随着越来越多的人参与区块链行业，同时为该行业注入了新的活力，由于相关知识的薄弱和缺乏安全意识，它也为攻击者提供了更多的机会。面对频繁发生的安全事件，SlowMist发布了一系列区块链安全入门笔记，介绍了与区块链安全相关的术语，以便新手可以更快地适应危机重重的区块链安全攻防世界。超出权限访问攻击与传统安全性的定义相同。超出权限是指访问或执行超出当前帐户权限的操作。例如，某些操作只能由合同管理员执行，但限制并不严格，导致密钥操作也可以由合同管理员以外的其他人执行，从而导致不可预测的风险。这种攻击在以太坊和EOS上已经出现过很多次了。以EOS上著名的BetDice游戏为例。由于未在游戏合约（EOS中的可自定义事件转发器）的路由中严格验证源帐户，因此普通用户可以通过推送操作来访问源帐户。合同中的关键操作转移功能直接绕过转移过程进行投注，从而导致未经授权的攻击。此后，尽管BetDice正式紧急修复了代码并严格限制了源帐户，但此漏洞使攻击者几乎免费。 BetDice奖池中有将近50,000个EOS。另一个例子是当以太坊使用solidity 0.4.x版本进行合同开发时，许多合同开发人员不仅在编写关键功能时没有添加权限验证，而且没有指定功能可见性。在这种情况下，该功能的默认可见性是公共的，恶意用户可以通过这些不受限制的关键功能来攻击合同。 SlowMist安全团队建议智能合约开发人员在开发合约时应注意验证关键功能的权限，以防止关键功能被非法调用并导致合约受到攻击。交易顺序取决于攻击交易顺序攻击在区块链世界中，一个交易可能包含多个不同的交易，这些交易的执行顺序会影响该交易的最终执行结果，因为在挖掘机制方面在区块链中，事务在打包之前处于挂起状态。如果恶意用户事先知道交易中还执行了哪些其他交易，则恶意用户可以通过增加矿工的交易费用来发起交易。首先打包了一个事务，这破坏了事务的顺序，导致意外的执行结果，并造成了攻击。以以太坊为例。如果有令牌交易平台，则通过调整合同中的参数来实现该平台上的交易费用。如果平台项目方有一天通过一项交易请求提高了交易费用，则交易将为：包装后所有代币买卖的交易费用必须增加。正确的逻辑应该是，必须增加从此交易开始以来所有代币买卖交易的费用，但是由于交易从发行到打包，存在一定的延迟。此时，请求修改交易费用的交易不会立即生效，然后恶意用户可以先用更高的费用打包其交易，以避免支付更高的费用。 SlowMist安全团队建议明智的合同开发人员在开发合同时要注意交易顺序对交易结果的影响，以防止由于不同的交易顺序而导致合同受到攻击。巫婆袭击赛比勒袭击（Sybil Attack）有传言说，女巫是一个神奇的人，一个人可以幻想多个自己，使受害者认为有多个人，但实际上只有一个人。在区块链世界中，Sybil Attack是对服务器节点的攻击。当发生攻击时，恶意节点可以假装为多个节点，并向被攻击节点发送链接请求，达到该节点的最大链接请求，导致该节点无法接受其他节点的请求。导致节点拒绝服务攻击。以EOS为例，由SlowMist安全团队披露的EOS P2P节点拒绝服务攻击实际上是一种sybil攻击。攻击者可以以非常小的攻击成本实现使主节点瘫痪的目标。有关详细信息，请参阅：https://github.com/slowmist/papers/blob/master/EOSIO-P2P-Sybil-Attack/zh.md SlowMist安全团队建议在构建