📚 课程目录第3章区块链与EVM运行机制

区块链与EVM运行机制：交易生命周期、Gas机制、存储布局、ABI编码与调用数据解析

智能合约安全审计的根基在于对EVM（以太坊虚拟机）运行机制的深刻理解。绝大多数漏洞——无论是重入攻击、整数溢出、还是权限校验绕过——其本质都是攻击者利用了EVM在交易处理、Gas计量、数据存储或调用数据解析中的特定规则。本章将沿着一条交易从发起到最终落账的完整路径，拆解EVM的核心运行机制，并重点剖析与安全审计直接相关的存储布局、ABI编码和函数选择器原理。只有透彻理解这些底层规则，审计师才能准确判断漏洞的触发条件与影响范围。

上图展示了交易从发起到EVM执行完毕的完整链路。审计师需要特别关注的是：交易在进入交易池时仅做基础验证，真正的状态变更发生在EVM执行阶段；而执行阶段的所有行为都受Gas机制约束，一旦Gas耗尽，所有状态变更将被回滚。下面我们将逐一深入这些核心环节。

3.1 交易生命周期：从签名到状态落账

3.1.1 核心原理：交易的六个阶段

一笔以太坊交易的生命周期可以划分为六个关键阶段，每个阶段都有其特定的验证规则和安全边界：

交易构造：EOA（外部拥有账户）构造交易对象，包含nonce、gasPrice（或maxFeePerGas/maxPriorityFeePerGas）、gasLimit、to、value、data、chainId等字段。
本地签名：使用私钥对交易哈希（RLP编码后的keccak256哈希）进行ECDSA签名，生成v、r、s三个签名分量。
广播与交易池：签名交易广播至P2P网络，节点验证签名有效性、nonce是否连续、账户余额是否足够支付最大Gas费用。
区块打包：矿工或验证者从交易池中选择交易，按优先级排序后打包进区块。此时会执行交易的初步检查（如gasLimit是否小于区块剩余Gas）。
EVM执行：区块执行阶段，EVM逐笔执行交易。先扣除gasLimit×gasPrice的预授权费用，然后执行字节码，最终退还未使用的Gas。
状态落账：执行成功后，交易收据（Transaction Receipt）记录状态根、Gas使用量、日志（Logs）等，状态树更新。

审计要点：交易生命周期中的安全边界在于——签名验证只保证交易由私钥持有者发出，并不保证交易内容的安全性。攻击者可以构造任意data字段调用合约的任何公开函数。审计时必须假设所有calldata都是不可信的输入。

3.1.2 判断方法：交易字段的审计视角

交易字段	正常范围	攻击场景	审计关注点
nonce	当前交易数	重放攻击（跨链/分叉）	检查链ID是否参与签名
gasPrice	市场波动	低Gas攻击（交易卡死）	合约逻辑不应依赖gasPrice
gasLimit	≥21000	Gas耗尽导致回滚	复杂函数需评估Gas上限
value	≥0	整数溢出/精度损失	检查value与内部记账一致性
data	ABI编码	恶意selector/参数溢出	验证函数签名与参数边界

3.1.3 案例拆解：重放攻击的跨链风险

假设某DApp在以太坊主网和测试网部署了相同地址的合约（通过CREATE2确定性部署）。用户在测试网发起一笔交易，该交易的签名数据如果未包含chainId（EIP-155之前），攻击者可以将此交易原封不动地在主网广播。由于nonce、gasPrice、data完全相同，主网节点会认为这是一笔合法交易并执行。

修复方案：强制使用EIP-155签名（v值编码chainId），或在合约层引入nonce+chainId的联合校验。审计时需检查合约是否依赖交易签名中的chainId字段。

3.2 Gas机制：成本模型与安全边界

3.2.1 核心原理：Gas的计量与消耗

Gas是EVM执行指令的计量单位，每笔交易必须指定gasLimit（愿意消耗的最大Gas量）和gasPrice（每单位Gas愿意支付的价格）。EIP-1559之后，Gas费用分为基础费（baseFee，被销毁）和优先费（priorityFee，给矿工/验证者）。

关键指令的Gas成本：

算术/逻辑操作：3-10 Gas（ADD、SUB、MUL等）
内存访问：MLOAD/MSTORE 3 Gas，内存扩展按3 Gas/word递增
存储操作：SSTORE冷存储20000 Gas（从0到非0），热存储5000 Gas（修改非0值），清零返还15000 Gas
外部调用：CALL基础700 Gas，加上传递的Gas
日志：LOG0 375 Gas，每增加一个topic加375 Gas，每字节数据加8 Gas

  审计启示：Gas机制直接关联两类漏洞——Gas耗尽型拒绝服务（攻击者构造高Gas消耗路径使合约无法执行）和Gas退款操纵（利用SSTORE退款机制在重入中获利）。

3.2.2 判断方法：Gas相关漏洞的识别清单

循环无界：遍历动态数组或映射时，如果循环次数由用户输入控制，可能导致Gas耗尽。
存储密集操作：频繁SSTORE写入大数组，单笔交易Gas可能超过区块GasLimit。
Gas退款重入：合约在状态更新前调用外部合约，攻击者利用退款机制在重入中重复获取收益。
Gas价格预言机依赖：合约逻辑依赖tx.gasprice，可能被矿工操纵。

3.2.3 实战场景：无界循环的Gas攻击

某空投合约允许用户批量领取奖励，函数claimBatch(address[] calldata recipients)遍历数组并逐个转账。攻击者构造一个包含10000个地址的数组，每个地址的转账操作消耗约5000 Gas，总Gas约5000万，远超区块GasLimit（约3000万）。交易永远无法被打包，合约功能被冻结。

修复方案：限制单次批量操作的最大数量，或改为拉取模式（用户自行领取）。审计时需检查所有循环的边界是否受控。

3.3 存储布局：Storage/Memory/Stack三者的安全语义

3.3.1 核心原理：三种数据位置的差异

维度	Storage	Memory	Stack
持久性	永久保存	调用结束后清空	函数执行后清空
寻址	256位键值对（槽位）	线性字节寻址	LIFO（后进先出）
访问成本	高（SLOAD 2100/800）	中（MLOAD 3）	极低（PUSH 3）
数据宽度	32字节/槽	1字节粒度	32字节/元素
声明位置	状态变量	函数内局部变量	EVM操作数

存储布局的规则由Solidity编译器决定，但审计师必须理解其底层逻辑：状态变量按声明顺序从槽0开始排列，每个槽32字节；如果多个连续变量能塞进一个槽（如uint128+uint128），则共享槽位；映射和动态数组使用keccak256哈希计算实际存储位置。

3.3.2 判断方法：存储布局的审计要点

槽位冲突：结构体或数组的元素可能意外覆盖相邻变量。
未初始化指针：引用类型（如struct、array）未初始化时指向存储槽0，可能覆盖第一个状态变量。
代理合约存储冲突：代理合约与逻辑合约的存储布局必须完全一致，否则升级后数据错乱。
Storage与Memory混用：将storage引用赋值给memory变量会导致数据拷贝，反之则可能产生悬垂引用。

3.3.3 案例拆解：未初始化存储指针漏洞

经典漏洞示例（Ethernaut挑战）：

contract Motorbike {
    address public upgrader;
    // 漏洞代码
    function init() external {
        upgrader = msg.sender;
    }
}
// 攻击者调用init()后，由于upgrader未初始化，实际写入槽0
// 如果合约有委托调用，攻击者可控制整个合约

在Solidity 0.8.x中，未初始化的storage指针默认指向槽0。攻击者通过构造特定调用，将恶意数据写入槽0，从而覆盖关键状态变量。审计时需检查所有storage指针是否显式初始化。

3.4 ABI编码与函数选择器：调用数据的解析规则

3.4.1 核心原理：Calldata的二进制结构

一笔交易调用合约函数时，calldata的前4字节是函数选择器（Function Selector），计算方式为：keccak256("函数签名")[0:4]。例如transfer(address,uint256)的选择器是0xa9059cbb。

参数编码规则：

静态类型（uint、address、bool、bytes32等）：直接按32字节对齐填充，不足高位补0。
动态类型（string、bytes、数组）：先编码偏移量（offset），指向数据实际位置；再编码长度（length）；最后编码数据。
嵌套类型：递归应用上述规则，偏移量相对于calldata起始位置。

3.4.2 判断方法：ABI解析的常见陷阱

陷阱类型	攻击方式	审计对策
选择器碰撞	构造不同签名但相同前4字节	使用完整签名验证
参数截断	calldata长度不足，EVM自动补0	检查calldata长度与预期是否一致
偏移量溢出	动态类型偏移指向calldata之外	验证偏移量+长度≤calldata长度
整数溢出	uint256参数传入超大值	在合约内做边界检查

3.4.3 实战场景：选择器碰撞攻击

假设合约有两个函数：execute(address,uint256)和execute(uint256,address)。两者的选择器可能相同（概率约1/2^32）。攻击者构造calldata，使EVM解析出的函数签名与开发者预期不同，从而绕过权限校验。

防御措施：在函数内部使用msg.sig与预期值比较，或使用require(msg.data.length == expectedLength)验证calldata长度。

3.5 常见误区与总结复盘

审计师高频误区：

误区一：认为Storage变量在函数内修改后立即生效——实际上SSTORE在函数结束时才写入，但读取时能看到当前事务内的修改。
误区二：混淆Memory与Storage的拷贝语义——storage赋值给memory是拷贝，memory赋值给storage是拷贝，但storage引用赋值给storage是引用传递。
误区三：忽略calldata的不可篡改性——calldata是只读的，但可以通过CALLDATALOAD读取任意偏移。
误区四：认为Gas退款是即时到账——退款在交易结束后统一计算，且退款上限为交易Gas消耗的一半。

本章复盘清单：

交易生命周期中，签名验证≠安全验证，calldata必须视为不可信输入。
Gas机制是DoS攻击的常见入口，检查所有循环和存储操作的上限。
存储布局的槽位冲突和未初始化指针是Solidity特有的高危漏洞。
ABI编码的偏移量计算必须严格验证，防止越界读取。
函数选择器碰撞概率虽低，但在高价值合约中仍需防御。