[發明專利]一種區塊鏈威脅感知系統及方法

有效

• 申請號: 202110581128.1
• 申請日: 2021-05-26
• 公開（公告）號: CN113190330B
• 公開（公告）日: 2022-06-24
• 發明（設計）人: 牛偉納;朱航;張小松;李信強;張鈳旋;廖旭涵
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F9/54;G06F16/27
• 代理公司: 成都正煜知識產權代理事務所(普通合伙) 51312
• 代理人: 徐金瓊

本發明公開了一種區塊鏈威脅感知系統及方法，屬于區塊鏈威脅感知技術領域，解決現有技術中動態分析的檢測技術需要的資源很多，而動態分析中鏈上的資源是有限的，即無法滿足動態分析的需求的問題。本發明包括：數據收集模塊：用于收集在以太坊虛擬機中正在執行的交易的實時信息包括區塊信息、交易信息和指令的原始信息；數據管理模塊：用于將收集到的實時信息進行存儲，并利用相關的數據結構來將數據保存在消息隊列中；漏洞檢測模塊：用于基于漏洞檢測應用對接收的消息隊列中的數據進行漏洞檢測，并將檢測到的漏洞輸出。本發明用于區塊鏈威脅感知。

技術領域

一種區塊鏈威脅感知系統及方法，用于區塊鏈威脅感知，屬于區塊鏈威脅感知技術領域。

背景技術

靜態分析是對軟件的原始數據進行分析，比如代碼、API調用等靜態特征，這種檢測手段相比于動態檢測，對于硬件資源的需求更少，分析速度較快，同時也更擅長分析大型軟件，并且相應的靜態特征越多，結果就越精確。

Johannes Kruppp等人提出了一種在給定的二進制字節碼的情況下自動合約漏洞識別和漏洞利用的工具——TEETHER。該工具在合約中尋找有漏洞的執行軌跡，然后利用符號執行技術自動尋找漏洞。具體方法是該工具在合約的控制流程圖中確定了導致關鍵指令的路徑，其中指令的參數可以由攻擊者控制。找到路徑后，該工具利用符號執行將此路徑轉換為一組約束。使用約束求解，就可以推斷出攻擊者必須執行的事務才能觸發漏洞。TEETHER的局限性在于：(1)TEETHER目前只能對合約進行獨立的，而無法分析跨合約的行為，即無法對多個合約協作導致的漏洞進行分析。(2)搜索漏洞時，將合約的存儲初始化為空狀態。這使他們能夠結合共享相同代碼的合約進行分析，并將工具運行次數從784，344減少到38，757 次。但是，這是以不精確的結果為代價的。

Neville Grech等人對于以太坊中gas相關的漏洞進行了分類和識別，并且提出可一種靜態程序分析技術，可以高效的自動檢測針對gas的漏洞。該方法基于控制流分析的反編譯器和聲明性程序結構查詢。組合分析捕獲高級域特定概念(例如“動態數據結構存儲”和“安全可恢復循環”)，并具有高精度和可擴展性。

Julian Schütte等人提出了一種結合符號執行和污點分析的工具——Osiris，自動準確的找到以太坊智能合約字節碼中的整數溢出錯誤，包括算術錯誤，截斷錯誤和符號轉換錯誤。Osiris基于符號執行發掘漏洞，并利用污點分析來減少誤報，如識別整數錯誤時的預期檢查。該工具檢測性能良好，在超過了120萬個智能合約上檢測到了42108個合約有整數錯誤，此外，更是發現了一些未知錯誤。但是Osiris只能針對單個智能合約進行污點分析，無法分析多個智能合約之間存在的漏洞，并且Etherscan列出了超過90，000個基于Ethereum區塊鏈的ERC-20令牌智能合約。但Osiris分析了其中的495個樣本，只是冰山一角。

Sergei等人提出了一種可以檢測智能合約中代碼問題的可擴展的靜態分析工具—— SmartCheck。該方案使用ANTLR自定義Solidity語法將Solidity源代碼轉換為XML生成樹作為中間表示(IR)，在用XPath查詢來檢測漏洞。此方案可以反映Solidity漏洞的當前狀態，并顯示出對替代方案的重大改進。但該方案也有其局限性，一些錯誤的檢測需要更復雜的技術，僅僅用當前的方法不可行。SmartCheck也有它的局限性，比如檢測一些bug需要更復雜的技術，比如污染分析是手工審計的。