Learning với First Flight #1: PasswordStore

// SPDX-License-Identifier: MIT
pragma solidity 0.8.18;

/*
 * @author not-so-secure-dev
 * @title PasswordStore
 * @notice This contract allows you to store a private password that others won't be able to see. 
 * You can update your password at any time.
 */
contract PasswordStore {
    error PasswordStore__NotOwner();

    address private s_owner;
    string private s_password;

    event SetNetPassword();

    constructor() {
        s_owner = msg.sender;
    }

    /*
     * @notice This function allows only the owner to set a new password.
     * @param newPassword The new password to set.
     */
    function setPassword(string memory newPassword) external {
        s_password = newPassword;
        emit SetNetPassword();
    }

    /*
     * @notice This allows only the owner to retrieve the password.
     * @param newPassword The new password to set.
     */
    function getPassword() external view returns (string memory) {
        if (msg.sender != s_owner) {
            revert PasswordStore__NotOwner();
        }
        return s_password;
    }
}

1, Phân tích code

if (msg.sender != s_owner) {
   revert PasswordStore__NotOwner();
}

constructor() {
    s_owner = msg.sender;
}

• Constructor được sử dụng để thiết lập các giá trị ban đầu cho các biến trạng thái ví dụ:

constructor(string memory _name, uint256 _price) {
        name = _name;
        price = _price;
        owner = msg.sender; // Địa chỉ người triển khai hợp đồng trở thành chủ sở hữu
    }

• Bất kỳ logic nào cần được thực hiện chỉ một lần khi hợp đồng được tạo ra có thể được đặt trong constructor

• Constructor có thể nhận các tham số đầu vào từ người triển khai hợp đồng

constructor(uint256 _goal, uint256 _durationInDays) {
        owner = payable(msg.sender); // Người triển khai trở thành chủ sở hữu và có thể nhận tiền
        goal = _goal; // Mục tiêu gây quỹ (tính bằng wei)
        deadline = block.timestamp + (_durationInDays * 1 days); // Thời hạn gây quỹ
    }

function setPassword(string memory newPassword) external {
        s_password = newPassword;
        emit SetNetPassword();
}

function getPassword() external view returns (string memory) {
        if (msg.sender != s_owner) {
            revert PasswordStore__NotOwner();
        }
        return s_password;
    }

2, Tìm lỗ hổng

2.1. Improper Input Validation

2.2. Incorrect Calculation

2.3. Oracle/Price Manipulation

2.4. Weak Access Control

2.5. Replay Attacks/Signature Malleability

2.6. Rounding Error

2.7. Reentrancy

2.8. Frontrunning

2.9. Uninitialized Proxy

2.10. Governance Attacks

3, Viết testcase

3.1. Bất kỳ ai cũng có thể set được mật khẩu

function test_owner_can_set_password() public {
        vm.startPrank(owner);
        string memory expectedPassword = "myNewPassword";
        passwordStore.setPassword(expectedPassword);
        string memory actualPassword = passwordStore.getPassword();
        assertEq(actualPassword, expectedPassword);
    }

function test_not_owner_can_set_password() public {
        vm.startPrank(address(1));
        string memory expectedPassword = "myNewPassword";
        passwordStore.setPassword(expectedPassword);
    }

3.2. Mật khẩu dễ dàng bị lộ khi lưu trên hợp đồng

• Đầu tiên là set mật khẩu

• Tiếp đến sẽ thực hiện load biếnpasswordStore trong bộ nhớ

• Convert thành string

• Và in ra console

function test_not_owner_can_get_password() public {
        vm.startPrank(owner);
        string memory expectedPassword = "myNewPassword";
        passwordStore.setPassword(expectedPassword);

        uint256 S_PASSWORD_STORAGE_SLOT_VALUE = 1;
        bytes32 slotData = vm.load(
            address(passwordStore),
            bytes32(S_PASSWORD_STORAGE_SLOT_VALUE)
        );
        string memory anyoneCanReadPassword = string(
            abi.encodePacked(slotData)
        );
        
        console.log(anyoneCanReadPassword);
    }

4, Fix lỗi

if (msg.sender != s_owner) {
    revert PasswordStore__NotOwner();
}