资安之路
2021-11-02 05:47 关注
作者：sunsama@知道创宇404区块链安全研究团队
时间：2018/07/10
一、背景介绍
为了迎合以太坊区块链发展需求，Microsoft Azure早在2016年9月就推出了以太坊节点走自动部署的模块。部署情况如下： 登陆Microsoft Azure：
部署Ethereum Proof-of-Work Consortium
访问建立的“ADMIN-SITE”可以看到一个“Blockchain Admin”界面： 我们注意到这个管理接口提供了一个“转账”功能并且整个页面缺少鉴权机制任何人都可以访问，这样就导致恶意攻击者可以通过该接口提交钱包地址和转账数量进行转账。
Web3.js是个兼容以太坊核心功能的JavaScript库，很多以太坊客户端及DApp都是通过调用Web3.js的API接来实现。以太坊客户端开发库主要是提供了两种类型的API接口：RPC(Remote Procedure Call)及IPC(Inter-process Communications)，在以往的攻击事件里很多关注点都在RPC接
