By：小白@慢雾安全团队
背景概述
上次我们了解了什么是溢出漏洞和如何预防和发现它。这次我们要了解的是solidity中自带的函数——?selfdestruct自毁函数。
前置知识
我们先来了解solidity中能够转账的操作都有哪些：
IMF今日发布的加密货币科普视频实为两年前旧闻，且存在诸多疏漏:国际货币基金组织IMF今日在推特上发布了一条关于加密货币的科普视频，这段时长两分钟的视频最初发布于2018年6月。该视频称加密货币是“货币进化的下一步”，但没有特别提到DLT、区块链，甚至是代币名称等术语。BTC、XRP和ETH只出现在说明加密交易的图形中。尽管这段视频到目前为止已经获得了超过13.7万的点击量和2900个赞，但来自加密社区的许多反应都是批评的，他们指出了信息中的漏洞和似乎具有误导性的措辞。
Reddit用户nanooverbtc称：“他们犯了很多错误，比如把私钥称为密码。”该视频也没有讨论挖矿或加密货币供应。Kraken策略师Pierre Rochard等知名人士表示：“可证明的稀缺性是比特币有趣的原因，你忘了提这一点。”（Cointelegraph）[2020/8/24]
1
动态 | 报告：区块链等热点词促使童书科普百科类成交额同比增速最高:近日，京东图书与艾瑞咨询联合发布了《2019中国图书市场报告》。报告指出，AI、5G、区块链、机器人、VR、智能家居、AR这些热点词，不断点燃科技热潮，科技在改变大众生活的同时，也吸引了越来越多家长的关注，从小培养孩子对科技的兴趣和热爱。因此童书中科普百科类成交额同比增速最高，占比将近40%。[2020/1/8]
}functionclaimReward()public{require(msg
声音 | ETC Labs主管：科普教育是未来几年公链面临的巨大挑战:ETCLabs主管Darin Kotalik认为，科普教育是未来几年公链面临的巨大挑战，人们必须要对区块链有基本的认识，分清楚公链和私链的区别。[2019/8/25]
}漏洞分析
EtherGame合约实现的功能是一个游戏，我们这里可以称它为“幸运七”。玩家每次向EtherGame合约中打入一个以太，第七个成功打入以太的玩家将成为winner。winner可以提取合约中的7个以太。
玩家每次玩游戏时都会调用EtherGame
functionattack()publicpayable{addresspayableaddr=payable(address(etherGame));selfdestruct(addr);}这里我们还是引用三个角色来讲解攻击合约的攻击过程
玩家一：Alice
玩家二：Bob
攻击者：Eve
1.开发者部署EtherGame合约；
2.玩家Alice决定玩游戏，她这辈子玩游戏从来没赢过，她觉得这个游戏可以让她体验一次当winner的快感，所以她决定连续调用EtherGame
}functionclaimReward()public{require(msg
}作为审计者
作为审计者我们需要结合真实的业务逻辑来查看address(this).balance的使用是否会影响合约的正常逻辑，如果会影响那我们就可以初步认为这个合约存在被攻击者强制打入非预期的资金从而影响正常业务逻辑的可能。在审计过程中还需要结合实际的代码逻辑来进行分析。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。