SmartDev-Contract
SmartDev-Contract copied to clipboard
WeBankBlockchain
Solidity智能合约库，包含了基础类型到上层业务的一系列智能合约库代码，便于开发者借鉴、引入和复用。
**漏洞描述** 在business_template/red_packet项目中，mypoints 是一个符合ERC20代币标准的积分代币合约，支持用户将自己的积分授权给其他用户使用，即用户A可以授权用户B直接使用指定数量的积分。该功能的核心是通过allows 变量记录用户之间的授权积分数量，其中缺省值代表授权数量为零。用户可以通过 approve 函数修改自己给其他用户授权的积分数量 allows。 正常情况：假设用户A拥有150个积分，用户A授权用户B 100个积分。用户A首先通过发布一笔调用 approve 函数的交易将自己对用户B的授权数量改为50个积分。然后用户B发布一笔调用 transferFrom 函数的交易转走用户A的50个积分。此时，用户A对用户B的授权数量会修改为0个积分。 攻击方法：假设用户A拥有150个积分，用户A授权用户B 100个积分。用户A同样通过发布一笔调用 approve 函数的交易将自己对用户B的授权数量改为50个积分。但是用户B（攻击者）监听到这笔交易，此时用户B发布一笔调用 transferFrom 函数的交易抢先在用户A发布的交易生效前转走用户A给自己授权的100个积分，此时用户A对用户B的授权数量改为0个积分。然后用户A的 approve 交易才生效，此时用户A对用户B的授权数量又被修改为50个积分。最终用户B又可以在用户A未经许可的情况下调用 transferFrom 函数转走用户A的50个积分。 **漏洞代码片段** ```solidity function approve(address _spender, uint256 _value)...
Metadata
Owner
Metadata
Solidity智能合约库，包含了基础类型到上层业务的一系列智能合约库代码，便于开发者借鉴、引入和复用。