Solidity и смарт-контракты Ethereum, урок #17 | Низкоуровненые вызовы и безопасность

[@mrin0]

7:57: Через прямой вызов, `returns()` получить не проблема.

[@IlyaBodrovKrukowski]

Это правда

[@mrin0]

21:40 Взломать некорректно работающий контракта, который записывает `at` в `otherContract`, a `sender` в `owner` не самый лучший пример. Лучше чем никакого примера, но хотелось бы пример с условно работающим контрактом. 24:00: `uint(uint160(address(this)))`: избыточная запись, т.к. uint160 является подмножеством uint доступно неявное преобразование: `uint160(address(this))` 25:46: `owner` уже изменён на адрес атакующего контракта `Hack` при первой атаке через `attack()`

[@IlyaBodrovKrukowski]

@@mrin0 видимо, и это тоже так. Понимаете какое дело, я пока это всё записывал, сам учился, и там наверняка есть ошибки. Первое видео я когда записывал, то вообще почти ничего не знал о крипте

[@mrin0]

Да, всё нормально. Спасибо за ваш труд. Эти сообщения для тех кто будет разбирать код и для себя. Как-то так. Просто не всегда получается писать мягко.

[@IlyaBodrovKrukowski]

@@mrin0 да, я понимаю, благодарю

[@bst0080]

Гениальный контент,единственный на русском языке. Ваши ролики очень помогают в работе спасибо вам большое.

[@IlyaBodrovKrukowski]

Благодарю

[@fox_pranks]

Ура, спасибо за новый урок! Прекрасная подача материала :)

[@vladimireliseev7602]

Благодарю, Вы очень хорошо объясняете! И материал очень интересный!

[@IlyaBodrovKrukowski]

На здоровье

[@роматарасов-о8л]

Отличные уроки, очень помогают фулстаку понять web-3.0 штуки. в конторе в которой работаю очень часто встречаются проекты в которых помогают знания из ваших гайдов

[@IlyaBodrovKrukowski]

[@МаксимИванов-о4л]

Илья, разберите, пожалуйста, как-нибудь в своем новом виде как выложить НФТ своего контракта на OpenSea.

[@momotdmvi]

Есть 2 вопроса: 1. В каком случае функция возвращает не true? Должен сработать revert? Но тогда функция контракт прекратит выполнение 2. Сколько может быть вложенных delegatecall друг в друга?

[@Logi_Crypto]

Здравствуйте!Еще один вопросик: (1:24)"name = _name;" Нужно писать нижнее подчеркивание ибо "name" это внутреняя переменная функции setName?

[@IlyaBodrovKrukowski]

Ну да, это аргумент функции

[@Logi_Crypto]

@@IlyaBodrovKrukowski благодарю вас!

[@Евгений-в5ц3п]

Хотелось бы поднять тему о взаимодействии контрактов, например как сделать оплату токеном из другого Смарта или как сделать проверку что на баланс смарта поступил нужный нфт

[@momotdmvi]

Илья, добрый день. Спасибо за урок. Есть 2 вопроса: 1. В каком случае функция возвращает false? Должен сработать revert? Но тогда контракт прекратит выполнение, а вы говорите, что контракт будет продолжен. 2. Сколько может быть вложенных delegatecall друг в друга?

[@IlyaBodrovKrukowski]

Функция вернёт false, если call не прошёл. Тогда на строке require(success) всё остановится. Ну, а если такой строки нет, то в общем-то всё продолжился. Delegatecall - да в принципе не ограничено количество

[@w00ki3z4]

Здравствуйте! В первую очередь спасибо за ваш труд. Хотел спросить на счет аудита смарт контрактов. Можете вкратце написать роадмэп аудитора смарт контрактов. Что должен уметь, какими навыками обладать?

[@IlyaBodrovKrukowski]

Честно говоря, это не совсем по адресу вопрос, я этим не занимался. Но вообще из общих соображений нужно отлично знать EVM и Solidity, понимать инструкции assembly, знать все типичные атаки и уязвимости, т.е. короче говоря быть большим специалистом в области безопасности. Написание тестов лишним не будет.

[@white6006]

Познавательное видео. Можно еще сделать обзор по улучшениям ERC20 - ERC223, ERC777, ERC1363... Интересно будет узнать ваше мнение. Также про обновление контрактов на более новые версии (например как у токенов)

[@IlyaBodrovKrukowski]

Постараюсь!

[@googleadmin4749]

Мне все же не хватает видео про "области видимости", так же более подробные остановки на взаимодействие контрактов при наследовании или вот как в видео использованные решение, немного сумбурно показалось. Хотя казалось бы куда чем более ясно описано это "Мой контракт" это "Другой контракт" и тд, но на самом деле не показалось очевидным, все оно в одно сливается. Буду пересматривать.

[@IlyaBodrovKrukowski]

Ну, тут имеем, что имеем - это всё-таки бесплатная версия. В полном курсе про всё это куда подробнее, ссылка на него в описании под каждый видео

[@googleadmin4749]

@@IlyaBodrovKrukowski = ) да и так норм, доку еще нужно почитать и материала отложенного, а там глядишь и до курса не далеко будет

[@Receive_]

Спасибо за урок! Только я не пойму зачем в атакующем контракте дополнительная функция getData, которая якобы должна переопределить владельца? delegatecall и так пробросит адрес хакерского контракта в переменную sender, которая переназначит владельца. А второй вопрос по поводу второго параметра call - bytes memory data. Через него можно получить информацию об ошибке, если транзакция завершиться ошибкой?

[@IlyaBodrovKrukowski]

По getdata я уже там плохо помню, надо глянуть. В data будет returnvalue функции. Если нужно отследить ошибку, то используется try-catch

[@Receive_]

@@IlyaBodrovKrukowski спасибо за ответ

[@kirillpodolinniy309]

Здравствуйте, спасибо за ваши труды! Вопрос такой: на сколько много сейчас вакансий на солидити и, например скажем + питон? Высокий ли порог входа?

[@IlyaBodrovKrukowski]

Достаточно много: во всяком случае, я знаю, что студенты нашей школы постоянно ходят по разным собеседованиям и вариантов много. Зная Solidity и все сопутствующие инструменты, а ещё и плюс React, можно найти хорошую вакансию. Питон - не уверен, что много кому требуется, но минусом точно не будет

[@kirillpodolinniy309]

@@IlyaBodrovKrukowski Благодарю Вас за ответ:)

[@ingegov]

Привет, а можешь рассказать про создание своего токена и работу с ним ?

[@IlyaBodrovKrukowski]

Был стрим недавно про ERC20, см. на канале, мы как раз токен создавали

[@ingegov]

@@IlyaBodrovKrukowski спасибо

[@WithoutNickname666]

Илья, спасибо за урок! Есть такой вопрос : Функция receive() может потреблять не более 2300 газа. И в документации сказано что у нас не хватит газа на запись в хранилище. Означает ли это что используя receive() мы не сможем записать что либо, например, в mapping или просто изменить переменную в блокчейне?

[@IlyaBodrovKrukowski]

А откуда информация, что receive имеет такое ограничение? Вроде такое для transfer/send

[@WithoutNickname666]

@@IlyaBodrovKrukowski Да, действительно. Я ошибся. Прочитав документацию не верно понял информацию. Получается что если мы хотим что-то изменить в блокчейне, то нам нужно использовать низкоуровневый вызов, а не transfer/send?

[@IlyaBodrovKrukowski]

@@WithoutNickname666 Ну, там SSTORE стоит минимум 2900 газа, так что да

[@mrin0]

!

[@nim3981]

у remix есть автозаполнение? писать полностью синтаксис языка утомляет

[@IlyaBodrovKrukowski]

Нет, насколько мне известно. Используйте VS Code или что-то ещё с поддержкой Solidity

[@mair9206]

Когда продолжение по rspec?))

[@IlyaBodrovKrukowski]

Не знаю, если честно. Особенного интереса к этой серии я не увидел, к сожалению

[@mair9206]

@@IlyaBodrovKrukowski жаль( по rspec практически нет материала, на русском совсем нет

[@IlyaBodrovKrukowski]

@@mair9206 Я не то, что забросил мысль продолжить серию, просто она не сильно в приоритете, так скажем

[@cashbackeer5919]

понял только то, что delegateCall лучше не пользоваться)

[@IlyaBodrovKrukowski]

Нет, почему. Есть случаи, когда он необходим, см. видео про proxy

[@gilmanRU]

Большое спасибо за видео! Вопрос, когда лучше использовать call вместо interface? Ведь если есть данные о функциях стороннего контракта, то можно использовать оба варианта взаимодействия с контрактом (как через interface, так и с помощью call) с примерно одинаковыми возможностями?

[@IlyaBodrovKrukowski]

Call можно настроить по газу и в целом он более гибкий. Но для простых вызовов лучше через интерфейс работать - это банально удобнее

[@Nevybralnick]

25:29. Можно не писать вообще _timestamp, синтаксис это позволяет: function getData(uint) external payable {...}

[@IlyaBodrovKrukowski]

Это правда

[@mrin0]

Это, кстати, изменит selector функции getData и `delegatecall` не сможеn найти её в контракте `Hack`. ПОтому что селектор учитвает имя функции и типы передаваемых аргументов, т.е. `delegatecall` обращается по селектору заданному в изначальном вызове, а он содержит uint, а значит отличается от селектора который не содержит uint.

[@b33blebrox]

@@mrin0 Речь о том, что имя неиспользуемого аргумента можно не писать, а только тип, поэтому селектор никак не изменится

[@krahmaletskrakmalets7587]

А кто знает, владелец контракта может сделать смарт контракт публичным в любое время? Когда он уже работает?

[@IlyaBodrovKrukowski]

Смарт-контракт публичный в любом случае. Но изменить модификатор функции с public на private или обратно нельзя, если контракт уже опубликован, если вопрос в этом

[@krahmaletskrakmalets7587]

@@IlyaBodrovKrukowski Это понятно) Имею в виду выложить в Bscan например можно уже работающий контракт не поломав его логики?

[@IlyaBodrovKrukowski]

@@krahmaletskrakmalets7587 Ну, наверное да - просто не очень понимаю, как его можно поломать таким образом? Я работал в основном с etherscan правда, но всё, что там делается - это подтверждается, что контракт действительно имеет именно такой исходник

[@krahmaletskrakmalets7587]

@@IlyaBodrovKrukowski Понял. Спасибо!

[@Лёша-л1ы]

подскажите, а зачем вообще нужны низкоуровневые вызовы? Просто что бы общаться между контрактами?

[@IlyaBodrovKrukowski]

Ну да, плюс они более гибкие

[@kirillilyin8173]

kzbin.info/www/bejne/aHfcmGBoZ850b6s - это ваш голос на видео?

[@IlyaBodrovKrukowski]

Ну да, у меня на канале есть это же видео, только на русском

[@theserghd1]

- автор почему-то ни слова не сказал о том, что на delegateCall() основаны "обновляемые" контракты (типы 'uups', 'transparent', 'beacon'). По видео в роли proxy-контракта выступает MyContract, а в роли impl - AnotherContact; - автор почему-то использует нейминг с точностью до наоборот относительно того, как это обычно делается. Символ нижнего подчёркивания в начале ставится не для переменных функций, а для мемберов класса; - "хак" сильно притянут за уши. Ну какой разраб будет обозначать метод delCallGetData() как общий для всех юзеров...? А не админский как минимум;