当前位置：首页 > 资讯 >

Solidity编译器漏洞分析：ABI重编码的缺陷

SOL 漏洞
2023-04-25 18:25:08
56

漏洞详情

ABI 编码格式是用在用户或合约对合约进行函数调用，传递参数时的标准编码方式。具体可以参考 Solidity 官方关于ABI 编码的详细表述。

在合约开发过程中，会从用户或其他合约传来的 calldata 数据中，获取需要的数据，之后可能会将获取的数据进行转发或 emit 等操作。限于 evm 虚拟机的所有 opcode 操作都是基于 memory、stack 和 storage，所以在 Solidity 中，涉及到需要对数据进行 ABI 编码的操作，都会将 calldata 中的数据根据新的顺序按照 ABI 格式进行编码，并存储到 memory 中。

该过程本身并没有大的逻辑问题，但是当和 Solidity 的cleanup 机制结合时，由于 Solidity 编译器代码本身的疏漏，就导致了漏洞的存在。

根据 ABI 编码规则，在去掉函数选择符之后，ABI 编码的数据分为 head 和 tail 两部分。当数据格式为固定长度的 uint 或 bytes 32 数组时，ABI 会将该类型的数据都存储在 head 部分。而 Solidity 对 memory 中 cleanup 机制的实现是在当前索引的内存被使用后，将下一个索引的内存置空，以防止下一索引的内存使用时被脏数据影响。并且，当 Solidity 对一组参数数据进行 ABI 编码时，是按照从左到右的顺序进行编码！！

为了便于后面的漏洞原理探索，考虑如下形式的合约代码：

contract Eocene {
        event VerifyABI( bytes[], uint[ 2 ]);
        function verifyABI(bytes[] calldata a, uint[ 2 ] calldata b) public {
                emit VerifyABI(a, b); //Event 数据会按照 ABI 格式编码之后存储到链上
    }
}

合约 Eocene 中 verifyABI 函数的作用，仅仅是将函数参数中的不定长 bytes[] a 和定长 uint[2 ] b 进行 emit。

这里需要注意，event 事件也会触发 ABI 编码。这里参数 a, b 会编码成 ABI 格式后再存储到链上。

我们使用 v 0.8.14 版本的 Solidity 对合约代码进行编译，通过 remix 进行部署，并传入verifyABI(['0x aaaaaa','0x bbbbbb'],[0x 11111, 0x 22222 ])。

首先，我们看一看对verifyABI(['0x aaaaaa','0x bbbbbb'],[0x 11111, 0x 22222 ])的正确编码格式：

0x 5 2c d 1 a 9 c // bytes 4(sha 3("verify(btyes[], uint[ 2 ])"))
0000000000000000000000000000000000000000000000000000000000000060 // index of a
0000000000000000000000000000000000000000000000000000000000011111 // b[0 ]
0000000000000000000000000000000000000000000000000000000000022222 // b[1 ]
0000000000000000000000000000000000000000000000000000000000000002 // length of a
0000000000000000000000000000000000000000000000000000000000000040 // index of a[0 ]
0000000000000000000000000000000000000000000000000000000000000080 // index of a[1 ]
0000000000000000000000000000000000000000000000000000000000000003 // length of a[0 ]
aaaaaa 0000000000000000000000000000000000000000000000000000000000 // a[0 ]
0000000000000000000000000000000000000000000000000000000000000003 // length of a[1 ]
bbbbbb 0000000000000000000000000000000000000000000000000000000000 // a[1 ]

如果 Solidity 编译器正常，当参数a, b被 event 事件记录到链上时，数据格式应该和我们发送的一样。让我们实际调用合约试试看，并对链上的 log 进行查看,如果想自己对比，可以查看该TX。

成功调用后，合约 event 事件记录如下：

！！震惊，紧跟 b[1 ]的，存储 a 参数长度的值被错误的删除了！！

0000000000000000000000000000000000000000000000000000000000000060 // index of a
0000000000000000000000000000000000000000000000000000000000011111 // b[0 ]
0000000000000000000000000000000000000000000000000000000000022222 // b[1 ]
0000000000000000000000000000000000000000000000000000000000000000 // length of a why become 0
0000000000000000000000000000000000000000000000000000000000000040 // index of a[0 ]
0000000000000000000000000000000000000000000000000000000000000080 // index of a[1 ]
0000000000000000000000000000000000000000000000000000000000000003 // length of a[0 ]
aaaaaa 0000000000000000000000000000000000000000000000000000000000 // a[0 ]
0000000000000000000000000000000000000000000000000000000000000003 // length of a[1 ]
bbbbbb 0000000000000000000000000000000000000000000000000000000000 // a[1 ]

为什么会这样？

正如我们前面所说，在 Solidity 遇到需要进行 ABI 编码的系列参数时，参数的生成顺序是从左至，具体对 a, b 的编码逻辑如下

Solidity 先对 a 进行 ABI 编码，按照编码规则，a 的索引放在头部，a 的元素长度以及元素具体值均存放在尾部。
处理 b 数据，因为 b 数据类型为 uint[2 ]格式，所以数据具体值被存放在 head 部分。但是，由于 Solidity 自身的 cleanup 机制，在内存中存放了 b[1 ]之后，将 b[1 ]数据所在的后一个内存地址(被用于存放 a 元素长度的内存地址)的值置 0 。
ABI 编码操作结束，错误编码的数据存储到了链上，SOL-2022-6 漏洞出现。

在源代码层面，具体的错误逻辑也很明显，当需要从 calldata 获取定长 bytes 32 或 uint 数组数据到 memory 中时，Solidity 总是会在数据复制完毕后，将后一个内存索引数据置为 0 。又由于 ABI 编码存在 head 和 tail 两部分，且编码顺序也是从左至右，就导致了漏洞的存在。

具体漏洞的 Solidity 编译代码如下：

当源数据存储位置为 Calldata，且源数据类型为 ByteArray，String，或者源数组基础类型为 uint 或 bytes 32 时进入ABIFunctions::abiEncodingFunctionCalldataArrayWithoutCleanup()

Solidity编译器漏洞分析：ABI重编码的缺陷