Slither، أداة التحليل الثابت للعقود الذكية

انضم إلى سلاك Empire Hacking

- مناقشات ودعم

Slither هو إطار عمل للتحليل الثابت للعقود الذكية بلغة Solidity و Vyper، مكتوب بلغة Python3. يقوم بتشغيل مجموعة من كاشفات الثغرات الأمنية، ويطبع معلومات مرئية حول تفاصيل العقد، ويوفر واجهة برمجة تطبيقات لكتابة تحليلات مخصصة بسهولة. يمكّن Slither المطورين من العثور على الثغرات الأمنية، وتحسين فهمهم للكود، والنمذجة السريعة للتحليلات المخصصة.

• الميزات
• الاستخدام
• كيفية التثبيت
  • استخدام uv (مُوصى به)
  • استخدام Pip
  • استخدام Git
  • استخدام Docker
  • التكامل
• الكاشفات
• الطابعات
  • طابعات المراجعة السريعة
  • طابعات المراجعة المتعمقة
• الأدوات
• توثيق API
• الحصول على المساعدة
• الأسئلة الشائعة
• الترخيص
• المنشورات
  • منشورات Trail of Bits
  • منشورات خارجية

الميزات

• يكشف عن كود Solidity الضعيف مع نتائج إيجابية خاطئة منخفضة (انظر قائمة الجوائز)
• يحدد مكان حدوث حالة الخطأ في الكود المصدري
• يتكامل بسهولة مع التكامل المستمر وبنيات Hardhat/Foundry
• 'طابعات' مدمجة تبلغ بسرعة عن معلومات العقد الحيوية
• واجهة برمجة تطبيقات للكاشفات لكتابة تحليلات مخصصة بلغة Python
• القدرة على تحليل العقود المكتوبة بلغة Solidity >= 0.4
• التمثيل الوسيط (SlithIR) يتيح تحليلات بسيطة وعالية الدقة
• يحل 99.9% من جميع كود Solidity العام بشكل صحيح
• متوسط وقت التنفيذ أقل من ثانية واحدة لكل عقد
• يتكامل مع فحص كود GitHub في CI
• دعم العقود الذكية بلغة Vyper

الاستخدام

قم بتشغيل Slither على تطبيق Hardhat/Foundry/Dapp/Brownie:```console slither .

هذا هو الخيار المفضل إذا كان مشروعك يحتوي على تبعيات، حيث يعتمد Slither على إطار التجميع الأساسي لتجميع الكود المصدري. ومع ذلك، يمكنك تشغيل Slither على ملف واحد لا يستورد تبعيات:```console
slither tests/uninitialized.sol

كيفية التثبيت

ملاحظة يتطلب Slither بايثون 3.10+. إذا كنت لن تستخدم أحد أطر التجميع المدعومة، فأنت بحاجة إلى solc، مترجم Solidity؛ نوصي باستخدام solc-select للتبديل بسهولة بين إصدارات solc.

باستخدام uv (موصى به)

uv هو مدير حزم بايثون سريع أسرع من pip بمقدار 10-100 مرة.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

للترقية:```console
uv tool upgrade slither-analyzer

استخدام Pip```console

python3 -m pip install slither-analyzer

للتحديث:```console
python3 -m pip install --upgrade slither-analyzer

استخدام Brew```console

brew install slither-analyzer

### استخدام Git (التطوير)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

العلامة -e تقوم بالتثبيت في الوضع القابل للتحرير، مما يعني أن التغييرات على الكود المصدري تنعكس فورًا دون الحاجة إلى إعادة التثبيت.

استخدام Docker

استخدم صورة docker الخاصة بـ eth-security-toolbox. وهي تتضمن جميع أدوات الأمان الخاصة بنا وكل إصدار رئيسي من Solidity في صورة واحدة. سيتم تثبيت /home/share في /share داخل الحاوية.```bash docker pull trailofbits/eth-security-toolbox

لمشاركة دليل داخل الحاوية:```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

التكامل

• لتكامل GitHub Action، استخدم slither-action.
• لتكامل pre-commit، استخدم (استبدل $GIT_TAG بالعلامة الحقيقية) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• لتوليد تقرير ماركداون، استخدم slither [target] --checklist.
• لتوليد ماركداون مع تمييز الكود المصدري من GitHub، استخدم slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (استبدل ORG و REPO و COMMIT)

الكاشفات

لمزيد من المعلومات، انظر

• توثيق الكاشفات للحصول على تفاصيل حول كل كاشف
• اختيار الكاشفات لتشغيل كاشفات محددة فقط. افتراضياً، يتم تشغيل جميع الكاشفات.
• وضع الفرز لتصفية النتائج الفردية

الطابعات

طابعات المراجعة السريعة

• human-summary: طباعة ملخص قابل للقراءة البشرية للعقود
• inheritance-graph: تصدير رسم بياني للوراثة لكل عقد إلى ملف dot
• contract-summary: طباعة ملخص للعقود
• loc: عد إجمالي عدد أسطر الكود (LOC)، أسطر الكود المصدر (SLOC)، وأسطر التعليقات (CLOC) الموجودة في ملفات المصدر (SRC)، التبعيات (DEP)، وملفات الاختبار (TEST).
• entry-points: طباعة جميع دوال نقطة الدخول التي تغير الحالة ومتغيراتها للعقود

طابعات المراجعة المتعمقة* call-graph: تصدير رسم بياني للاستدعاءات للعقود إلى ملف dot

• cfg: تصدير مخطط تدفق التحكم لكل دالة
• function-summary: طباعة ملخص للدوال
• vars-and-auth: طباعة متغيرات الحالة المكتوبة وصلاحية الدوال
• not-pausable: طباعة الدوال التي لا تستخدم معدّل whenNotPaused.

لتشغيل أداة طباعة، استخدم --print وقائمة مفصولة بفواصل من أدوات الطباعة.

انظر وثائق أدوات الطباعة للقوائم الكاملة.

الأدوات

• slither-check-upgradeability: مراجعة قابلية الترقية القائمة على delegatecall
• slither-prop: توليد اختبارات وخصائص تلقائية
• slither-flat: تسطيح قاعدة الشيفرة
• slither-check-erc: التحقق من مطابقة ERC
• slither-read-storage: قراءة قيم التخزين من العقود
• slither-interface: إنشاء واجهة لعقد

انظر وثائق الأدوات للأدوات الإضافية.

اتصل بنا للحصول على مساعدة في بناء أدوات مخصصة.

وثائق واجهة برمجة التطبيقات (API)

وثائق داخلية حول سلذر متاحة هنا.

الحصول على المساعدة

لا تتردد في التوقف في قناة Slack (#ethereum) للحصول على مساعدة في استخدام أو توسيع سلذر.

• وثائق أدوات الطباعة تصف المعلومات التي يستطيع سلذر تصورها لكل عقد.

• وثائق المكتشفات تصف كيفية كتابة تحليل ثغرات جديد.

• وثائق واجهة برمجة التطبيقات تصف الدوال والكائنات المتاحة للتحليلات المخصصة.

• وثائق SlithIR تصف التمثيل الوسيط SlithIR.

الأسئلة الشائعة

كيف أستثني النسخ الوهمية أو الاختبارات؟

• انظر وثائقنا حول تصفية المسار.

كيف أصلح مشكلة "ملف غير معروف" أو مشاكل الترجمة؟

• نظرًا لأن سلذر يحتاج إلى AST الخاص بـ solc، يجب أن تكون جميع التبعيات متاحة. إذا كان العقد له تبعيات، فإن slither contract.sol سيفشل. بدلاً من ذلك، استخدم slither . في الدليل الأصلي لـ contracts/ (يجب أن ترى contracts/ عند تشغيل ls). إذا كان لديك مجلد node_modules/، فيجب أن يكون في نفس الدليل مثل contracts/. للتحقق من أن هذه المشكلة متعلقة بسلذر، قم بتشغيل أمر الترجمة للإطار الذي تستخدمه مثلًا npx hardhat compile. يجب أن يعمل بنجاح؛ وإلا، فإن محرك الترجمة الخاص بسلذر، crytic-compile، لا يمكنه توليد AST.

الترخيص

سلذر مرخص وموزع بموجب ترخيص AGPLv3. اتصل بنا إذا كنت تبحث عن استثناء للشروط.

المنشورات

منشورات Trail of Bits

• Slither: A Static Analysis Framework For Smart Contracts، Josselin Feist، Gustavo Grieco، Alex Groce - WETSEB '19

منشورات خارجية

إذا كنت تستخدم سلذر في عمل أكاديمي، فكر في التقديم على جائزة بحث Crytic البالغة 10,000 دولار.