智能合约 字符串长度扩展攻击（Length Extension Attack）

当智能合约使用了不安全的哈希函数实现字符串签名验证时，攻击者可以利用字符串长度扩展攻击来伪造有效的签名，从而欺骗智能合约执行非授权操作。下面是一个可能的攻击案例：

假设我们有一个智能合约，用于存储和验证用户的个人信息。该合约包含一个名为 setInfo 的函数，用于设置用户信息，以及一个名为 verify 的函数，用于验证用户信息的签名是否有效。具体来说，合约代码如下所示：

pragma solidity ^0.8.0;

contract UserInfo {
    struct User {
        string name;
        uint256 age;
        uint256 salary;
    }

    mapping(address => User) public users;

    function setInfo(string memory name, uint256 age, uint256 salary) public {
        users[msg.sender] = User(name, age, salary);
    }

    function verify(string memory name, uint256 age, uint256 salary, bytes memory signature) public view returns (bool) {
        bytes32 messageHash = keccak256(abi.encodePacked(name, age, salary));
        address signer = recoverSigner(messageHash, signature);
        return signer == msg.sender;
    }

    function recoverSigner(bytes32 messageHash, bytes memory signature) internal pure returns (address) {
        bytes32 r;
        bytes32 s;
        uint8 v;

        // signature是长度为65的字节数组，其中前32字节是r，接着32字节是s，最后一个字节是v
        assembly {
            r := mload(add(signature, 32))
            s := mload(add(signature, 64))
            v := byte(0, mload(add(signature, 96)))
        }

        // 计算签名者的地址
        return ecrecover(messageHash, v, r, s);
    }
}

在这个示例中，我们假设 setInfo 函数已被授权调用者所调用，并将用户信息存储在映射表 users 中。为了验证用户信息的签名是否有效，我们使用了不安全的 keccak256 哈希函数对用户信息进行哈希运算。攻击者可以利用字符串长度扩展攻击来伪造一个有效的签名，以达到篡改用户信息的目的。

假设攻击者想要将名为 Alice 的用户信息的工资从 5000 提高到 10000。攻击者可以使用以下步骤来执行攻击：

1. 计算原始信息的哈希值。假设 Alice 的信息为 { "Alice", 25, 5000 }，则原始哈希值为：

bytes32 messageHash = keccak256(abi.encodePacked("Alice", 25, 5000));

2. 计算哈希值的扩展。攻击者可以将已知的哈希值与其他数据连接起来，从而伪造出一个新的哈希值，使其看起来是针对原始消息进行的签名。例如，攻击者可以连接一个额外的字符串 "100

为了防止这种攻击，我们需要在哈希运算中添加一个随机的 "盐" 值，从而使得攻击者无法通过简单地连接数据来构造有效的哈希值。例如，我们可以将Alice 的信息和某个随机字符串连接起来，然后对连接后的字符串进行哈希运算，如下所示：

bytes32 salt = 0x12345678;
bytes32 messageHash = keccak256(abi.encodePacked("Alice", 25, 5000, salt));

这样一来，攻击者就无法在不知道随机 "盐" 值的情况下进行长度扩展攻击，从而提高了代码的安全性。