當(dāng)前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

NEO从源码分析看NEOVM

發(fā)布時間：2025/5/22 编程问答 41 豆豆

生活随笔收集整理的這篇文章主要介紹了 NEO从源码分析看NEOVM 小編覺得挺不錯的,現(xiàn)在分享給大家,幫大家做個參考.

2019獨角獸企業(yè)重金招聘Python工程師標準>>>

0x00 前言

這篇文章是為下一篇《NEO從源碼分析看UTXO轉(zhuǎn)賬交易》打前站，為交易的構(gòu)造及執(zhí)行的一些技術(shù)基礎(chǔ)做個探索。由于這個東西實在有點干，干到簡直咽不下，所以我來個自頂向下，從合約代碼開始慢慢深入。此外，文中難免有些不詳盡或者疏漏偏頗的地方，還望大佬們不吝指教。

0x01 鎖倉合約（Lock）

在官方提供的三個合約示例中，這個鎖倉合約是唯一一個不需要Storage的，目前我是感覺可能簡單些。如果這把坑了自己，我無怨無悔，畢竟別的合約遲早也要分析，/(ㄒoㄒ)/~~。鎖倉合約的代碼和解釋都可以在官方文檔中找到，中文版地址在這里，github地址在這里

public class Lock : SmartContract {public static bool Main(byte[] signature){Header header = Blockchain.GetHeader(Blockchain.GetHeight());if (header.Timestamp < 1520554200) // 2018-3-9 8:10:00return false;return true;} }

我這里把原來的時間戳改了，還把簽名驗證刪了。創(chuàng)建新合約項目的步驟我就不再多說，官網(wǎng)上都有。這個合約只有最新的區(qū)塊時間戳大于我既定的時間才可以轉(zhuǎn)賬，否則轉(zhuǎn)賬失敗。理論是這樣的，官網(wǎng)解釋也基本就這么言簡意賅。我接下來要做的，就是最苦逼的——追蹤這個合約腳本的生成和執(zhí)行過程。下面涉及的代碼主要是三個項目：

neo-vm : https://github.com/neo-project/neo-vm
neo-compiler: https://github.com/neo-project/neo-compiler
neo-gui-nel: https://github.com/NewEconoLab/neo-gui-nel

0x02 編譯

不得不說NEO開發(fā)團隊這塊做的還是蠻好的，雖然這個編譯的過程灰常復(fù)雜，但是操作起來確實很簡單，直接右鍵項目選擇生成就可以了：

從這里可以看到很多消息，每一步執(zhí)行了什么，生成了什么，結(jié)果是什么。最最重要的是，這里有關(guān)鍵字啊，之前社區(qū)有人問我怎么看源碼的，就這么看的，可憐兮兮的找蛛絲馬跡，一個關(guān)鍵字一個關(guān)鍵字去查引用。從這個日志里可以看出，編譯的時候是先生成dll動態(tài)鏈接庫，這當(dāng)然是.net的工作了。然后調(diào)用的是Neo.Compiler.MSIL這個東東。我就先找這個東西。

0x03 解析

根據(jù)上小結(jié)的關(guān)鍵字，我定位到neo-compiler項目的Program.cs文件，這個文件里有編譯器的入口函數(shù)Main。不要問我怎么調(diào)用的，不care，就這么傲嬌（實在是沒找到）。Main方法會接收一個參數(shù)，就是dll文件的路徑：

源碼位置：neo/Compiler/Program.cs/Main(string[] args)

log.Log("Neo.Compiler.MSIL console app v" + Assembly.GetEntryAssembly().GetName().Version); if (args.Length == 0) {log.Log("need one param for DLL filename.");return; } string filename = args[0]; string onlyname = System.IO.Path.GetFileNameWithoutExtension(filename); string filepdb = onlyname + ".pdb";

說實話我對C#的了解并沒有深入到字節(jié)碼的水平，使用經(jīng)驗也就止于鵝廠實習(xí)做游戲的那幾個月，這從DLL轉(zhuǎn)AVM我只能盡全力而為。轉(zhuǎn)換的主要函數(shù)是ModuleConverter的Convert，這個方法接收一個ILModule類型的對象作為參數(shù)，而這個ILModule對象就是負責(zé)解析dll文件獲取IL指令的。由于我沒找到辦法動態(tài)分析這個compiler，所以我直接將Lock.dll文件進行了逆向，直接對照IL指令靜態(tài)分析compiler。逆向工具我用的是ILSPY，github有售。以下是逆向IL代碼：

.class public auto ansi beforefieldinit Lockextends [Neo.SmartContract.Framework]Neo.SmartContract.Framework.SmartContract {// 方法.method public hidebysig static bool Main (uint8[] signature) cil managed {// 方法起始 RVA 地址 0x2050// 方法起始地址（相對于文件絕對值：0x0250）// 代碼長度 62 (0x3e).maxstack 4.locals init ([0] class [Neo.SmartContract.Framework]Neo.SmartContract.Framework.Services.Neo.Header,[1] bool,[2] bool)// 0x025C: 00IL_0000: nop// 0x025D: 28 10 00 00 0AIL_0001: call uint32 [Neo.SmartContract.Framework]Neo.SmartContract.Framework.Services.Neo.Blockchain::GetHeight()// 0x0262: 28 11 00 00 0AIL_0006: call class [Neo.SmartContract.Framework]Neo.SmartContract.Framework.Services.Neo.Header [Neo.SmartContract.Framework]Neo.SmartContract.Framework.Services.Neo.Blockchain::GetHeader(uint32)// 0x0267: 0AIL_000b: stloc.0// 0x0268: 06IL_000c: ldloc.0// 0x0269: 6F 12 00 00 0AIL_000d: callvirt instance uint32 [Neo.SmartContract.Framework]Neo.SmartContract.Framework.Services.Neo.Header::get_Timestamp()// 0x026E: 20 20 2F A1 5AIL_0012: ldc.i4 1520512800// 0x0273: FE 05IL_0017: clt.un// 0x0275: 0BIL_0019: stloc.1// 0x0276: 07IL_001a: ldloc.1// 0x0277: 2C 04IL_001b: brfalse.s IL_0021// 0x0279: 16IL_001d: ldc.i4.0// 0x027A: 0CIL_001e: stloc.2// 0x027B: 2B 1BIL_001f: br.s IL_003c// 0x027D: 02IL_0021: ldarg.0// 0x027E: 1F 21IL_0022: ldc.i4.s 33// 0x0280: 8D 16 00 00 01IL_0024: newarr [mscorlib]System.Byte// 0x0285: 25IL_0029: dup// 0x0286: D0 01 00 00 04IL_002a: ldtoken field valuetype '<PrivateImplementationDetails>'/'__StaticArrayInitTypeSize=33' '<PrivateImplementationDetails>'::'09B200FB2B3E1BDC14112F99F08AA4576CF64321'// 0x028B: 28 13 00 00 0AIL_002f: call void [mscorlib]System.Runtime.CompilerServices.RuntimeHelpers::InitializeArray(class [mscorlib]System.Array, valuetype [mscorlib]System.RuntimeFieldHandle)// 0x0290: 28 14 00 00 0AIL_0034: call bool [Neo.SmartContract.Framework]Neo.SmartContract.Framework.SmartContract::VerifySignature(uint8[], uint8[])// 0x0295: 0CIL_0039: stloc.2// 0x0296: 2B 00IL_003a: br.s IL_003c// 0x0298: 08IL_003c: ldloc.2// 0x0299: 2AIL_003d: ret} // 方法 Lock::Main 結(jié)束.method public hidebysig specialname rtspecialname instance void .ctor () cil managed {// 方法起始 RVA 地址 0x209a// 方法起始地址（相對于文件絕對值：0x029a）// 代碼長度 8 (0x8).maxstack 8// 0x029B: 02IL_0000: ldarg.0// 0x029C: 28 15 00 00 0AIL_0001: call instance void [Neo.SmartContract.Framework]Neo.SmartContract.Framework.SmartContract::.ctor()// 0x02A1: 00IL_0006: nop// 0x02A2: 2AIL_0007: ret} // 方法 Lock::.ctor 結(jié)束} // 類 Lock 結(jié)束

從上面ILSpy逆向出的IL代碼就可以很清晰的看出來函數(shù)名、參數(shù)、類型、系統(tǒng)調(diào)用等等關(guān)鍵信息，neo-vm對C#字節(jié)碼的解析就是根據(jù)這些東西。Compiler從dll獲取IL指令使用的是mono.cecil，這個工具的代碼github也有售?；旧螻EO-VM定義了自己的一套完整指令集，可以逐條來做翻譯，把IL指令翻譯成avm指令，這個翻譯的結(jié)果就是avm腳本了。翻譯的過程首先是把IL指令中的方法提取出來，提取的部分有些對自動生成代碼及系統(tǒng)調(diào)用的判斷，比較繁瑣，而且對于我們理解這個轉(zhuǎn)換過程幫助也不大，我就不講了。對于每個方法的核心處理代碼如下：

源碼位置：neon/MSIL/Converter.cs/Convert(ILModule _in)

//方法參數(shù)獲取 foreach (var src in m.Value.paramtypes) {nm.paramtypes.Add(new NeoParam(src.name, src.type)); } //是否為neo系統(tǒng)調(diào)用 byte[] outcall; string name; if (IsAppCall(m.Value.method, out outcall))continue; if (IsNonCall(m.Value.method))continue; if (IsOpCall(m.Value.method, out name))continue; if (IsSysCall(m.Value.method, out name))continue; //方法代碼轉(zhuǎn)換為opcode this.ConvertMethod(m.Value, nm);

在每個方法解析完之后會調(diào)用ConvertMethod方法來把方法內(nèi)部的IL指令轉(zhuǎn)換為對應(yīng)的avm指令，指令轉(zhuǎn)換的方法是ConvertCode，這個方法里定義有完整的IL到avm的映射關(guān)系，這里就不一一分析了。這里我就先假裝這個轉(zhuǎn)換過程已經(jīng)講完了，細節(jié)部分可能以后的博客中還會涉獵到，都以后再說。前面分析完了，到創(chuàng)建合約的時候我就涼了，這居然涉及到應(yīng)用合約和鑒權(quán)合約（下下篇博客專題介紹），這個東西我簡直一直以來都云里霧里，現(xiàn)在居然直接迎頭撞上了，苦也。這里不明白的可以靜待我接下來專門介紹合約的博客，我就先直接往下走了。鎖倉合約本身是不需要部署在區(qū)塊鏈上的，它跟賬戶合約一樣都是鑒權(quán)合約。我在上一篇文章《從源碼分析看nep2和nep6》中詳細分析過，NEO的賬戶本身其實就是一個合約，一個不需要部署在區(qū)塊鏈上，在每次交易的時候執(zhí)行的鑒權(quán)合約。Lock合約如是。

0x04 轉(zhuǎn)賬

因為這個鎖倉合約是個鑒權(quán)合約，不需要部署到區(qū)塊鏈上，所以我我們只需要在本地進行部署就可以了，這個過程用neo-GUI就可以很方便的完成。為了測試的直觀，我在本地只保留了一個有3.8gas的帳戶： AV5XmH49Gzz8puT5iMdv5ycmhqWGH5VNq7，下文中我們把這個賬戶叫徐崢。新建的合約地址是 Aaigh8uGWwsmPTWKkxfXx8ZRJNYk6RvnBQ，這個賬戶叫王寶強。除此之外，我還另外有一個賬戶ASCjW4xpfr8kyVHY1J2PgvcgFbPYa1qX7F，我們叫黃渤，用于向徐崢賬戶轉(zhuǎn)賬，以確認徐崢賬戶收款功能正常。故事背景如下，王寶強向徐崢借了3.8個GAS當(dāng)回家路費，約定 3/9/2018 8:10:00 這個時間之后還。故事發(fā)展：

第一幕：王寶強回家過年沒路費，向徐崢借3.8個GAS。于是徐崢借給王寶強3.8GAS，并且約定歸還時間為8:10之后。沒辦法，只有回家了之后才有錢還。交易1 id為： 0x7f5be9b212c81958428a416f5afad3ca26d3d032e85330b6837f9fea559e1785
第二幕：徐崢路上和王寶強鬧翻，徐崢強行向王寶強索要3.8GAS?？蓱z的寶強無可奈何了么？徐崢索取3.8GAS是交易2 id為： 0xfa17a8d74a8ebf75f839286de21e011209177930551f7b52a09161250a39df66
第三幕：可憐的寶寶是執(zhí)著的，是我的就是我的，不是我的我也不要，說好了8:10以后還就8:10以后還。兔子急了還咬人呢，寶寶堅決不退讓，孩子是我的，GAS也是我的。徐崢百般索要無果，交易2宣告失敗。

第四幕：最終在8:10之后的8:23，徐崢才成功拿走了借給寶寶的3.8GAS。取回GAS交易3 id： 0xfa17a8d74a8ebf75f839286de21e011209177930551f7b52a09161250a39df66

終幕：在囧途歷經(jīng)坎坷共同患難之后，兩人化干戈為玉帛感情更深一步從此不再爭吵，從此幸福美滿的生活在了一起。

在以上小故事中，由于鎖倉合約約定取款時間為8:10之后，在這個時間之前進行資產(chǎn)轉(zhuǎn)出都會失敗。在小故事中的所有交易都是真實的，可以在測試網(wǎng)上查到交易信息。接下來我們分析一下這個交易2是如何執(zhí)行失敗的。

0x05 合約執(zhí)行

當(dāng)我們從鎖倉合約中轉(zhuǎn)出資產(chǎn)的交易廣播出去后，在新一輪共識中會被共識節(jié)點進行驗證（共識部分請移步我的博客《NEO從源碼分析看共識協(xié)議》），如果驗證成功，則會放在緩存中等待寫入新的區(qū)塊中，如果驗證失敗，這個交易就會被丟棄：

源碼位置：neo/Core/Helper/VerifyScripts(this IVerifiable verifiable)

using (StateReader service = new StateReader()) {ApplicationEngine engine = new ApplicationEngine(TriggerType.Verification, verifiable, Blockchain.Default, service, Fixed8.Zero);engine.LoadScript(verification, false);engine.LoadScript(verifiable.Scripts[i].InvocationScript, true);if (!engine.Execute()) return false;if (engine.EvaluationStack.Count != 1 || !engine.EvaluationStack.Pop().GetBoolean()) return false; }

ApplicationEngine是neo-vm中用來執(zhí)行腳本的類。可以看到這里設(shè)置了腳本執(zhí)行引擎的triggertype為驗證，并且傳入了交易的腳本進去。這里我們跟進Execute方法。

源碼位置：neo/SmartContract/ApplicationEngine/Execute()

while (!State.HasFlag(VMState.HALT) && !State.HasFlag(VMState.FAULT)) {if (CurrentContext.InstructionPointer < CurrentContext.Script.Length) {//讀取下一條指令OpCode nextOpcode = CurrentContext.NextInstruction;//按指令收費gas_consumed = checked(gas_consumed + GetPrice(nextOpcode) * ratio);if (!testMode && gas_consumed > gas_amount) {State |= VMState.FAULT;return false;}if (!CheckItemSize(nextOpcode) ||!CheckStackSize(nextOpcode) ||!CheckArraySize(nextOpcode) ||!CheckInvocationStack(nextOpcode) ||!CheckBigIntegers(nextOpcode) ||!CheckDynamicInvoke(nextOpcode)) {State |= VMState.FAULT;return false;}}//執(zhí)行StepInto(); }

不難看出這個engine執(zhí)行avm腳本的方式和cpu差不多，都是每次取一條指令執(zhí)行。由于跟著StepInto一條一條執(zhí)行還不如直接看AVM指令代碼，所以這里我們就跳出源碼，來分析AVM。我的合約腳本是：

54c56b6c766b00527ac4616168184e656f2e426c6f636b636861696e2e4765744865696768746168184e656f2e426c6f636b636861696e2e4765744865616465726c766b51527ac46c766b51c36168174e656f2e4865616465722e47657454696d657374616d7004d8d0a15a9f6c766b52527ac46c766b52c3640e00006c766b53527ac4620e00516c766b53527ac46203006c766b53c3616c7566

經(jīng)過NEL輕錢包工具轉(zhuǎn)ASM代碼如下：

0:PUSH4 1:NEWARRAY 2:TOALTSTACK 3:FROMALTSTACK 4:DUP 5:TOALTSTACK 6:PUSH0(false) 7:PUSH2 8:ROLL 9:SETITEM a:NOP b:NOP c:SYSCALL[781011114666108111991079910497105110467110111672101105103104116] 26:NOP 27:SYSCALL[78101111466610811199107991049710511046711011167210197100101114] 41:FROMALTSTACK 42:DUP 43:TOALTSTACK 44:PUSH1(true) 45:PUSH2 46:ROLL 47:SETITEM 48:FROMALTSTACK 49:DUP 4a:TOALTSTACK 4b:PUSH1(true) 4c:PICKITEM 4d:NOP 4e:SYSCALL[7810111146721019710010111446711011168410510910111511697109112] 67:PUSHBYTES4[0xd8d0a15a] 6c:LT 6d:FROMALTSTACK 6e:DUP 6f:TOALTSTACK 70:PUSH2 71:PUSH2 72:ROLL 73:SETITEM 74:FROMALTSTACK 75:DUP 76:TOALTSTACK 77:PUSH2 78:PICKITEM 79:JMPIFNOT[14] 7c:PUSH0(false) 7d:FROMALTSTACK 7e:DUP 7f:TOALTSTACK 80:PUSH3 81:PUSH2 82:ROLL 83:SETITEM 84:JMP[14] 87:PUSH1(true) 88:FROMALTSTACK 89:DUP 8a:TOALTSTACK 8b:PUSH3 8c:PUSH2 8d:ROLL 8e:SETITEM 8f:JMP[3] 92:FROMALTSTACK 93:DUP 94:TOALTSTACK 95:PUSH3 96:PICKITEM 97:NOP 98:FROMALTSTACK 99:DROP 9a:RET

這個avm2asm工具的地址是 http://sdk.nel.group ，源碼github開放。這個逆向出的asm代碼是不是很像我們的匯編代碼呢，除了這個指令不是像匯編那樣是三元的。這點在官方的文檔也有介紹，說是因為這個虛擬機上操作數(shù)是單獨維護在一個操作數(shù)棧上的，對于數(shù)據(jù)的操作只有簡單的push和pop，所以沒必要指定地址。我說我能一條條對照avm指令把整個合約執(zhí)行流程走一遍你肯定不信，我也不信，如果有人愿意幫我翻譯一遍的話可以從neo-vm/OpCode.cs這個文件中找到每條指令對應(yīng)的定義。我個人的話是感覺既然不想手擼avm腳本，那么知道這個東西是這么個過程就差不多了。

0x06 系統(tǒng)調(diào)用

在上一節(jié)貼出來的avm代碼中有三個syscall指令，分別帶著一個字節(jié)數(shù)組，其實通過IL代碼也能看出來這三個字節(jié)數(shù)組中存放的肯定就是系統(tǒng)調(diào)用的路徑了。可這個東西是如何來的呢？

第一個syscall的地址是：781011114666108111991079910497105110467110111672101105103104116，對應(yīng)16進制的：4e656f2e426c6f636b636861696e2e476574486569676874，這個轉(zhuǎn)換為字符串就是Neo.Blockchain.GetHeight。
第二個syscall的地址是：78101111466610811199107991049710511046711011167210197100101114，對應(yīng)16進制的：4e656f2e426c6f636b636861696e2e476574486561646572，翻譯出來就是Neo.Blockchain.GetHeader。
第三個syscall地址是：7810111146721019710010111446711011168410510910111511697109112，對應(yīng)的16進制是：4e656f2e4865616465722e47657454696d657374616d70，翻譯出來是Neo.Header.GetTimestamp。

可以看出，系統(tǒng)調(diào)用的地址其實就是我們C#中調(diào)用的方法的路徑。這塊的構(gòu)造代碼如下：

源碼位置：neo/Compiler/MSIL/ModuleConverter/_ConverterCall(OpCode src,NeoMethod to)

var bytes = Encoding.UTF8.GetBytes(callname); if (bytes.Length > 252) throw new Exception("string is to long"); byte[] outbytes = new byte[bytes.Length + 1]; outbytes[0] = (byte)bytes.Length; Array.Copy(bytes, 0, outbytes, 1, bytes.Length); //bytes.Prepend 函數(shù)在 dotnet framework 4.6 編譯不過 _Convert1by1(VM.OpCode.SYSCALL, null, to, outbytes);

從代碼中可以看出來，這個syscall指令的地址長度最大只能有252字節(jié)。調(diào)用這個syscall指令的代碼在nep-vm 的ExecuteEngine類里：

源碼位置：neo/vm/ExecuteEngine/ExecuteOp

case OpCode.SYSCALL:if (!service.Invoke(Encoding.ASCII.GetString(context.OpReader.ReadVarBytes(252)), this))State |= VMState.FAULT;break;

這里是調(diào)用了Invoke方法，并將系統(tǒng)調(diào)用的路徑傳過去，我們跟進去這個Invoke方法：

源碼位置：neo/vm/InteropService

internal bool Invoke(string method, ExecutionEngine engine) {if (!dictionary.ContainsKey(method)) return false;return dictionary[method](engine); }

可以看到這里是將地址作為key來從map中取對應(yīng)的方法來執(zhí)行。這個map里的內(nèi)容定義在智能合約的StateReader類中，這個類繼承了InteropService，并且在構(gòu)造方法中向dictionary中添加了元素：

源碼位置：neo/SmartContract/StateReader

public StateReader() {Register("Neo.Runtime.GetTrigger", Runtime_GetTrigger);Register("Neo.Runtime.CheckWitness", Runtime_CheckWitness);//省略N多RegisterRegister("Neo.Iterator.Next", Iterator_Next);Register("Neo.Iterator.Key", Iterator_Key);Register("Neo.Iterator.Value", Iterator_Value); }

至于這些系統(tǒng)調(diào)用方法的返回值，則由各個系統(tǒng)調(diào)用接收的ExecutionEngine對象獲取。

好啦，以上就是NEO VM的大概流程和原理，由于這個項目涉及的東西實在廣泛，文章不能詳盡之處萬望見諒。

轉(zhuǎn)載于:https://my.oschina.net/u/2276921/blog/1632561

總結(jié)

以上是生活随笔為你收集整理的NEO从源码分析看NEOVM的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。

上一篇： LinQ中Skip()方法和Take()
下一篇：如何利用阿里云安全产品加强你的网站防护能