح مكافأة مناسبة لمكتشف الثغرة استنادًا إلى خطورتها ونطاق تأثيرها.

تتمحور أمان الشبكة التقليدية أساسًا حول متابعة الثغرات في تطبيقات الويب التقليدية والخوادم وأجهزة الشبكة وما إلى ذلك في تقنية المعلومات التقليدية، مثل XXS[ 1 ] وحقن SQL[ 2 ] و CSRF[ 3 ] وغيرها؛

أمان بلوكشين أكثر اهتمامًا بالمحفظة، والعقود الذكية، والبروتوكول، والتشفير، مثل هجوم سايبيل [4] وهجوم التفاعل عبر السلاسل [5] والاستدعاء الخارجي غير المعتاد.

تقرير الثغرات الرئيسي

في تقرير الثغرات رقم 33 الذي تم نشره بشكل غير ملائم في OpenBounty ، كانت CertiK تقدم عن SHENTU تدقيق واختبار اختراق السلسلة. يمكن رؤية من الاقتراح أن الاختبار الأمني هذا سيعمل على حل الثغرات الأمنية الداخلية لـ SHENTU ومشكلات الصلاحيات.

ومع ذلك، بعد قراءة شينتو سورسكود، اكتشفت قطعة من الكود لاستبدال البادئة، حيث تم استبدال بادئة CertiK ببادئة شينتو. على الرغم من أنه يمكن فهمه في التطوير، إلا أنه من الواضح أن هذا سيعطي شعورًا بأن CertiK يلعب دور الحكم واللاعب في نفس الوقت.

في 32 تقريرًا آخر للثغرات SEHNTU التي لم تتم حذفها بعد ، يمكن رؤية معلومات غير مصرح بها عن وصف المشكلة والمصوت ووصف الجائزة وحتى رموز النظام بعد تحديث الثغرة ، وهذه المعلومات التي تم الكشف عنها بدون إذن يمكن أن تتسبب بسهولة في إلحاق الضرر بأنظمة هذه الأنظمة ، لأن لكل نظام بعض المشاكل التراكمية أو عادات الترميز الفريدة ، وبالنسبة للهاكر ، فإن هناك فرصًا كبيرة للاستفادة من هذه المعلومات.

تفسير الاسماء

[ 1 ]XXS: يقوم المهاجم بحقن نص خبيث في الصفحة الإلكترونية، مما يؤدي إلى تنفيذ النص الخبيث عندما يتصفح المستخدم تلك الصفحة، وتشمل بشكل أساسي XSS الانعكاسية وXSS المخزنة وXSS المستند.

[ 2 ]SQL الحقن: إدراج رمز SQL الخبيث في حقول الإدخال (مثل النماذج، ومعلمات عنواين URL) ثم تمريرها إلى قاعدة البيانات للتنفيذ. يمكن أن يؤدي هذا النوع من الهجمات إلى تسرب البيانات من قاعدة البيانات، أو تعديلها، أو حذفها، وحتى الحصول على التحكم في خادم قاعدة البيانات.

[ 3 ]CSRF: الاستفادة من جلسة مصادقة المستخدم ، وإرسال طلب غير مصرح به إلى الموقع الموثوق به. يقوم المهاجم بإغراء المستخدم لزيارة صفحة ويب مخصصة أو النقر على رابط ، مما يتيح له تنفيذ عمليات غير معلن عنها للمستخدم مثل التحويلات المالية وتعديل المعلومات الشخصية.

[ 4 ] هجوم سايبل: في الشبكات الموزعة ، يقوم المهاجم بإنشاء العديد من الهويات المزيفة (عقدة طويل) في محاولة للتلاعب في عملية اتخاذ القرار في الشبكة. يحاول المهاجم التأثير على خوارزمية الإجماع من خلال إنشاء عدد كبير من العقد المزيفة للتحكم في تأكيد المعاملات أو منع المعاملات الشرعية.

[ 5 ]: الهجوم عبر السلسلة: يمكن للمهاجمين التلاعب بطلبات التفاعل عبر السلاسل وتجاوز الفحوص الأمنية في العقود الذكية، مما يؤدي إلى سرقة أو تحريف بيانات التفاعل عبر السلاسل، مثل هجوم جسر التفاعل عبر السلاسل في شبكة بولي.

الختام

بشكل عام، يجب أن يحصل إدارة مكافأة إيجاد الأخطاء على موافقة الناشر، كما هو موضح من قبل OpenZepplin و HackenProof، وهذه مسألة تتوقف على القانون والأخلاق المهنية، وهي أساس لإنجاز العديد من المطورين المستقلين.

شركة Chain Source Technology هي شركة متخصصة في أمان سلسلة الكتل. تشمل أعمالنا الأساسية البحوث في أمان سلسلة الكتل، وتحليل البيانات داخل السلسلة، وإنقاذ الأصول والعقود، حيث نجحنا في استعادة الأصول الرقمية المسروقة للأفراد والمؤسسات. في الوقت نفسه، نحرص على تقديم تقارير تحليلية مشروعة لأمان المشاريع للمؤسسات الصناعية، وتتبع داخل السلسلة، وخدمات استشارية/دعم تقني.

شكرا لقراءتكم، سنستمر في التركيز ومشاركة محتوى أمان سلسلة الكتل.