Slither, el analizador estático de contratos inteligentes

Únete al Slack de Empire Hacking

- Discusiones y Soporte

Slither es un framework de análisis estático para Solide y Vyper escrito en Python3. Ejecuta un conjunto de detectores de vulnerabilidades, imprime información visual sobre los detalles del contrato y proporciona una API para escribir fácilmente análisis personalizados. Slither permite a los desarrolladores encontrar vulnerabilidades, mejorar su comprensión del código y prototipar rápidamente análisis personalizados.

• Características
• Uso
• Cómo instalar
  • Usando uv (Recomendado)
  • Usando Pip
  • Usando Git
  • Usando Docker
  • Integración
• Detectores
• Impresoras
  • Impresoras de Revisión Rápida
  • Impresoras de Revisión en Profundidad
• Herramientas
• Documentación de la API
• Obtener Ayuda
• Preguntas Frecuentes
• Licencia
• Publicaciones
  • Publicación de Trail of Bits
  • Publicaciones externas

Características

• Detecta código Solidity vulnerable con bajos falsos positivos (ver la lista de trofeos)
• Identifica dónde ocurre la condición de error en el código fuente
• Se integra fácilmente en la integración continua y en compilaciones de Hardhat/Foundry
• 'Impresoras' integradas que reportan rápidamente información crucial del contrato
• API de detectores para escribir análisis personalizados en Python
• Capacidad de analizar contratos escritos con Solidity >= 0.4
• Representación intermedia (SlithIR) permite análisis simples y de alta precisión
• Analiza correctamente el 99.9% de todo el código Solidity público
• Tiempo de ejecución promedio de menos de 1 segundo por contrato
• Se integra con el escaneo de código de Github en CI
• Soporte para contratos inteligentes Vyper

Uso

Ejecuta Slither en una aplicación Hardhat/Foundry/Dapp/Brownie:```console slither .

Esta es la opción preferida si tu proyecto tiene dependencias, ya que Slither se basa en el marco de compilación subyacente para compilar el código fuente.

Sin embargo, puedes ejecutar Slither en un solo archivo que no importe dependencias:```console
slither tests/uninitialized.sol

Cómo instalar

Nota Slither requiere Python 3.10+. Si no vas a usar uno de los frameworks de compilación compatibles, necesitas solc, el compilador de Solidity; recomendamos usar solc-select para cambiar convenientemente entre versiones de solc.

Usando uv (Recomendado)

uv es un gestor de paquetes de Python rápido que es 10-100x más rápido que pip.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

Para actualizar:```console
uv tool upgrade slither-analyzer

Usando Pip```console

python3 -m pip install slither-analyzer

Para actualizar:```console
python3 -m pip install --upgrade slither-analyzer

Usando Brew```console

brew install slither-analyzer

### Usando Git (Desarrollo)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

The -e flag installs in editable mode, meaning changes to the source code are immediately reflected without reinstalling.

Usando Docker

Use la imagen docker eth-security-toolbox. Incluye todas nuestras herramientas de seguridad y todas las versiones principales de Solidity en una sola imagen. /home/share se montará en /share dentro del contenedor.```bash docker pull trailofbits/eth-security-toolbox

Para compartir un directorio en el contenedor:```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

Integración

• Para integración de GitHub Action, usa slither-action.
• Para integración de pre-commit, usa (reemplaza $GIT_TAG con la etiqueta real) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• Para generar un informe en Markdown, use slither [objetivo] --checklist.
• Para generar un Markdown con resaltado de código fuente de GitHub, use slither [objetivo] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (reemplace ORG, REPO, COMMIT)

Detectores

Para más información, consulte

• La Documentación de Detectores para detalles sobre cada detector
• La Selección de Detección para ejecutar solo los detectores seleccionados. Por defecto, se ejecutan todos los detectores.
• El Modo de Triaje para filtrar resultados individuales

Impresoras

Impresoras de Revisión Rápida

• human-summary: Imprime un resumen legible por humanos de los contratos
• inheritance-graph: Exporta el gráfico de herencia de cada contrato a un archivo dot
• contract-summary: Imprime un resumen de los contratos
• loc: Cuenta el número total de líneas de código (LOC), líneas de código fuente (SLOC) y líneas de código de comentario (CLOC) encontradas en archivos fuente (SRC), dependencias (DEP) y archivos de prueba (TEST).
• entry-points: Imprime todas las funciones de punto de entrada que cambian el estado y sus variables de los contratos

Impresoras de Revisión en Profundidad* call-graph: Exportar el grafo de llamadas de los contratos a un archivo dot

• cfg: Exportar el CFG de cada función
• function-summary: Imprimir un resumen de las funciones
• vars-and-auth: Imprimir las variables de estado escritas y la autorización de las funciones
• not-pausable: Imprimir funciones que no usan el modificador whenNotPaused.

Para ejecutar un printer, use --print y una lista separada por comas de printers.

Consulte la documentación de Printer para obtener la lista completa.

Herramientas

• slither-check-upgradeability: Revisar la actualización basada en delegatecall
• slither-prop: Generación automática de pruebas unitarias y propiedades
• slither-flat: Aplanar una base de código
• slither-check-erc: Verificar la conformidad con los ERC
• slither-read-storage: Leer valores de almacenamiento de contratos
• slither-interface: Generar una interfaz para un contrato

Consulte la documentación de Herramientas para herramientas adicionales.

Contáctenos para obtener ayuda en la creación de herramientas personalizadas.

Documentación de la API

La documentación sobre los componentes internos de Slither está disponible aquí.

Obtener ayuda

No dude en pasar por nuestro canal de Slack (#ethereum) para obtener ayuda sobre el uso o la extensión de Slither.

• La documentación de Printer describe la información que Slither es capaz de visualizar para cada contrato.

• La documentación de Detector describe cómo escribir un nuevo análisis de vulnerabilidades.

• La documentación de la API describe los métodos y objetos disponibles para análisis personalizados.

• La documentación de SlithIR describe la representación intermedia SlithIR.

FAQ

¿Cómo excluyo mocks o pruebas?

• Consulte nuestra documentación sobre filtrado de rutas.

¿Cómo soluciono el error "archivo desconocido" o problemas de compilación?

• Debido a que Slither requiere el AST de solc, debe tener todas las dependencias disponibles. Si un contrato tiene dependencias, slither contract.sol fallará. En su lugar, use slither . en el directorio padre de contracts/ (debería ver contracts/ cuando ejecute ls). Si tiene una carpeta node_modules/, debe estar en el mismo directorio que contracts/. Para verificar que este problema está relacionado con Slither, ejecute el comando de compilación del framework que está utilizando, por ejemplo npx hardhat compile. Eso debe funcionar correctamente; de lo contrario, el motor de compilación de Slither, crytic-compile, no puede generar el AST.

Licencia

Slither está licenciado y distribuido bajo la licencia AGPLv3. Contáctenos si busca una excepción a los términos.

Publicaciones

Publicación de Trail of Bits

• Slither: Un Framework de Análisis Estático para Contratos Inteligentes, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

Publicaciones externas

Si está utilizando Slither en un trabajo académico, considere postularse al Premio de Investigación Crytic de $10k.