关键词： 智能合约   漏洞检测   可疑漏洞路径   状态变量   交易序列  

摘要： 智能合约是区块链技术最成功的应用之一,在区块链生态系统中处于举足轻重的地位。然而随着智能合约日益普及,智能合约相关安全事件频频发生,所以智能合约的安全性问题成为国内外研究的重点。本文重点对智能合约的安全漏洞检测方法展开研究,对于现有方法存在的不足,提出针对性的改进。具体工作如下: (1)针对于现有跨合约漏洞检测工具因静态跨合约控制流图分支的不可达和交易中函数不同执行顺序影响检测结果而导致漏洞检测正确率低的问题,本文提出了基于动态控制流图和状态变量参数化的跨合约漏洞检测方法,通过该方法可以将智能合约实际执行得到运行操作码,结合编译信息通过动态执行辅之静态分析方式对状态变量进行参数化、动态构建跨合约控制流图,这对于准确检测跨合约漏洞至关重要。通过实验证明本方法在检测跨合约漏洞方面明显优于其他最先进的检测工具,即准确率94.6%,召回率92.3%。 (2)针对于现有模糊测试工具以高代码覆盖率为目标的智能合约漏洞检测策略而导致深层嵌套条件分支下漏洞难以触发的问题,提出了基于可疑漏洞路径导向的智能合约漏洞检测方法,通过该方法,可以事先通过可疑漏洞特征操作码得到可疑漏洞路径,比对智能合约交易执行得到的真实交易执行路径,利用符号执行反向求解,以达到和可疑漏洞路径重合的目的。同时,为了改进模糊器中遗传算法的缺陷,本文提出了标签引导进化算法,通过交易携带的标签来更为精确地引导交叉、变异。最后,通过实验证明本方法相较于其他方法在漏洞检测正确率上提升可达99.5%,召回率可达91.8%;漏洞检测速率最高可提升29.8倍。 (3)针对现有模糊测试工具在构建交易序列过程中难以生成有效触发漏洞的交易序列问题,提出了基于静动态结合的智能合约漏洞检测方法。该方法通过操作码源码映射图静态分析可疑漏洞路径中是否存在状态变量来引导交易之间交叉,模糊测试动态分析交易执行路径中是否存在函数参数来引导是否启用符号执行,以达到快速生成最短能够检测出漏洞的交易序列。最后,通过实验证明本方法不仅在生成交易序列有效性上突出,长度可缩短至原先的0.43倍,而且在召回率和速率上也优于现有智能合约模糊测试工具,证明了该方法的有效性。

关键词： 智能合约   模糊测试   漏洞检测   自适应遗传算法   符号执行  

摘要： 近年来,随着区块链技术的崛起,智能合约也随之迅速发展,并应用于各行各业。然而智能合约存在的漏洞可能导致严重的后果,如资产丢失、系统崩溃等安全问题。模糊测试因其低误报的特性已经成为了智能合约安全检测的主流方法之一,但是由于其代码覆盖度的不足和检测效率低下,并且面对特定逻辑或场景下的漏洞漏报率高的问题,影响了对智能合约的检测能力。针对这些问题本文提出了基于自适应遗传算法与关键指令的智能合约漏洞检测方法。本文主要工作如下: (1)基于自适应遗传算法的模糊测试模型。当前模糊测试工具随机生成大量的测试输入,由于随机性过高导致代码覆盖度偏低,并且很多无效的测试用例被合约执行,导致模糊测试的效率变低。因此本文提出了基于自适应遗传算法的模糊测试模型。该模型使用自适应遗传算法生成测试用例,通过对检测过程中的代码覆盖度和数据依赖度的分析来引导算法的进行,并且根据当前生成测试用例的多样性和有效性,动态调整算法执行过程中的交叉概率和变异概率,这样可以在多个测试迭代中逐渐优化测试用例的质量。根据实验结果显示,本文的模型与其他检测合约漏洞的工具相比,具有更高的代码覆盖度和检测效率。 (2)基于关键指令约束求解的符号执行模型。当前模糊测试工具可能无法有效地识别那些特殊逻辑或场景下的安全漏洞,这些安全问题通常需要通过特定的输入序列来触发。因此本文提出了一种基于关键指令约束求解的符号执行模型。针对不同漏洞,本文定义了触发漏洞的关键指令和相应的漏洞检测规则。基于关键指令提取执行路径,基于检测规则产生路径约束并生成关键路径。最后使用约束求解器求解约束,生成导致漏洞关键路径执行的输入数据。根据实验结果展示,本文的方法对于漏洞的检测有更高的检出率和更低的漏报率。 (3)在以上研究成果的基础上,本文设计并实现了一种基于自适应遗传算法与关键指令的漏洞检测系统。能够在线为用户上传的合约进行漏洞检测并给出详细报告,为用户提供清晰的问题定位,有效预防安全风险。通过对现实世界中合约的检测,证明了本系统的实用性和可靠性。

关键词： 追续权   传统合约   智能合约   区块链  

摘要： 追续权制度自法国创设至今已有百年历史,在此期间一直备受争议。我国曾于《著作权法》修改草案中增设了追续权制度,但最终未被保留。在设定追续权制度的国家,通常是采用集体管理组织的方式对追续权的实现予以制度保障,而未设立追续权的国家如中国、美国等则是通过合同约定方式实现追续权。追续权制度的顺利实施和有效运行必须依赖于每一笔交易信息的准确性,在为交易双方做好信息保密的同时,还要保证信息的即时和透明,这对追续权的实施和管理提出极高的要求。当前,无论是集体管理组织方式还是传统合约方式均无法完全保障追续权的实现。 区块链技术能够详细记载每一笔交易信息,通过智能合约的应用还能自动为艺术家分配转售利益,这些都与追续权制度完美契合,可以弥补当前追续权实现方式的不足。然而,现阶段区块链智能合约技术仍面临法律构造难题。应完善智能合约应用于实现追续权上的法律基础,明确智能合约满足“要约——承诺”要件,将其纳入《民法典》合同编进行规制。明确线上艺术品交易平台是一种新兴网络服务提供者的法律地位,平台与买卖三方之间形成合同法律关系,并对平台责任从严把握,不适用“避风港原则”。 智能合约或将成为实现追续权的最佳方式,但仍存在大量技术、商业及法律难题。为解决这些难题,应在我国推广适用NFR、用联盟链代替公有链;加快区块链智能合约相关领域立法、明确现有艺术品交易平台采用智能合约实现追续权的多方法律关系及平台责任并形成统一标准、尽快将追续权制度写入《著作权法》;创新追续权保障新平台,探索官方区块链平台在版权领域的扩展应用,明确政府干预与合约自治的边界,以此完成对智能合约实现追续权的路径探索。

关键词： 区块链   智能合约   漏洞检测   中间表示   符号执行  

摘要： 区块链是一种去中心化的分布式账本技术,用于记录和追踪交易数据的变更历史。通过共识算法,它能够确保交易数据的可靠性和安全性。智能合约是建立在区块链技术之上的自动化协议,能够在无需第三方干预的情况下,自动执行合约中的各项条款。借助区块链的去中心化及不可篡改的特性,智能合约为各行业带来了广泛的机遇。然而,尽管智能合约具有许多优势,但同时也面临着一系列挑战和风险。特别是那些存在安全漏洞的智能合约,一旦受到攻击,可能会导致用户资金损失、数据泄露等严重后果。因此,对智能合约漏洞检测方法进行研究具有十分重要的意义。 中间表示是一种高效的智能合约漏洞检测方法,能够检测重入、时间戳依赖等安全漏洞,同时还能够降低性能开销。然而,由于智能合约功能的复杂性和独特性,中间表示方法在分析智能合约时存在语义转化不完善的问题,这在一定程度上影响了其漏洞检测的全面性和精确性。此外,通过在符号执行中使用约束求解器对整数溢出表达式进行建模,可以有效地检测智能合约中的整数溢出漏洞。然而,该方法存在路径爆炸问题,在面临较为复杂的智能合约时,会增加程序的执行时间和资源消耗,从而导致检测效率较低。 本文针对以上问题对智能合约漏洞检测方法进行研究,具体研究内容如下: (1)针对中间表示检测重入漏洞、委托调用漏洞、拒绝服务漏洞、自毁漏洞、时间戳依赖漏洞以及交易顺序依赖漏洞产生的误报以及漏报问题,本文结合漏洞的原理及其防御机制提出了一种优化的智能合约漏洞检测策略。同时,由于对合约的语义进行转化是中间表示方法中重要的一个环节,该环节对中间表示检测漏洞的准确性产生直接的影响。因此,本文通过将合约字节码转换为更抽象且易于分析的三地址码形式的中间表示,进而将其转换为一组逻辑关系,以准确表达合约的语义信息。在此基础上,定义推理规则以丰富逻辑关系,使其能够表达合约中更复杂的语义信息。此外,定义一组基于语义事实的漏洞检测规则,用于检测智能合约中的六种重要漏洞。最后,对以太坊上的真实智能合约进行检测。实验结果表明,该方法在一定程度上提升了漏洞检测的准确率。 (2)针对路径爆炸导致的符号执行检测整数溢出漏洞效率较低的问题,本文提出了一种基于关键路径的符号执行方法来检测智能合约中的整数溢出漏洞。首先,通过静态分析识别合约中可能存在漏洞的关键节点,并采用启发式路径搜索策略探索相应的关键路径,以快速发现潜在的漏洞点。然后,进一步对关键路径进行优化处理,以便符号执行能够快速覆盖关键节点,避免盲目执行程序路径。此外,针对不同的整数类型发生溢出的情况,定义相应的漏洞检测逻辑,以实现更全面的整数溢出漏洞检测。在符号执行的过程中,使用约束求解器对收集的路径约束进行求解,以判断路径的可达性以及是否存在整数溢出漏洞。同时,引入污点分析技术将可能导致漏洞的程序输入和操作结果标记为污点,并跟踪其流向,以确定该污点是否可以达到程序的关键点。最后,对以太坊上真实智能合约进行检测,结果表明,该方法在漏洞检测的效率以及准确性方面均有提高。

关键词： EOSIO   智能合约   需求驱动   混合模糊测试   漏洞检测  

摘要： 随着区块链技术的迅速发展,作为其重要应用之一的智能合约受到了人们广泛关注。由于智能合约管理着众多加密数字资产,导致它比普通程序更容易成为被攻击的目标。近年来,一些针对EOSIO智能合约漏洞的攻击已经造成了严重的经济损失,因此,对智能合约进行漏洞检测以确保其安全性至关重要。目前,混合模糊测试是最流行的智能合约漏洞检测技术之一,该技术结合模糊测试和符号执行的特点来对程序进行检测。然而,现有混合模糊测试工具存在运行效率较低的问题,以及其符号执行阶段生成种子时存在路径爆炸、约束求解方法复杂冗余等问题,严重影响检测性能。为了解决这些问题,本文提出了一种需求驱动的混合模糊测试方案来检测EOSIO智能合约漏洞。主要工作内容如下: (1)针对混合模糊测试系统的运行效率较低问题,提出了一种基于需求驱动策略的运行效率优化方案。该策略通过解析模糊测试阶段生成的执行日志信息,分析是否有新的程序分支或断言语句被探索,并以此判断是否需要启用符号执行模块来辅助生成新的种子。若无需启用,则在当前轮次的测试迭代中跳过符号执行模块,这样即可简化系统的工作流程,进而提高运行效率。 (2)针对符号执行技术生成种子时存在的路径爆炸、约束求解方法复杂冗余等导致性能变差的问题,提出了基于路径剪枝策略、增量式约束求解方法以及路径优先级排序方法的性能提升方案。其中,路径剪枝策略通过去除与发现漏洞无关的路径,并为冗余的待求解路径约束保留唯一的符号约束来缓解路径爆炸问题;增量式约束求解方法通过匹配判断的方式仅求解那些包含先前测试迭代中未被探索分支的路径约束,从而进一步解决约束求解的冗余性问题;路径优先级排序方法则是对待探索的路径进行排序,旨在后续测试中优先探索更有利于发现漏洞的程序路径。 本文基于所提方案实现了一个名为WASAIUP的漏洞检测工具,并在一个包含3441个智能合约的数据集上对其进行全面评估。实验结果表明,WASAIUP在漏洞检测效率方面比当前最先进的漏洞检测工具更高,同时保持着更高的检测精准度。

关键词： 区块链   联盟链   智能合约   交易系统   评价体系  

摘要： 近年来,我国逐渐加强对区块链产业布局,积极推动区块链技术的研究与应用。作为区块链核心技术的智能合约具有去中心化、可溯源、自动执行等特性,被广泛的应用于知识产权、房地产、金融等交易。目前在智能合约实际交易场景中,大部分用户只是对交易结果进行简单的评价,并未对交易过程中的智能合约进行评价,存在不全面、不科学等问题。因此,需要在智能合约交易完成后,对智能合约的评价对象和评分函数进行研究,实现智能合约科学合理、客观公正地评价。 本文以智能合约服务交易为场景,构建适用于智能合约在交易过程中的综合评价模型,设计一套基于联盟链的智能合约交易评价系统。综合评价模型由三部分组成,其中包括评分模块及评价指标多层次的选取、评分函数的分层设计、评分模块及评价指标的权重分配,解决对智能合约在交易评价不规范的问题。本文主要研究内容包括以下方面。 (1)基于数学评分函数方法,首先结合智能合约交易评价系统中不同的评分模块,分层设计了用户评分函数和系统评分函数,然后分别适用于用户评分模块和合约创建者评分模块,统一模块的评分标准。 (2)以智能合约服务交易为基础,采用层次分析法和模糊综合评价法,设计多层次评分模块及评价指标、分层评分函数和评分模块及评价指标的权重分配,构建智能合约交易综合评价模型。 (3)为验证智能合约交易综合评价模型的可行性,本文使用智能合约和IPFS等技术,设计并部署了一套智能合约交易评价系统,对构建的综合评价模型进行验证,系统的主要功能进行测试,表明了综合评价模型的可行性和有效性和可行性。 本文基于智能合约交易构建了综合评价模型,设计了基于联盟链的智能合约交易评价系统,实现了智能合约评价的公平公正,提高了智能合约在实际的交易场景中的规范性。同时,该评价模型收集的评价数据,可以对智能合约不断优化,更好的服务于各种应用场景。

关键词： 区块链   共识机制   溯源   智能合约   肉牛产品  

摘要： 随着当今畜牧业的快速发展,畜牧产品已经成为人们日常生活中必不可少的消费品之一。然而当前市面上存在大量伪劣的畜牧产品,特别是假牛肉、注水牛肉等,严重损害消费者的权益,对消费者的身体健康带来了极大的安全隐患。为了保证畜牧产品的质量安全,建立来源可溯、过程可查、去向可追的溯源系统是一种行之有效的解决方式。但是,传统的溯源系统由中心化机构进行管理,容易出现单点攻击和单点故障等问题,给人工篡改数据埋下了隐患,同时,各供应商之间的信息孤岛也会给溯源过程带来阻力。因此,需要将区块链技术引入溯源系统中,借助区块链技术去中心化、数据不可篡改、公开透明等优势,打破各机构之间的信息壁垒,保证肉牛产品全过程数据的安全可靠,既可以提高肉牛产品的市场竞争力,也可以增强消费者的信心。基于上述考量,本文的主要研究工作包括以下两点: (1)针对区块链技术中传统共识机制存在的资源浪费、共识效率低下和寡头垄断等问题,提出多链决策反馈共识机制,用于应用在区块链溯源过程中。该共识机制涉及肉牛产品在养殖、屠宰、加工和销售等各个阶段,采用多链结构,主链整合子链,多条子链之间并发进行,可以提高共识过程效率,并起到数据隔离、链式容错的作用;引入共识组的概念,由共识组成员共同确定共识结果是否达成;通过领导者选举算法确定每轮共识过程中的领导者节点,确保可信度最高的节点有最大的概率当选为领导者节点;设置布隆过滤器,提高数据检索效率;子链领导者节点采用人工神经网络对肉牛数据进行决策,提高决策结果的泛化能力;采用特设的反馈过程和奖惩机制,避免节点作恶的可能性。最后,对多链决策反馈共识机制进行实验分析,证明该共识机制具备安全性和可用性。 (2)将提出的多链决策反馈共识机制与实际场景相结合,构建肉牛产品区块链溯源系统;搭载Hyperledger Fabric区块链平台;使用Go语言编写智能合约;采用Docker容器模拟区块链节点;使用docker-compose编排容器节点,运用星际文件系统对大体量数据进行链下存储,最后将系统部署在Ubuntu平台中。实施结果表明,系统可以通过溯源标识码对肉牛产品在养殖、屠宰、加工、销售过程中产生的数据进行溯源,能够满足肉牛产品的溯源需求,具备良好的应用价值。

关键词： 商业医疗保险   直付式理赔   环签名   智能合约  

摘要： 随着区块链技术的不断更新发展,以其去中心化、开放性、自洽性、信息不可篡改、匿名性等特点,该技术在法律行业、电力行业以及金融业的应用变得更加广泛,而对于商业医疗保险行业来说,保险公司和投保人之间经常出现纠纷,纠纷的缘由可能是投保人提供虚假的个人信息骗保,要么是保险双方在理赔过程中对保险合约的内容条款认定有所不同,因此,投保人与保险公司之间的纠纷变得更加敏感。 我国监管方对于保险理赔服务的改善越来越重视,多次发布了相关文件。然而,一些同商业健康医疗保险相关的保险理赔却仍然采用较为落后的买单式理赔,而直付式理赔在这些保险理赔中只占了极少的比例。买单式的这种理赔方式不足以满足保险用户对于医疗费用的直接结算的需求。另外,随着保险科技不断向理赔方向地发展,其在直付式理赔方面达到了一定的成熟度。直付式理赔可以通过针对特定保险公司的直接支付理赔来探索和解决商业健康保险领域的困境。 如何有效地实现直付式商业健康保险自动理赔是当前研究的重要突破点,因此,本研究在分析当前商业医疗保险的理赔的背景、相关理论和研究现状的基础上,聚焦商业医疗保险领域理赔困难这一问题,设计出一套基于可信验证的商业健康保险理赔系统。首先,通过研究区块链技术中hash算法、加密技术、分布式共识机制、merkle树、以太坊以及其中涉及到的智能合约技术,可以运用许可区块链的方式构建自己的区块链应用。具体方式是在区块链节点上部署智能合约算法,借助区块链去中心化以及数据不可篡改的特点,使得保险以及医疗隐私数据的存储更加的安全,保险的赔付过程更加的值得信赖。其次,本研究编写的商业健康医疗保险理赔智能合约具体分为用户登录合约、患者购买商业医疗合同合约和商业健康保险理赔交易合约,可实时查询自己的理赔情况,医疗机构可通过相关平台上传患者的医疗隐私数据,保险公司可通过平台制定患者合同以及对患者进行商业医疗保险理赔。 最后,本文提出的一种基于可信验证的直付式商业健康保险智能理赔机制,在患者提出理赔请求时,通过环签名技术验证用户身份的合法性;验证合法后,医院通过向量空间模型和词频-逆文档法将患者病例根据不同的权重比例计算当前病例中重叠部分与非重叠部分与病例库中其他同类型疾病的治疗方案间的相似值,将符合情况的患者可信医疗数据上传至星际文件传输系统,在智能合约内部通过部署的算法实现商业健康保险自动理赔,最后,以智能合约为中心,设计出一套自动理赔的商业医疗保险系统。实验证明,本文提出的模型在区块链的基础上实现了理赔全流程的自动化、实时化,缩短了理赔时效,减少了保险理赔纠纷。

关键词： 智能合约   漏洞检测   TEXTCNN模型   双向长短期记忆力网络   注意力机制  

摘要： 智能合约应用广泛且包含大额价值,黑客入侵、数码财富被偷、用户个人信息被泄漏等多样化的网络安全问题频繁发生,这极大地威胁到了互联网的持续发展以及用户的信赖感,更显示出智能合约漏洞检测的必要性。但前人研究中,将智能合约代码简单看作文本或完全转化为图形结构都无法全面提取智能合约中丰富的信息。基于此本文利用改进的Bi-Conformer结构融合Text CNN模型提出了CBTEXT模型,结合语义和结构特征进行智能合约漏洞检测,本文的主要工作如下: 首先,本文提出了一种智能合约漏洞检测方法,该方法实现了语义和结构特征的深度融合。实验结果充分证明,此方法不仅能够全面、细致地提取合约代码中丰富的语义信息和结构信息,还能有效关注代码的上下文信息,从而展现出更为出色的检测能力。 其次,本文提出了CBTEXT模型,创新地将Conformer模型和双向长短期记忆力网络融合进Text CNN模型,用于智能合约漏洞检测。实验结果显示本文提出的CBTEXT模型不仅能够深入探索合约代码中所蕴含的丰富语义信息与结构信息,还具备捕捉代码上下文信息的能力,因此在检测效果上表现超越传统方法,表现出良好的性能。 最后本文基于CBTEXT模型完成了基于语义和结构特征提取方法的智能合约漏洞检测系统实现,主要包括用户登录和漏洞检测模块,通过本系统,用户可以直观简洁地进行智能合约漏洞检测和结果查询,为开发人员维护智能合约安全提供了支持。