读研整活笔记（3）：阅读论文 WANA Symbolic Execution of Wasm Bytecode...

最新推荐文章于 2023-03-27 00:07:53 发布

技不如人，甘拜下风

最新推荐文章于 2023-03-27 00:07:53 发布

阅读量1.4k

点赞数

分类专栏：读研区块链文章标签：区块链

本文链接：https://blog.youkuaiyun.com/weixin_43295763/article/details/107734178

版权

需求理解

书接上回，上回我们整活调研了编译器soll，这回我们要开始阅读论文啦。要求如下：

最近会让你读一下上级学长的论文，开始读代码
后面会让你做wasm字节码的符号执行和漏洞检测
你先对着论文，读读这个代码，尝试跑跑例子，看能否跑得通。

从要求的描述中，应当将它解析成以下几个小任务：

阅读论文。
阅读代码
跑例子。
后期自己的工作是“做wasm字节码的符号执行和漏洞检测”。

那么接下来就按步骤依次解决吧。由于阅读论文是个工作量较大的事，所以单独成一篇笔记。

0.摘要

0.标题

本论文的题目是WANA: Symbolic Execution of Wasm Bytecode for Cross-Platform Smart Contract Vulnerability Detection
简单翻译一下是WANA:用于跨平台智能合约漏洞检测的Wasm字节码的符号执行

1.摘要

许多流行的区块链平台都支持用于构建去中心化应用程序的智能合约。但是，智能合约中的漏洞已给最终用户造成严重的财务损失。对于EOSIO区块链平台，有效的漏洞检测器仍然受到限制。此外，现有的漏洞检测工具只能支持一个区块链平台。在这项工作中，我们介绍WANA，这是一种基于WebAssembly字节码符号执行的跨平台智能合约漏洞检测工具。此外，WANA提出了一组测试Oracle，以基于WebAssembly字节码分析来检测EOSIO和以太坊智能合约中的漏洞。我们的实验分析表明，WANA可以高效地有效检测EOSIO和以太坊智能合约中的漏洞。

2.关键词

Symbolic execution, WebAssembly, Smart contract, Wasm,
Vulnerability detection, EOSIO, Ethereum

3.个人理解

简单介绍了一下本论文的的应用场景：检测智能合约漏洞。

一.介绍

1.摘要

区块链技术已经在信任有限的各方之间实现了分散的价值转移网络[14]。在智能合约的支持下，开发人员可以在区块链平台之上构建去中心化应用程序（DApp），以便不受信任的各方可以相互合作。流行的DApp包括区块链游戏，去中心化金融（DeFi），在线赌博，去中心化交易所，钱包，供应链管理，物流跟踪等。
以太坊[4]和EOSIO [28]是支持智能的两个最受欢迎的智能合约。但是，以太坊和EOSIO智能合约中的漏洞导致其最终用户蒙受经济损失。对于EOSIO智能合约，“块信息依赖”漏洞，“假EOS转移”漏洞和“伪造转移通知”漏洞已导致总共损失约380K EOS令牌[31] [33]。在攻击时，这些漏洞造成的累计损失约为190万美元。对于以太坊智能合约，DAO合约中的漏洞[22]导致损失了6000万美元。此外，就以太币而言，冻结的以太币和危险的DelegateCall漏洞分别导致损失6000万美元和冻结1.5亿美元[41] [42]。
因此，需要有效的漏洞检测工具来维护区块链平台的生态系统。但是，用于EOSIO智能合约的漏洞检测工具仍然有限。此外，现有的智能合约漏洞检测工具只能支持一个区块链平台。由于区块链平台的多样性，跨平台的漏洞检测工具是实际需要的。
WebAssembly（简称Wasm）[42]是用于基于堆栈的虚拟机的二进制指令格式。 EOSIO区块链平台也采用了它，以提高效率和可靠性。以太坊还计划以Ethereum WebAssembly（EWasm）VM取代EVM，以作为Ethereum 2.0的智能合约执行引擎[12] [18]。结果，EOSIO和以太坊平台上的智能合约都将被编译为WebAssembly，以在相应的Wasm VM实现中执行。因此，WebAssembly级别的符号执行引擎有可能为EOSIO智能合约，以太坊智能合约甚至基于Wasm的Web应用程序提供通用的安全分析框架。
在这项工作中，我们提出了WANA，Wasm字节码的符号执行引擎，以支持跨平台漏洞分析。 WANA可以支持EOSIO和以太坊智能合约的漏洞检测。在我们大约3960个EOSIO智能合约的实验中，WANA有效地检测了400多个漏洞。此外，我们的案例研究表明，WANA还可以有效检测以太坊智能合约的3个典型漏洞。
这项工作的贡献是三方面的。首先，它提出了第一个基于Wasm字节码符号执行的跨平台智能合约漏洞检测框架。其次，它提出了一组测试Oracle，以基于Wasm字节码分析来检测EOSIO和以太坊智能合约中的漏洞。第三，工作评估了EOSIO和以太坊智能合约上的WANA漏洞检测，并且WANA有效地识别了EOSIO和以太坊智能合约中的漏洞。其余部分的组织如下。
在第2节中，我们介绍了Wasm，EOSIO智能合约和以太坊智能合约的基础知识。然后在第3节中，我们回顾EOSIO和以太坊智能合约的典型漏洞。在第4节中，我们详细介绍了WANA框架的设计。之后，在第