漏洞分析
IOST公链使用Go语言开发，Go语言的make函数如果参数控制不当容易产生拒绝服务漏洞。在IOST的公链代码中搜索make,找到了一处貌似可以利用的地方。
func(sy*SyncImpl)getBlockHashes(startint64,endint64)*msgpb.BlockHashResponse{resp:=&msgpb.BlockHashResponse{BlockInfos:make(*msgpb.BlockInfo,0,end-start1),}node:=sy.blockCache.Head()ifnode!=nil&&end>node.Head.Number{end=node.Head.Number}省略...
Line3make的第3个参数为end-start1,end和start来自handleHashQuery
func(sy*SyncImpl)handleHashQuery(rh*msgpb.BlockHashQuery,peerIDp2p.PeerID){ifrh.End<rh.Start||rh.Start<0{return}varresp*msgpb.BlockHashResponseswitchrh.ReqType{casemsgpb.RequireType_GETBLOCKHASHES:resp=sy.getBlockHashes(rh.Start,rh.End)casemsgpb.RequireType_GETBLOCKHASHESBYNUMBER:resp=sy.getBlockHashesByNums(rh.Nums。省略...
可以看到并没有限制end-start1的大小，只要end足够大,start足够小就可以导致拒绝服务。所以现在问题就只剩下如何触发这个漏洞。
漏洞利用
IOST节点之间的P2P通信使用的是libp2p，libp2p是一个模块化的网络堆栈，汇集了各种传输和点对点协议，使开发人员可以轻松构建大型，强大的p2p网络。
来看一看IOST节点的P2Pservice启动流程。
首先创建一个NetService，代码如下:
粉丝代币平台Socios与美国职业足球大联盟(MLS)达成合作:5月5日消息，球迷代币平台Socios宣布已与 26 个美国职业足球大联盟 (MLS) 球队合作，该合作伙伴关系将从 2022 赛季开始，帮助球迷获得26个合作的MLS俱乐部的“独家奖励、投票等机会”。此外，球迷将可通过参与预测比赛结果等互动获得奖品。该协议还使Socios.com和MLS能够在未来几年共同开发新的粉丝参与产品。
Socios.com表示，在其全球扩张计划中，还将增加其在欧洲的现有业务，同时瞄准在美国、亚洲和南美推出更多具有世界领先体育资产的产品。Socios.com将在今年晚些时候推出一款专为美国用户设计的移动应用程序。[2022/5/5 2:51:28]
//NewNetServicereturnsaNetServiceinstancewiththeconfigargument.funcNewNetService(config*common.P2PConfig)(*NetService,error){ns:=&NetService{config:config,}iferr:=os.MkdirAll(config.DataPath,0755);config.DataPath!=""&&err!=nil{ilog.Errorf("failedtocreatep2pdatapath,err=%v,path=%v",err,config.DataPath)returnnil,err}privKey,err:=getOrCreateKey(filepath.Join(config.DataPath,privKeyFile))iferr!=nil{ilog.Errorf("failedtogetprivatekey.err=%v,path=%v",err,config.DataPath)returnnil,err}host,err:=ns.startHost(privKey,config.ListenAddr)iferr!=nil{ilog.Errorf("failedtostartahost.err=%v,listenAddr=%v",err,config.ListenAddr)returnnil,err}ns.host=hostns.PeerManager=NewPeerManager(host,config)ns.adminServer=newAdminServer(config.AdminPort,ns.PeerManager)returnns,nil}
IOST与新兴P2E项目Ludena Protocol达成合作:据官方消息，IOST宣布与新兴Play2Earn（边玩边赚）项目Ludena Protocol建立战略合作伙伴关系，以促进IOST生态系统中NFT板块和与Play2Earn游戏板块的发展。
在之后的合作中，IOST将与Ludena Protocol携手打造多链架构。Ludena Protocol将在IOST公链上搭建休闲类Play2Earn游戏和NFT平台，助力IOST成为更好的去中心化系统。
Ludena Protocol旗下的游戏类社交平台Game Talktalk在全球拥有300万用户，为参与P2E游戏和直播的用户提供奖励。与此同时，Ludena与多家韩国顶级游戏公司保持合作。[2021/10/26 20:58:48]
主要看Line18的startHost，该函数调用libp2p库创建了一个host
//startHoststartsalibp2phost.func(ns*NetService)startHost(pkcrypto.PrivKey,listenAddrstring)(host.Host,error){tcpAddr,err:=net.ResolveTCPAddr("tcp",listenAddr)iferr!=nil{returnnil,err}if!isPortAvailable(tcpAddr.Port){returnnil,ErrPortUnavailable}opts:=libp2p.Option{libp2p.Identity(pk),libp2p.NATPortMap(),libp2p.ListenAddrStrings(fmt.Sprintf("/ip4/%s/tcp/%d",tcpAddr.IP,tcpAddr.Port)),libp2p.Muxer(protocolID,mplex.DefaultTransport),}h,err:=libp2p.New(context.Background(),opts...)iferr!=nil{returnnil,err}h.SetStreamHandler(protocolID,ns.streamHandler)returnh,nil}
该host的流处理逻辑在ns.streamHandler中
Greencore宣布与IOST合作 用区块链技术赋能新能源行业:今日，Greencore官方宣布与IOST建立战略合作伙伴关系。Greencore在Greencore Protocol的区块链框架下构建，旨在利用区块链技术重构新能源生态。Greencore将与IOST紧密合作，把研发资源投入到Layer-2扩展解决方案的研发中，并应用IOST的先进公链技术来优化Greencore的区块链基础设施。本次合作中，Greencore还会为IOST提供众多应用场景资源，例如新能源的交易和结算市场。未来，IOST将与Greencore一起，为新能源行业建立一个更高效、透明且具有流动性的生态。[2020/7/20]
func(ns*NetService)streamHandler(slibnet.Stream){ns.PeerManager.HandleStream(s,inbound。
steamHandler又调用PeerManager的HandleStream函数
//HandleStreamhandlestheincomingstream.////Itcheckswhethertheremotepeeralreadyexists.//Ifthepeerisnewandtheneighborcountdoesn'treachthethreshold,itaddsthepeerintotheneighborlist.//Ifpeeralreadyexits,justaddthestreamtothepeer.//Inothercases,resetthestream.func(pm*PeerManager)HandleStream(slibnet.Stream,directionconnDirection){remotePID:=s.Conn().RemotePeer()pm.freshPeer(remotePID)ifpm.isStreamBlack(s){ilog.Infof("remotepeerisinblacklist.pid=%v,addr=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr())s.Conn().Close()return}ilog.Debugf("handlenewstream.pid=%s,addr=%v,direction=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr(),direction)peer:=pm.GetNeighbor(remotePID)ifpeer!=nil{s.Reset()return}ifpm.NeighborCount(direction)>=pm.neighborCap{if!pm.isBP(remotePID){ilog.Infof("neighborcountexceeds,closeconnection.remoteID=%v,addr=%v",remotePID.Pretty(),s.Conn().RemoteMultiaddr())ifdirection==inbound{bytes,_:=pm.getRoutingResponse(string{remotePID.Pretty(。)iflen(bytes)>0{msg:=newP2PMessage(pm.config.ChainID,RoutingTableResponse,pm.config.Version,defaultReservedFlag,bytes)s.Write(msg.content()。time.AfterFunc(time.Second,func(){s.Conn().Close(。。else{s.Conn().Close(。return}pm.kickNormalNeighbors(direction。pm.AddNeighbor(NewPeer(s,pm,direction))return}
动态 | 乐天钱包已发布面向iOS用户的应用程序 提供加密资产交易服务:据Crypto Watch消息，8月22日，乐天钱包（Rakuten Wallet Co.，Ltd）已发布面向iOS用户的应用程序，提供加密资产交易服务。“Rakuten Wallet”将提供BTC / JPY、ETH / JPY和BCH / JPY现货交易对。发布时间比此前预计的9月上旬提前。此前8月19日消息，乐天钱包宣布开始提供加密货币交易所“Rakuten Wallet”服务，并首先推出Android版。[2019/8/23]
对于新建立连接的peer，IOST会启动该peer并添加到neighborlist中
//AddNeighborstartsapeerandaddsittotheneighborlist.func(pm*PeerManager)AddNeighbor(p*Peer){pm.neighborMutex.Lock()deferpm.neighborMutex.Unlock()ifpm.neighbors==nil{p.Start()pm.storePeerInfo(p.id,multiaddr.Multiaddr{p.addr})pm.neighbors=ppm.neighborCount}}
peer启动之后，IOST会调用peer的readLoop和writeLoop函数对该peer进行读写。
//Startstartspeer'sloop.func(p*Peer)Start(){ilog.Infof("peerisstarted.id=%s",p.ID())gop.readLoop()gop.writeLoop(。
我们主要看readLoop，看IOST对我们发送的数据如何处理。
func(p*Peer)readLoop(){header:=make(byte,dataBegin)for{_,err:=io.ReadFull(p.stream,header)iferr!=nil{ilog.Warnf("readheaderfailed.err=%v",err)break}chainID:=binary.BigEndian.Uint32(header)ifchainID!=p.peerManager.config.ChainID{ilog.Warnf("mismatchedchainID.chainID=%d",chainID)break}length:=binary.BigEndian.Uint32(header)iflength>maxDataLength{ilog.Warnf("datalengthtoolarge:%d",length)break}data:=make(byte,dataBeginlength)_,err=io.ReadFull(p.stream,data)iferr!=nil{ilog.Warnf("readmessagefailed.err=%v",err)break}copy(data,header)msg,err:=parseP2PMessage(data)iferr!=nil{ilog.Errorf("parsep2pmessagefailed.err=%v",err)break}tagkv:=mapstring{"mtype":msg.messageType().String(。byteInCounter.Add(float64(len(msg.content())),tagkv)packetInCounter.Add(1,tagkv)p.handleMessage(msg。p.peerManager.RemoveNeighbor(p.id。
动态 | 跨ETH/EOS/TRON/IOST四大公链，DApp活跃度排行榜:据 DAppTotal 07月08日数据显示，过去一周，综合对比ETH、EOS、TRON、IOST四大公链的DApp生态情况发现：总用户量(个): EOS(151,961) > ETH(101,468) > TRON(82,631) > IOST(21,760)；总交易次数(笔)：EOS(27,723,921) > TRON(4,009,914) > IOST(1,601,493) > ETH(659,171)；总交易额(美元)：EOS(108,034,334) > TRON(83,054,240) > ETH(82,299,696) > IOST(4,013,146)；跨四条公链按用户量TOP3 DApps为：Endless Game(EOS)、Hash Baby(EOS)、ERC20-USDT(ETH)；按交易次数TOP3 DApps分别为：Hash Baby(EOS)、Dice(EOS)、TRONbet(TRON)；按交易额TOP3 DApps分别为：TRONbet(TRON)、NEST(ETH)、EOS REX(EOS)。[2019/7/8]
主要是读取一个固定长度的header，然后根据header中的length来读取data，通过header和data创建一个P2PMessage，最后调用handleMessage来处理这个msg。节点发送的数据包结构如下：
/*P2PMessageprotocol:0123(bytes)01234567012345670123456701234567--------------------------------|ChainID|--------------------------------------------------------------|MessageType|Version|--------------------------------------------------------------|DataLength|---------------------------------------------------------------|DataChecksum|---------------------------------------------------------------|Reserved|---------------------------------------------------------------||.Data.||---------------------------------------------------------------*/
handleMessage会根据messageType对message进行处理
//HandleMessagehandlesmessagesaccordingtoitstype.func(pm*PeerManager)HandleMessage(msg*p2pMessage,peerIDpeer.ID){data,err:=msg.data()iferr!=nil{ilog.Errorf("getmessagedatafailed.err=%v",err)return}switchmsg.messageType(){caseRoutingTableQuery:gopm.handleRoutingTableQuery(msg,peerID)caseRoutingTableResponse:gopm.handleRoutingTableResponse(msg)default:inMsg:=NewIncomingMessage(peerID,data,msg.messageType())ifm,exist:=pm.subs.Load(msg.messageType());exist{m.(*sync.Map).Range(func(k,vinterface{})bool{select{casev.(chanIncomingMessage)<-*inMsg:default:ilog.Warnf("sendingincomingmessagefailed.type=%s",msg.messageType()。returntrue}。}
了解了IOST节点之间P2P通信的处理逻辑，再来看看如何触发存在漏洞的handleHashQuery函数。messageLoop中调用了handlerHashQuery
func(sy*SyncImpl)messageLoop(){defersy.wg.Done()for{select{casereq:=<-sy.messageChan:switchreq.Type(){casep2p.SyncBlockHashRequest:varrhmsgpb.BlockHashQueryerr:=proto.Unmarshal(req.Data(),&rh)iferr!=nil{ilog.Errorf("UnmarshalBlockHashQueryfailed:%v",err)break}gosy.handleHashQuery(&rh,req.From())省略...
可以看到当messageType为p2p.SyncBlockHashRequest，Data为BlockHashQuery时，handlerHashQuery函数会被调用。BlockHashQuery的结构如下,End和Start的值可控。
typeBlockHashQuerystruct{ReqTypeRequireType`protobuf:"varint,1,opt,name=reqType,proto3,enum=msgpb.RequireType"json:"reqType,omitempty"`Startint64`protobuf:"varint,2,opt,name=start,proto3"json:"start,omitempty"`Endint64`protobuf:"varint,3,opt,name=end,proto3"json:"end,omitempty"`Numsint64`protobuf:"varint,4,rep,packed,name=nums,proto3"json:"nums,omitempty"`XXX_NoUnkeyedLiteralstruct{}`json:"-"`XXX_unrecognizedbyte`json:"-"`XXX_sizecacheint32`json:"-"`}
因此，我们可以构造一个Message，将Start的值设为0,End的值设为math.MaxInt64，将该Message发送给节点，就可以触发make函数的capoutofrange，导致拒绝服务。
POC见https://github.com/fatal0/poc/blob/master/go-iost/p2p_dos.go
漏洞修复
官方的修复方式也很简单，限制end-start1的大小。
https://github.com/iost-official/go-iost/commit/9824cfce3bb4b14f43b60f470cbba86e879dd32a#diff-4e27320b328b8f0d452f10e1ed383d73R330
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。