TRON漏洞：通過耗盡內存和CPU來引發DoS_TRO:metro幣價

簡介：單個請求向/wallet/deploycontract提交幾兆字節碼以及CPU密集型長解析將消耗CPU大約10分鐘，同時仍然在堆中保存幾兆字節碼。發起足夠的請求，足以使用所有可用線程來處理傳入的HTTP請求，填滿內存并導致產生拒絕訪問。

描述：

*從一個很大的帶有大指數的十進制數中獲取longValue非常慢。例如newBigDecimal("10000000e100000000").longValue();這段代碼大約需要2-3分鐘才能在較新的macbookpro中運行完成。*/wallet/deploycontract有6個字段，它們從解析的json對象中獲取longValue，即token_id，call_token_value，fee_limit，call_value，consume_user_resource_percent，origin_energy_limit。這意味著單個請求可以使用最多12分鐘的線程。*當一個線程被鎖定12分鐘/deploycontract時，整個字節碼也會放入內存中，這會占用內存并過早地將對象從eden內存空間移動到舊的內存空間*一旦將對象移動到舊的存儲空間，當指針被釋放時將很難清理它們，因此GC會在嘗試清理之前卡住。請注意gc日志和屏幕截圖，其中內存在攻擊停止后很長時間內保持在3G狀態。

數據：波場TRON日新增賬戶18.8萬，創近14日新高:據TRONSCAN區塊鏈瀏覽器最新數據顯示，2021年4月19日，波場TRON日新增賬戶數高達18.88萬，日活躍賬戶數高達156.46萬，創近14日新高。目前，波場TRON賬戶總數已突破2973萬，波場生態逐漸強大的同時，也將迎來更多用戶。[2021/4/20 20:40:19]

參考：

波場TRON官方首個挖礦項目太陽幣SUN已得到眾多交易所的支持:據最新消息，波場TRON官方首個挖礦項目太陽幣SUN現已得到火幣、OKEx、KuCoin、P網Poloniex、抹茶MXC、BitZ、BKEK、BitForex、LBank交易所的支持。據悉，太陽幣SUN的定位是波場上的比特幣，零VC投資，零私募投資，零預挖，零團隊預留，完全依靠社區與開源智能合約。太陽幣SUN已于9月2日正式開啟創世挖礦，太陽幣SUN挖礦請遵守官網的指示公告，支持TronLink、imtoken、Tokenpocket、Bitpie等錢包。[2020/9/11]

jconsole代表內存，CPU和線程的截圖

動態 | 加密項目Vite與TROY達成戰略合作關系:自定義區塊鏈應用生態系統Vite今日宣布與加密經紀商Troy Trade（TROY）達成戰略合作關系。通過此次合作，Vite成為TROY推出的“全球生態社區計劃（Global Ecological Community Program）”的第十一位成員，而TROY也將加入Vite網絡成為區塊生產者。（Crypto Ninjas）[2020/1/2]

gclog來顯示JVM進入無限的GC并且仍然無法釋放內存

修復建議

JSONObject.parse使用Feature.UseBigDecimal.getMask;默認情況下。不使用BigDecimal會解決問題，但可能會在需要BigDecimal的其他地方引入問題。

如果整個字節碼一直沒有放入內存中那就好了。

影響使用單臺計算機，攻擊者可以向所有或51％的SR節點發起DDOS攻擊，并使Tron網絡無法使用。

Tags：TROtronRONVALmetro幣價tronlink的官方網站地址rond幣價格Valentine Doge

火必下載