手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中

来自P2P协议的异形攻击漏洞

来源£º本站整理 作者£º佚名 时间£º2019-04-26 TAG£º 我要投稿


当我们谈论区块链时£¬总是离不开这些技术£º分布式存储¡¢P2P网络和共识机制£¬本次我们要谈的问题就是出现在P2P对等网络协议上¡£
异形攻击实际上是一个所有公链都可能面临的问题£¬我们用以太坊为例子说明¡£以太坊的P2P网络主要采用了Kademlia (简称 Kad )算法实现£¬Kad是一种分布式哈希表(DHT)技术£¬使用该技术£¬可以实现在分布式环境下快速而又准确地路由¡¢定位数据的问题¡£
什么是异形攻击£¿
首先£¬我们先定义一个同类链的概念£¬是指使用了和其它区块链相同或兼容协议的区块链系统¡£
异形攻击又?#39057;?#22336;池污染£¬是指诱使同类链的节点互相侵入和污染的一种攻击手法£¬漏洞的主要原因是同类链系统在通信协议上没有对非同类节点做识别¡£
以太坊异形攻击是指£¬以太坊同类链£¨具体的说是使用以太坊P2P discv4节点发现协议的公链£¬包括以太坊¡¢以太经典£©由于使用了兼容的握手协议£¬无法区分节点是否属于同个链£¬导致地址池互相污染£¬节点通信性能下降£¬最终造成节点阻塞的一种攻击方式¡£
1.正常的节点发现过程
以太坊同类链节点间通过4个UDP通信协议来完成节点发现£¬消息结构如下£º
[1]ping£º探测一个节点是否在线

[2]pong?#21512;?#24212;Ping命令

[3]findnode£º查找与Target节点异或距离最近的其他节点

[4]neighbors?#21512;?#24212;FindNode命令£¬会返回一或多个节点

2.攻击过程
准备工作£º收集以太坊节点地址
我们找到了社区制作的一个地址库£ºhttps://github.com/smartheye/EthStaticNodesTool/blob/master/MainNet/static-nodes.txt
第一步£º发起恶意握手
攻击者A模拟整个握手过程£¬主动发起ping操作£¬并利用协议的第4步neighbors£¬将返回的邻居表修改成我们收集到的以太坊节点地址£¬推送给受害节点B£¨B 是一个以太坊同类链节点£©¡£由于单次通信只能推送16个地址£¬我们需要多次推送以达到攻击效果¡£
第二步£º污染地址池
B收到大量A返回的邻居表£¬尝试跟这些节点握手£¬并将这些节点加入了自己的地址池£¨俗称K桶£©¡£
第三步£º污染自动扩散
让人意外的是£¬不同链的节点居然互相握手成功了£¬更为可怕的是£¬它们把各自地址池里已知的节点推送给了对方£¬导致更多的节点互相污染£¬最终扩散致整个网络¡£
漏洞危害
1.受异形攻击的同类链节点无法找到真正可用的节点£¬无法建立TCP数据同步通道£¬导致节点被攻击离线¡£
2.对于矿池或者出块节点£¬异形攻击可能导致广播延迟甚至失败£¬造成收益损失¡£
3.异形攻击可以使所有以太坊同类链地址池相互污染£¬导致节点通信效率全面下降£¬对整个区块链系统造成长久的伤害¡£
影响范围
我们对知名公链QuarkChain进行安全审计时发现£¬QuarkChain的节点在遭受异形攻击后£¬节点性能?#29616;?#19979;降£¬外部节点需要很长时间才能与受害节点建立连接¡£QuarkChain团队随后修复了该问题¡£
理论上所有使用了以太坊discv4协议的区块链都可能受此漏洞影响£¬在发起测试后的一段时间£¬我们观测到EtherNode的监测节点也已经被污染了£¬污染的扩散速?#20154;?#20046;比想象中的要快¡£

也许£¬以太坊需要来一次清洗¡£
后记
1.此漏洞对以太坊是否有影响£¿
以太坊的节点数量?#27934;?#20110;其它同类链节点£¬并且节点间已经建立了稳定的连接£¬影响不明显¡£但对于其它的同类链节点£¬却会受到来自以太坊节点的强势侵入£¬导致通信阻塞¡£
2.很多朋友关心除了以太坊之外£¬其它的公链是否有此问题£¬比如比特币和它的山寨币£¬比如使用了libp2p 协议的公链£¬这些问题我们将在后续文章?#20449;?#38706;£¡
 

¡¾声明¡¿:黑吧安全网(http://www.rliwo.live)登载此文出于传递更多信息之目的£¬并不代表本站赞同其观点和对其真实性负责£¬仅适于网络安全技术爱好者学习研究使用£¬学习中请遵循国家相关法律法规¡£如?#24418;?#39064;请联系我们£¬联系邮箱[email protected]£¬我们会在最短的时间内进行处理¡£
  • 最新更新
    • 相关阅读
      • 本类?#35753;?/li>
        • 最近下载
        ¹ºÂò²ÊƱȨÍþÍøÖ·
        手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中