TRON漏洞：通過耗盡內存和CPU來引發DoS_TRO

簡介：單個請求向/wallet/deploycontract提交幾兆字節碼以及CPU密集型長解析將消耗CPU大約10分鐘，同時仍然在堆中保存幾兆字節碼。發起足夠的請求，足以使用所有可用線程來處理傳入的HTTP請求，填滿內存并導致產生拒絕訪問。

描述：

*從一個很大的帶有大指數的十進制數中獲取longValue非常慢。例如newBigDecimal("10000000e100000000").longValue();這段代碼大約需要2-3分鐘才能在較新的macbookpro中運行完成。*/wallet/deploycontract有6個字段，它們從解析的json對象中獲取longValue，即token_id，call_token_value，fee_limit，call_value，consume_user_resource_percent，origin_energy_limit。這意味著單個請求可以使用最多12分鐘的線程。*當一個線程被鎖定12分鐘/deploycontract時，整個字節碼也會放入內存中，這會占用內存并過早地將對象從eden內存空間移動到舊的內存空間*一旦將對象移動到舊的存儲空間，當指針被釋放時將很難清理它們，因此GC會在嘗試清理之前卡住。請注意gc日志和屏幕截圖，其中內存在攻擊停止后很長時間內保持在3G狀態。

孫宇晨：TRC20-TUSD會上線JustLink和JustLend，也將參與到波場TRON世紀挖礦中:據官方消息，波場TRON創始人兼BitTorrent CEO孫宇晨正在一直播平臺進行直播，全面解析合規穩定幣TUSD入駐波場TRON的未來和機遇。他在直播中表示：“我們鼓勵用戶體驗TUSD的秒級服務，TRC20-TUSD已經上線了JustSwap，并且即將參與到波場TRON世紀挖礦中，未來會上線JustLink和JustLend等，除此之外，波場TRON也會與更多的穩定幣合作，讓更多通證有機會享受到波場TRON公鏈高吞吐量、低延遲的優勢。

波場TRON的責任不僅僅停留在為波場TRON生態上的DeFi和DAPP搭建基礎設施，我們已經成為了整個去中心化金融的基礎設施，波場TRON上的每一筆轉賬都是流淌的金融的血液，為人類去中心化的金融保留著火種。”[2021/4/15 20:24:02]

參考：

基于波場 TRON 鏈發行的 BTC （TRC20-BTC）流通量已達到25000枚:據最新消息，基于波場 TRON 鏈發行的 BTC （TRC20-BTC）流通量已達到25000枚。據悉，TRC20-BTC 由 JUST 基金會發行，MXC抹茶、KuCoin、BKEX、Bitrue、LBank、P 網Poloniex、比特派錢包、TokenPocket等眾多交易所、錢包已經支持基于波場鏈發行的BTC（TRC20-BTC)的充值及提現。TRC20-BTC合約已由第三方代碼審計公司慢霧科技進行審計。[2021/3/24 19:13:15]

jconsole代表內存，CPU和線程的截圖

委內瑞拉總統簽署數字加密貨幣Petro白皮書:委內瑞拉總統Maduro稱，將于2月20日發行委內瑞拉數字加密貨幣Petro，它“將是主權數字加密貨幣”，數字加密貨幣Petro將通過挖礦獲得，委內瑞拉央行周三（1月31日）將披露Petro的細節。[2018/1/31]

gclog來顯示JVM進入無限的GC并且仍然無法釋放內存

修復建議

JSONObject.parse使用Feature.UseBigDecimal.getMask;默認情況下。不使用BigDecimal會解決問題，但可能會在需要BigDecimal的其他地方引入問題。

如果整個字節碼一直沒有放入內存中那就好了。

影響使用單臺計算機，攻擊者可以向所有或51％的SR節點發起DDOS攻擊，并使Tron網絡無法使用。

Tags：TRORONtronBTCTROLL BNBRONDAstronautBTCVB幣

POL幣最新價格