مدقق سولانا 1 نقدم اليوم مدقق فحص المالك المفقود. يمثل هذا أول مدقق @solana في سلسلة Chain-Fox حول تحليل العقود الذكية وأدوات السلامة. دعنا نتعمق 🧵
ماذا يفعل هذا المدقق؟ يكتشف متى تستخدم عقود Solana الذكية الحسابات دون التحقق من أنها مملوكة للبرنامج المتوقع. يمكن أن يؤدي هذا الإشراف البسيط إلى نقاط ضعف خطيرة.
المشكلة تعتمد برامج Solana على حسابات خارجية. إذا لم يتحقق العقد مما إذا كان حقل مالك الحساب يتطابق مع البرنامج المقصود ، فيمكن للجهة الضارة توفير حساب مزيف مملوك لبرنامج آخر. يمكن أن تكون النتيجة تصعيد الامتياز أو تلف المنطق أو السرقة.
لماذا يهم قد يبدو الحساب صالحا ولكن يتم التحكم فيه بالكامل من قبل المهاجم. إذا تم تخطي فحوصات الملكية، يجوز للعقد: • الموافقة على عمليات نقل الرموز المزيفة • قبول حسابات التكوين أو السلطة الضارة • الكتابة إلى مناطق الذاكرة غير الآمنة أدت هذه الأخطاء بالفعل إلى مآثر حقيقية في النظام البيئي.
كيف يعمل المدقق يقوم هذا المدقق بفحص برامج Solana لتحليل استخدام الحساب داخل معالجات التعليمات. يتتبع ما يلي: • أين يتم الوصول إلى الحسابات • ما إذا كان account.owner==expected_program_id قد تم التحقق من صحة • سياقات التعليمات مع عمليات التحقق المفقودة ثم يقوم بوضع علامة على مواقع استخدام حساب معينة حيث تكون عمليات التحقق من المالك مفقودة.
تأثير العالم الحقيقي لقد لاحظنا أن عمليات التحقق من المالك مفقودة كسبب جذري شائع في عمليات استغلال العقد @solana. في العديد من المشاريع البارزة ، مكنت الحسابات غير المحددة المهاجمين من تجاوز البوابات المنطقية ومعالجة حالة البرنامج. تم تصميم هذا المدقق لاكتشاف ذلك ومنعه.
لماذا هو ضروري لمطوري Solana بينما تقدم Solana الأداء ، إلا أنها تأتي مع التعقيد. يعتمد الأمان على التحقق الدقيق من صحة الحساب. يساعد هذا المدقق في فرض افتراض نقدي لا يتم التحقق منه في كثير من الأحيان.
هذا هو أول مدقق Solana نشاركه. في منشورنا التالي ، سنسلط الضوء على أداة رئيسية أخرى في مجموعة Chain-Fox للكشف عن الثغرات الأمنية الخاصة ب Solana.
عرض الأصل
‏‎44‏
‏‎2.96 ألف‏
المحتوى الوارد في هذه الصفحة مُقدَّم من أطراف ثالثة. وما لم يُذكَر خلاف ذلك، فإن OKX ليست مُؤلِّفة المقالة (المقالات) المذكورة ولا تُطالِب بأي حقوق نشر وتأليف للمواد. المحتوى مٌقدَّم لأغراض إعلامية ولا يُمثِّل آراء OKX، وليس الغرض منه أن يكون تأييدًا من أي نوع، ولا يجب اعتباره مشورة استثمارية أو التماسًا لشراء الأصول الرقمية أو بيعها. إلى الحد الذي يُستخدَم فيه الذكاء الاصطناعي التوليدي لتقديم مُلخصَّات أو معلومات أخرى، قد يكون هذا المحتوى الناتج عن الذكاء الاصطناعي غير دقيق أو غير مُتسِق. من فضلك اقرأ المقالة ذات الصِلة بهذا الشأن لمزيدٍ من التفاصيل والمعلومات. OKX ليست مسؤولة عن المحتوى الوارد في مواقع الأطراف الثالثة. والاحتفاظ بالأصول الرقمية، بما في ذلك العملات المستقرة ورموز NFT، فيه درجة عالية من المخاطر وهو عُرضة للتقلُّب الشديد. وعليك التفكير جيِّدًا فيما إذا كان تداوُل الأصول الرقمية أو الاحتفاظ بها مناسبًا لك في ظل ظروفك المالية.