{"content":{"title":"Bsc代币Carrot攻击事件分析","body":"Carrot是一个[ERC20代币](https:\/\/learnblockchain.cn\/article\/3672)，漏洞存在于代币的合约中。合约中存在两个漏洞代码注入和逻辑错误，通过漏洞利用,可以达到转移任意用户的Carrot代币。利用过中还涉及一个未开源的pool合约。一句话总结漏洞利用过程：利用代码注入漏洞Carrot合约通过调用pool合约的方法成为pool合约的owner，利用逻辑漏洞绕过转账时的授权检查。\r\n\r\n# 基本信息\r\n\r\n攻击者、攻击合约\r\n\r\naccount\t0xd11a93a8db5f8d3fb03b88b4b24c3ed01b8a411c\thackEoa\r\naccount\t0x5575406ef6b15eec1986c412b9fbe144522c45ae\thackCon\r\n\r\n存在漏洞的合约\r\n\r\nCarrot合约：0xcFF086EaD392CcB39C49eCda8C974ad5238452aC　\r\n\r\npool合约，未开源: 0x6863b549bf730863157318df4496ed111adfa64f\r\naccount\t0x6863b549bf730863157318df4496ed111adfa64f\tvulPool\r\n\r\n# 漏洞原理\r\n\r\n漏洞类型为：代码注入和逻辑错误。\r\n\r\n漏洞主要存在两个地方：\r\n\r\n1. 代码注入。`transReward`函数可以达到执行任意pool合约的目的。\r\n2. 逻辑错误。使用的REC20合约中的`transferFrom`函数中的对满足_isExcludedFromFee的用户，没有授权的判定。\r\n\r\n漏洞1：代码注入。导致任意人可以调用pool合约的代码，从而可以改变pool合约的owner。\r\n\r\n漏洞存在于Carrot合约中`transReward`函数中，该函数为public函数，可以通过传递data参数调用pool合约，pool合约未开源。\r\n\r\n```bash\r\nfunction transReward(bytes memory data) public {\r\n pool.functionCall(data);\r\n }\r\n```\r\n\r\npool合约中存在`0xbf699b4b` 的函数，该函数可以设置pool合约的owner\r\n\r\n漏洞2:逻辑错误。`transferFrom`函数中满足免税的用户，直接_transfer了，而没有进行approve的判断，从而所有Carrot代币的用户，都可以被转走。\r\n\r\n```solidity\r\nfunction transferFrom(\r\n address sender,\r\n address recipient,\r\n uint256 amount\r\n ) public virtual override returns (bool) {\r\n\r\n _beforeTransfer(_msgSender(),recipient,amount);\r\n \r\n if(_isExcludedFromFee[_msgSender()]){\r\n _transfer(sender, recipient, amount);\r\n return true;\r\n }\r\n _transfer(sender, recipient, amount);\r\n _approve(\r\n sender,\r\n _msgSender(),\r\n _allowances[sender][_msgSender()].sub(\r\n amount,\r\n \"ERC20: transfer amount exceeds allowance\"\r\n )\r\n );\r\n return true;\r\n }\r\n```\r\n\r\n# 攻击过程分析\r\n\r\n主要使用blocksec进行分析。\r\n\r\n1. 调用黑客合约的`0x668f0ad4`　方法\r\n2. 黑客合约直接delegatecall　0xc422f23102bf2eeb237a8f7789be6a6be3e4a251　 0x668f0ad4的方法\r\n3. 0xc422f23102bf2eeb237a8f7789be6a6be3e4a251　 0x668f0ad4　直接调用了hackCon的　0x8d3360cc　方法 (`这里考虑是不是回调)`\r\n4. delegatecall　0xc422f23102bf2eeb237a8f7789be6a6be3e4a251　 0x8d3360cc的方法\r\n 1. hackCon将Carrot代币授权给0x9b7325a150254df59d7253885d41d8d3310f9c1a　\r\n 2. PancakeRouter将Carrot代币授权给hackCon\r\n 3. 调用Carrot.`transReward`，这个函数只有一句代码　\r\n \r\n `pool.functionCall(data);`\r\n \r\n 其中pool的地址为：`0x6863b549bf730863157318df4496ed111adfa64f`\r\n \r\n data中传递的参数：\r\n \r\n 给pool传递的原始数据为：\r\n \r\n ```bash\r\n 这里应该是弯路\r\n 0xbf699b4b0000000000000000000000005575406ef6b15eec1986c412b9fbe144522c45ae\r\n 应该对应两个字段：\r\n 前4个字节为函数名bf699b4b，现在未知\r\n 后面对应着一个合约地址：0x5575406ef6b15eec1986c412b9fbe144522c45ae，这个地址是黑客的攻击合约。\r\n \r\n 所以，这里是将黑客攻击合约的地址做为参数传递给了pool合约的bf699b4b函数。\r\n \r\n 可以使用cast calldata \"test(address)\" 0x5575406ef6b15eec1986c412b9fbe144522c45ae　看下calldata数据\r\n ```\r\n \r\n