الطلبات الخبيثة وأدوات استنزاف الأصول

النسخة المصدرية EN · P03-L05 · needs_review

دراسة دون اتصال وللقراءة فقط. لا تقدم أبدًا أسرارًا أو كلمات مرور أو رموز مصادقة. لا اتصال بمحفظة أو موافقة حقيقية أو إلغاء مباشر أو توقيع معاملة أو تحويل أو أموال أو تداول. المرئيات مواصفات فقط.

يُقيّم طلب بأسلوب استنزاف الأصول وفق القدرة التي يطلبها، لا تسميته المطمئنة. قد يبرر دليل نطاق خطير التوقف مع بقاء التنفيذ والقصد البشري غير محسومين.

ابدأ بغرض المتعلم المعلن

الإجراء المقصود في التمرين قراءة رصيد عام، ولا يحتاج تفويضًا. مع ذلك تطلب R1 مبلغًا مسموحًا به؛ وتطلب R2 تحويلًا مباشرًا؛ وتغفل R3 الآثار تمامًا. قارن القدرات هذه بالغرض المعلن. لا يختبر ذلك استخدام الصفحة كلمات مقلقة: بل هل الآثار المطلوبة مبررة ومفهومة.

اقرأ الصلاحية الفعلية

تسمي أذونات ERC-20 منفقًا ومبلغًا [ERC20]. قد تفوض رسائل على هيئة Permit مبالغ مسموحًا بها وفق قواعد الموافقة الموقعة المنطبقة [PERMIT]. وقد تطلب تعليمات المعاملة الحركة مباشرة بدل ذلك [ETH_TX]. لا تحدد أي صيغة شخصًا خبيثًا تلقائيًا. قد يستخدم تطبيق مشروع الموافقات، وطلب موافقة وحده ليس إثبات قصد خبيث.

يجعل التمرين عدم التطابق صريحًا: «عرض الرصيد» مقابل إذن لـ 1000 وحدة. يدعم ذلك عدم تطابق القدرة/الغرض وفق افتراضاته. لا يقدم توقيعًا أو رسالة جرى استخدامها أو نتيجة تحويل. أبلغ «يتجاوز الطلب غرض القراءة فقط المفترض»، لا «استُنزفت أصول المستخدم».

عامل الغموض كأمر غير محسوم

لا يمكن تقييم ملخص R3 الغامض كغير ضار لأن التسمية تقول تحقق. الآثار UNKNOWN سبب توقف في هذا التدريب؛ لا دعوة للتوقيع ومشاهدة ما يحدث. لمحاكاة أو ملخص مفكك، إن قُدما، مصدر وطريقة وسياق حالة وتغطية. لا يختلق هذا التمرين محاكاة أمان ناجحة.

ينشئ مؤقت R4 ضغطًا لكنه لا يقدم حاجة للتفويض. لا تغير لغة العد التنازلي شيئًا من الأدلة المفقودة. سجلها جزءًا من الطلب مع إبقاء هوية المشغّل ودافعه غير محسومين.

احفظ سجلًا آمنًا

اكتب جدولًا منقحًا للقدرات المطلوبة. احفظ معرّفات التمرين الدقيقة والغرض المقصود والصلاحية المطلوبة وعدم التطابق ودليل النتيجة المفقود. OBSERVED ملخص الطلب، وINFERRED عدم تطابق النطاق، وUNKNOWN التنفيذ وهوية المشغّل، وINSUFFICIENT EVIDENCE لوم إنسان مسمى أو خسارة أصول مؤكدة. لا تُولد أو تُنزل أو تُشغل برمجيات خبيثة.

• القدرة: أثر قد يتيحه تفويض.
• عدم تطابق الغرض: نطاق يتجاوز قصد المستخدم المفترض.
• طلب غامض: آثار لم تُفكك بما يكفي.
• نمط استنزاف الأصول: وصف لسلوك طلب، لا إسناد شخص متحقق منه.

بطاقات طلبات ILLUSTRATIVE دون اتصال؛ لا بايتات قابلة للتوقيع. الغرض المقصود: عرض رصيد عام. R1 التسمية «تحقق من المحفظة»، طلب على هيئة مبلغ مسموح به TOKEN-S/OWNER-A/SPENDER-B لـ 1000 وحدة كاملة ضمن التمرين. R2 التسمية «مطالبة»، طلب تحويل مباشر لـ 7 وحدات SIM إلى SIM-C. R3 التسمية «تحقق»، الآثار UNKNOWN. R4 المؤقت «تحرك الآن». لا سجل تفويض أو تنفيذ.

خط زمني لطلب معاملة مع القصد عند البداية وR1/R2/R3 بطاقات قدرة منفصلة. سمّ عدم التطابق/الآثار المجهولة، ثم قرار STOP دون اتصال. أبق مسار النتيجة المنفذة فارغًا، لا رسم خسارة مختلقًا.

حقول الطلب المفترضة وعدم تطابق الغرض/القدرة المستنتج.

تنفيذ برمجيات خبيثة فعليًا أو إنتاج توقيع أو سرقة أو قصدًا بشريًا خبيثًا أو هوية مشغّل.

• التوقيع لاكتشاف الآثار.
• اعتبار كل موافقة خبيثة.
• اعتبار الضغط/التسمية مبررًا تقنيًا.
• مساواة طلب محفوف بالمخاطر بخسارة ملحوظة.

سجل الغرض المقصود والأثر المطلوب وعدم التطابق وحالة الدليل والمدخل المفقود لـ R1–R4. اكتب قرارًا آمنًا دون اتصال بشأن R3 وأعد صياغة «سرق المهاجم سبع وحدات» باستخدام البطاقات هذه وحدها.

قدّم جدولًا ونتيجة محددة النطاق باستخدام المادة المقدمة دون اتصال وحدها. التوزيع الزمني التحريري: دراسة 12 دقيقة، تمرين 8 دقائق، تصحيح/اختبار 10 دقائق.

• سمّ القصد.
• اقرأ النطاق مستقلًا عن التسمية.
• توقف إذا بقيت الآثار غير محسومة.
• احفظ الطلب المنقح لا سرًا/توقيعًا.
• افصل القدرة الخطيرة والنتيجة الفعلية.

يقارن تقييم الطلب الغرض المقصود بالآثار المطلوبة. قد يبرر نطاق غير مسنود أو آثار مجهولة التوقف دون اختلاق تنفيذ أو خسائر أو إسناد بشري.

• حدد طلبًا ضارًا من مثال معاملة منقح
• قارن الآثار المنقحة بالغرض المعلن.
• حدد نطاقًا غير آمن دون إثبات هوية مهاجم أو خسارة منفذة.

P03-L06 بعد مراجعة المتطلبات السابقة والتصحيح.

NONE في الكتالوج المعتمد. تكفي البيانات المقدمة دون اتصال؛ لا شراء منتج أو عملية محفظة مطلوبة.

• [ERC20] معيار الرموز ERC-20 — approve وallowance وtransferFrom للواجهات الممتثلة.
• [PERMIT] الموافقات الموقعة ERC-2612 — تفويض المبلغ المسموح به عبر Permit مع owner وspender وvalue وnonce وdeadline.
• [ETH_TX] معاملات Ethereum — التعليمات الموقعة والإدراج مختلفان عن الإرسال.

تشرح الوثائق الآليات. تحتفظ السجلات التاريخية بفئة مصدرها المعلنة. فحص المصدر ليس قبولًا تحريريًا مستقلًا.