TRON漏洞：通過耗盡內存和CPU來引發DoS_TRO:tronlink錢包哪個國家的

簡介：單個請求向/wallet/deploycontract提交幾兆字節碼以及CPU密集型長解析將消耗CPU大約10分鐘，同時仍然在堆中保存幾兆字節碼。發起足夠的請求，足以使用所有可用線程來處理傳入的HTTP請求，填滿內存并導致產生拒絕訪問。

描述：

*從一個很大的帶有大指數的十進制數中獲取longValue非常慢。例如newBigDecimal("10000000e100000000").longValue();這段代碼大約需要2-3分鐘才能在較新的macbookpro中運行完成。*/wallet/deploycontract有6個字段，它們從解析的json對象中獲取longValue，即token_id，call_token_value，fee_limit，call_value，consume_user_resource_percent，origin_energy_limit。這意味著單個請求可以使用最多12分鐘的線程。*當一個線程被鎖定12分鐘/deploycontract時，整個字節碼也會放入內存中，這會占用內存并過早地將對象從eden內存空間移動到舊的內存空間*一旦將對象移動到舊的存儲空間，當指針被釋放時將很難清理它們，因此GC會在嘗試清理之前卡住。請注意gc日志和屏幕截圖，其中內存在攻擊停止后很長時間內保持在3G狀態。

波場TRON世紀挖礦總鎖倉值（TVL）已超過42億美金:據最新數據，波場TRON世紀挖礦總鎖倉值（TVL）再創新高，已超過42億美金。據悉，波場TRON世紀挖礦已于3月8日21:00(SGT)正式啟動。首期活動時間為：3月8日21:00至4月5日20:59 (SGT)，通過在挖礦平臺：SUN.io、JustLend.org 、JustSwap.org進行LP與Lend質押，使用波場TRON支持的錢包（TronLink、TokenPocket、imToken、BitKeep等）進行挖礦。此外，Binance Launchpool明星項目BTCST（Bitcoin Standard Hashrate Token）已正式上線SUN.io，開啟 BTCST-TRX LP流動性挖礦，現在參與波場TRON世紀挖礦即可獲得 TRX、SUN、BTT、JST、WIN、BTCST六種代幣獎勵。挖礦倍速高達15倍，用戶可享受豐厚的挖礦補貼和極速體驗。更多詳情見官網。[2021/4/1 19:36:22]

參考：

波場TRON世紀挖礦總鎖倉值（TVL）已超過27億美金:3月20日，據最新數據顯示，波場TRON世紀挖礦總鎖倉值（TVL）已超過27億美金。據悉，波場TRON五幣齊挖“世紀挖礦“已經于3月8日21:00(SGT)正式啟動。首期活動時間為：3月8日21:00至4月5日20:59 (SGT)，通過在挖礦相關平臺：SUN.io、JustLend.org 、JustSwap.org進行LP與Lend質押，使用波場TRON支持的錢包（TronLink、TokenPocket、imToken、BitKeep等）進行挖礦。

與此同時，挖五幣交易對也可以獲得項目方代幣，實現多幣互挖。波場TRON基金會將聯合BitTorrent、JUST、SUN、WIN基金會，按照項目方贊助資金比例排名，最高補貼50%，最高總補貼每日100萬美金等值的TRX、BTT、JST、SUN、WIN大禮包（統稱為波場TRON大禮包）。

目前項目方正踴躍報名中，詳情見官方公告。[2021/3/20 19:02:55]

jconsole代表內存，CPU和線程的截圖

動態 | ETH/EOS/TRON/IOST四大公鏈DApp活躍度：ETH用戶數最多:據 DAppTotal 10月21日數據顯示，過去一周，綜合對比ETH、EOS、TRON、IOST四大公鏈的DApp生態情況發現：總用戶量(個): ETH(225,977) > EOS(142,960) > TRON(64,927) > IOST(6,094)；總交易次數(筆)：EOS(35,488,267) > TRON(8,694,022) > ETH(1,096,422) > IOST(569,143)；總交易額(美元)：EOS(155,158,719) > TRON(50,594,323) > ETH(33,030,860) > IOST(2,616,004)；跨四條公鏈按用戶量TOP3 DApps為：Hash Baby(EOS)、Dice(EOS)、DDEX(TRON)；按交易次數TOP3 DApps分別為：Hash Baby(EOS)、Dice(EOS)、EosBlue(EOS)；按交易額TOP3 DApps分別為：Newdex(EOS)、RocketGame(TRON)、WINk(TRON)。[2019/10/21]

gclog來顯示JVM進入無限的GC并且仍然無法釋放內存

修復建議

JSONObject.parse使用Feature.UseBigDecimal.getMask;默認情況下。不使用BigDecimal會解決問題，但可能會在需要BigDecimal的其他地方引入問題。

如果整個字節碼一直沒有放入內存中那就好了。

影響使用單臺計算機，攻擊者可以向所有或51％的SR節點發起DDOS攻擊，并使Tron網絡無法使用。

Tags：TROtronRONEOStronlink波寶錢包騙局tronlink錢包哪個國家的Final Frontiereosdac幣怎么沒了

fil幣價格今日行情