Mã băm (SHA 1) của bài viết này: 4f5b9f376aa53c6cccca03a2ddd065a59550d73c
Số hiệu: Chain Source Security No.003
Ngày 3 tháng 7 năm 2024, nền tảng tiền thưởng săn lỗi OpenBounty đã được tiết lộ đã công khai báo cáo lỗ hổng chưa được ủy quyền trên chuỗi công khai. Hành động này là rất bất trách nhiệm và thiếu tôn trọng đối với mỗi cơ sở hạ tầng và nhà nghiên cứu an ninh được liệt kê trong danh sách. Đồng thời, vì tổng giá trị tiền thưởng của tất cả các lỗ hổng này vượt quá 11 tỷ đô la Mỹ, nó đã gây ra một cuộc thảo luận nhất định trong cộng đồng công chúng, khiến cho nền tảng tiền thưởng săn lỗi trở nên nổi tiếng trong mắt công chúng. Nhóm an ninh Chain Source đã thực hiện phân tích an ninh và công khai một phần sự việc rò rỉ này, hy vọng có thể giúp độc giả giải thích các chi tiết trong đó, đồng thời cũng hiểu rõ hơn về sự tồn tại của các nền tảng tiền thưởng săn lỗi như thế này.
Thông tin liên quan
OpenBounty đã tiết lộ thông tin báo cáo lỗ hổng trên chuỗi SEHNTU một cách không được phép (đã xóa đề xuất liên quan đến Ethereum):
săn lỗi nhận tiền thưởng/挖洞
Nền tảng săn lỗi nhận tiền thưởng on-chain trong thế giới và nền tảng "đào lỗ" trong an ninh mạng truyền thống rất giống nhau, với mục tiêu chính là thu hút các nhà nghiên cứu an ninh và hacker mũ trắng thông qua cơ chế thưởng, để tìm kiếm và báo cáo các lỗ hổng trong hệ thống, từ đó nâng cao tính an toàn toàn cầu.
Mô hình hoạt động của họ theo dòng thời gian như sau:
(1) Thách thức dự án: Cho dù đó là một dự án blockchain hay một ứng dụng mạng truyền thống, một chương trình tiền thưởng lỗi sẽ được xuất bản trên nền tảng.
(2) Báo cáo lỗ hổng: Các nhà nghiên cứu bảo mật và tin tặc phát hiện mã dự án hoặc hệ thống và gửi báo cáo chi tiết sau khi phát hiện ra lỗ hổng.
（3）Xác minh và sửa chữa: Nhóm dự án xác minh và sửa chữa các lỗi trong báo cáo xác minh.
（4）Phát thưởng: Sau khi sửa chữa xong, tùy theo mức độ nghiêm trọng của lỗ hổng và phạm vi tác động, người phát hiện sẽ nhận được phần thưởng tương ứng.
Truyền thống về an ninh mạng chủ yếu theo dõi các lỗ hổng trong IT truyền thống như ứng dụng web, máy chủ, thiết bị mạng, vv. như XXS [1], SQL Injection [2], CSRF [3]
An ninh chuỗi blocks quan trọng hơn hợp đồng thông minh, giao thức, ví tiền, như tấn công Sybil [4], tấn công tương tác chuỗi chéo [5], và cuộc gọi bên ngoài bất thường.
Báo cáo lỗi quan trọng
Trong báo cáo lỗ hổng số 33 được công bố vi phạm của OpenBounty, CertiK đã tiến hành kiểm toán và kiểm thử xâm nhập trên chuỗi SHENTU. Từ đề xuất, ta có thể thấy rằng bài kiểm tra an ninh này tập trung vào vấn đề lỗ hổng bảo mật và hạn chế ủy quyền bên trong SHENTU.
Nhưng sau khi đọc mã nguồn của SHENTU, tôi phát hiện một đoạn mã để thay thế tiền tố, thay thế tiền tố của CertiK bằng tiền tố của SHENTU. Mặc dù trong quá trình phát triển có thể hiểu được, chỉ là để dễ dàng điều chỉnh bằng cách thay thế tên miền, nhưng thật sự tạo cho người ta cảm giác CertiK vừa là trọng tài vừa là vận động viên.
Trong 32 báo cáo lỗ hổng SEHNTU khác chưa bị xóa, có thể thấy thông tin về mô tả vấn đề, phía bỏ phiếu, mô tả phần thưởng và thậm chí cả mã nguồn của từng hệ thống sau khi cập nhật lỗ hổng, những thông tin này đã được tiết lộ mà không được ủy quyền, dễ dàng gây ra sự phá hủy lần thứ hai cho những hệ thống này, vì mỗi hệ thống trong quá trình phát triển đều có một số vấn đề lịch sử hoặc thói quen mã hóa riêng, với Hacker, thực sự có rất nhiều cơ hội tận dụng thông tin này.
Giải nghĩa danh từ
[ 1 ]XXS：Kẻ tấn công tiêm kích bằng cách tiêm kích kịch bản độc hại vào trang web, khiến kịch bản thực thi khi người dùng duyệt trang web đó, chủ yếu bao gồm XXS phản射, XXS lưu trữ và XXS DOM.
[ 2 ] SQL Injection: phương pháp tấn công bằng cách chèn mã SQL độc hại vào trường đầu vào (như biểu mẫu, tham số URL), sau đó chuyển đến cơ sở dữ liệu để thực thi. Loại tấn công này có thể dẫn đến rò rỉ, sửa đổi hoặc xóa dữ liệu cơ sở dữ liệu, thậm chí chiếm quyền kiểm soát máy chủ cơ sở dữ liệu.
[ 3 ]CSRF: Phương pháp tấn công sử dụng phiên đã được xác thực của người dùng để gửi yêu cầu chưa được ủy quyền đến các trang web được tin cậy. Kẻ tấn công thông qua việc cám dỗ người dùng truy cập vào trang web được thiết kế đặc biệt hoặc nhấp vào liên kết, từ đó thực hiện các hoạt động như chuyển khoản, thay đổi thông tin cá nhân mà người dùng không hề hay biết.
[ 4 ]Sybil 攻击：在分布式网络中，攻击者创建long个伪造身份（Nút），试图操纵网络中的决策过程。攻击者通过创建大量虚假Nút来影响Nhận thức chungThuật toán，进而控制交易确认或阻止合法交易。
[ 5 ]Tương tác chuỗi chéo tấn công: Kẻ tấn công có thể thông qua việc điều khiển yêu cầu giao dịch Tương tác chuỗi chéo, vượt qua kiểm tra an ninh trong hợp đồng, đánh cắp hoặc sửa đổi dữ liệu giao dịch Tương tác chuỗi chéo, ví dụ như cuộc tấn công cầu nối Poly Network Tương tác chuỗi chéo.
Kết luận
Nhìn chung, quản lý săn lỗi nhận tiền thưởng như OpenZepplin và HackenProof đã nói, phải được sự cho phép của người phát hành, đây là một vấn đề song song với luật pháp và đạo đức nghề nghiệp, cũng là nền tảng cho nhiều nhà phát triển độc lập.
Công ty Chain Source Technology là một công ty chuyên về an ninh blockchain. Công việc cốt lõi của chúng tôi bao gồm nghiên cứu an ninh blockchain, phân tích dữ liệu on-chain, cũng như cứu hộ lỗ hổng tài sản và hợp đồng, đã thành công trong việc phục hồi tài sản kỹ thuật số bị đánh cắp long. Đồng thời, chúng tôi cam kết cung cấp báo cáo phân tích an ninh dự án cho tổ chức ngành công nghiệp, theo dõi on-chain và dịch vụ tư vấn/hỗ trợ công nghệ.
Cảm ơn mọi người đã đọc, chúng tôi sẽ tiếp tục tập trung và chia sẻ nội dung về an ninh blockchain.
Nội dung chỉ mang tính chất tham khảo, không phải là lời chào mời hay đề nghị. Không cung cấp tư vấn về đầu tư, thuế hoặc pháp lý. Xem Tuyên bố miễn trừ trách nhiệm để biết thêm thông tin về rủi ro.
OpenBountyXTZ giải mã thời gian rò rỉ
Mã băm (SHA 1) của bài viết này: 4f5b9f376aa53c6cccca03a2ddd065a59550d73c
Số hiệu: Chain Source Security No.003
Ngày 3 tháng 7 năm 2024, nền tảng tiền thưởng săn lỗi OpenBounty đã được tiết lộ đã công khai báo cáo lỗ hổng chưa được ủy quyền trên chuỗi công khai. Hành động này là rất bất trách nhiệm và thiếu tôn trọng đối với mỗi cơ sở hạ tầng và nhà nghiên cứu an ninh được liệt kê trong danh sách. Đồng thời, vì tổng giá trị tiền thưởng của tất cả các lỗ hổng này vượt quá 11 tỷ đô la Mỹ, nó đã gây ra một cuộc thảo luận nhất định trong cộng đồng công chúng, khiến cho nền tảng tiền thưởng săn lỗi trở nên nổi tiếng trong mắt công chúng. Nhóm an ninh Chain Source đã thực hiện phân tích an ninh và công khai một phần sự việc rò rỉ này, hy vọng có thể giúp độc giả giải thích các chi tiết trong đó, đồng thời cũng hiểu rõ hơn về sự tồn tại của các nền tảng tiền thưởng săn lỗi như thế này.
Thông tin liên quan
OpenBounty đã tiết lộ thông tin báo cáo lỗ hổng trên chuỗi SEHNTU một cách không được phép (đã xóa đề xuất liên quan đến Ethereum):
săn lỗi nhận tiền thưởng/挖洞
Nền tảng săn lỗi nhận tiền thưởng on-chain trong thế giới và nền tảng "đào lỗ" trong an ninh mạng truyền thống rất giống nhau, với mục tiêu chính là thu hút các nhà nghiên cứu an ninh và hacker mũ trắng thông qua cơ chế thưởng, để tìm kiếm và báo cáo các lỗ hổng trong hệ thống, từ đó nâng cao tính an toàn toàn cầu.
Mô hình hoạt động của họ theo dòng thời gian như sau:
(1) Thách thức dự án: Cho dù đó là một dự án blockchain hay một ứng dụng mạng truyền thống, một chương trình tiền thưởng lỗi sẽ được xuất bản trên nền tảng.
(2) Báo cáo lỗ hổng: Các nhà nghiên cứu bảo mật và tin tặc phát hiện mã dự án hoặc hệ thống và gửi báo cáo chi tiết sau khi phát hiện ra lỗ hổng.
（3）Xác minh và sửa chữa: Nhóm dự án xác minh và sửa chữa các lỗi trong báo cáo xác minh.
（4）Phát thưởng: Sau khi sửa chữa xong, tùy theo mức độ nghiêm trọng của lỗ hổng và phạm vi tác động, người phát hiện sẽ nhận được phần thưởng tương ứng.
Truyền thống về an ninh mạng chủ yếu theo dõi các lỗ hổng trong IT truyền thống như ứng dụng web, máy chủ, thiết bị mạng, vv. như XXS [1], SQL Injection [2], CSRF [3]
An ninh chuỗi blocks quan trọng hơn hợp đồng thông minh, giao thức, ví tiền, như tấn công Sybil [4], tấn công tương tác chuỗi chéo [5], và cuộc gọi bên ngoài bất thường.
Báo cáo lỗi quan trọng
Trong báo cáo lỗ hổng số 33 được công bố vi phạm của OpenBounty, CertiK đã tiến hành kiểm toán và kiểm thử xâm nhập trên chuỗi SHENTU. Từ đề xuất, ta có thể thấy rằng bài kiểm tra an ninh này tập trung vào vấn đề lỗ hổng bảo mật và hạn chế ủy quyền bên trong SHENTU.
Nhưng sau khi đọc mã nguồn của SHENTU, tôi phát hiện một đoạn mã để thay thế tiền tố, thay thế tiền tố của CertiK bằng tiền tố của SHENTU. Mặc dù trong quá trình phát triển có thể hiểu được, chỉ là để dễ dàng điều chỉnh bằng cách thay thế tên miền, nhưng thật sự tạo cho người ta cảm giác CertiK vừa là trọng tài vừa là vận động viên.
Trong 32 báo cáo lỗ hổng SEHNTU khác chưa bị xóa, có thể thấy thông tin về mô tả vấn đề, phía bỏ phiếu, mô tả phần thưởng và thậm chí cả mã nguồn của từng hệ thống sau khi cập nhật lỗ hổng, những thông tin này đã được tiết lộ mà không được ủy quyền, dễ dàng gây ra sự phá hủy lần thứ hai cho những hệ thống này, vì mỗi hệ thống trong quá trình phát triển đều có một số vấn đề lịch sử hoặc thói quen mã hóa riêng, với Hacker, thực sự có rất nhiều cơ hội tận dụng thông tin này.
Giải nghĩa danh từ
[ 1 ]XXS：Kẻ tấn công tiêm kích bằng cách tiêm kích kịch bản độc hại vào trang web, khiến kịch bản thực thi khi người dùng duyệt trang web đó, chủ yếu bao gồm XXS phản射, XXS lưu trữ và XXS DOM.
[ 2 ] SQL Injection: phương pháp tấn công bằng cách chèn mã SQL độc hại vào trường đầu vào (như biểu mẫu, tham số URL), sau đó chuyển đến cơ sở dữ liệu để thực thi. Loại tấn công này có thể dẫn đến rò rỉ, sửa đổi hoặc xóa dữ liệu cơ sở dữ liệu, thậm chí chiếm quyền kiểm soát máy chủ cơ sở dữ liệu.
[ 3 ]CSRF: Phương pháp tấn công sử dụng phiên đã được xác thực của người dùng để gửi yêu cầu chưa được ủy quyền đến các trang web được tin cậy. Kẻ tấn công thông qua việc cám dỗ người dùng truy cập vào trang web được thiết kế đặc biệt hoặc nhấp vào liên kết, từ đó thực hiện các hoạt động như chuyển khoản, thay đổi thông tin cá nhân mà người dùng không hề hay biết.
[ 4 ]Sybil 攻击：在分布式网络中，攻击者创建long个伪造身份（Nút），试图操纵网络中的决策过程。攻击者通过创建大量虚假Nút来影响Nhận thức chungThuật toán，进而控制交易确认或阻止合法交易。
[ 5 ]Tương tác chuỗi chéo tấn công: Kẻ tấn công có thể thông qua việc điều khiển yêu cầu giao dịch Tương tác chuỗi chéo, vượt qua kiểm tra an ninh trong hợp đồng, đánh cắp hoặc sửa đổi dữ liệu giao dịch Tương tác chuỗi chéo, ví dụ như cuộc tấn công cầu nối Poly Network Tương tác chuỗi chéo.
Kết luận
Nhìn chung, quản lý săn lỗi nhận tiền thưởng như OpenZepplin và HackenProof đã nói, phải được sự cho phép của người phát hành, đây là một vấn đề song song với luật pháp và đạo đức nghề nghiệp, cũng là nền tảng cho nhiều nhà phát triển độc lập.
Công ty Chain Source Technology là một công ty chuyên về an ninh blockchain. Công việc cốt lõi của chúng tôi bao gồm nghiên cứu an ninh blockchain, phân tích dữ liệu on-chain, cũng như cứu hộ lỗ hổng tài sản và hợp đồng, đã thành công trong việc phục hồi tài sản kỹ thuật số bị đánh cắp long. Đồng thời, chúng tôi cam kết cung cấp báo cáo phân tích an ninh dự án cho tổ chức ngành công nghiệp, theo dõi on-chain và dịch vụ tư vấn/hỗ trợ công nghệ.
Cảm ơn mọi người đã đọc, chúng tôi sẽ tiếp tục tập trung và chia sẻ nội dung về an ninh blockchain.