Slither, l'analyseur statique de contrats intelligents

Rejoignez le Slack Empire Hacking

- Discussions et Support

Slither est un framework d'analyse statique pour Solidity et Vyper écrit en Python3. Il exécute une suite de détecteurs de vulnérabilités, affiche des informations visuelles sur les détails des contrats, et fournit une API pour écrire facilement des analyses personnalisées. Slither permet aux développeurs de trouver des vulnérabilités, d'améliorer leur compréhension du code, et de prototyper rapidement des analyses personnalisées.

• Fonctionnalités
• Utilisation
• Installation
  • Avec uv (Recommandé)
  • Avec pip
  • Avec Git
  • Avec Docker
  • Intégration
• Détecteurs
• Affichages
  • Affichages de révision rapide
  • Affichages de révision approfondie
• Outils
• Documentation de l'API
• Obtenir de l'aide
• FAQ
• Licence
• Publications
  • Publication de Trail of Bits
  • Publications externes

Fonctionnalités

• Détecte le code Solidity vulnérable avec un faible taux de faux positifs (voir la liste des trophées)
• Identifie où l'erreur se produit dans le code source
• S'intègre facilement dans l'intégration continue et les builds Hardhat/Foundry
• Les 'printers' intégrés rapportent rapidement les informations cruciales du contrat
• API de détecteur pour écrire des analyses personnalisées en Python
• Capacité à analyser des contrats écrits avec Solidity >= 0.4
• La représentation intermédiaire (SlithIR) permet des analyses simples et de haute précision
• Analyse correctement 99,9 % de tout le code Solidity public
• Temps d'exécution moyen inférieur à 1 seconde par contrat
• S'intègre avec le scan de code de GitHub dans l'IC
• Prise en charge des contrats intelligents Vyper

Utilisation

Exécutez Slither sur une application Hardhat/Foundry/Dapp/Brownie :```console slither .

C'est l'option préférée si votre projet a des dépendances, car Slither s'appuie sur le framework de compilation sous-jacent pour compiler le code source.

Cependant, vous pouvez exécuter Slither sur un seul fichier qui n'importe pas de dépendances :```console
slither tests/uninitialized.sol

Comment installer

Remarque Slither nécessite Python 3.10+. Si vous n'utilisez pas l'un des frameworks de compilation pris en charge, vous avez besoin de solc, le compilateur Solidity ; nous recommandons d'utiliser solc-select pour basculer facilement entre les versions de solc.

Utiliser uv (Recommandé)

uv est un gestionnaire de paquets Python rapide qui est 10 à 100 fois plus rapide que pip.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

Pour mettre à niveau:```console
uv tool upgrade slither-analyzer

Utilisation de Pip```console

python3 -m pip install slither-analyzer

Pour mettre à niveau :```console
python3 -m pip install --upgrade slither-analyzer

Utilisation de Brew```console

brew install slither-analyzer

### Utilisation de Git (Développement)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

Le drapeau -e installe en mode éditable, ce qui signifie que les modifications du code source sont immédiatement appliquées sans réinstallation.

Utilisation de Docker

Utilisez l'image docker eth-security-toolbox. Elle inclut tous nos outils de sécurité et chaque version majeure de Solidity dans une seule image. /home/share sera monté sur /share dans le conteneur.```bash docker pull trailofbits/eth-security-toolbox

Pour partager un répertoire dans le conteneur :```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

Intégration

• Pour l'intégration avec GitHub Action, utilisez slither-action.
• Pour l'intégration pre-commit, utilisez (remplacez $GIT_TAG par le vrai tag) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• Pour générer un rapport Markdown, utilisez slither [target] --checklist.
• Pour générer un Markdown avec mise en évidence du code source GitHub, utilisez slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (remplacez ORG, REPO, COMMIT)

Détecteurs

Pour plus d'informations, voir

• La Documentation des détecteurs pour les détails de chaque détecteur
• La Sélection des détecteurs pour exécuter uniquement les détecteurs sélectionnés. Par défaut, tous les détecteurs sont exécutés.
• Le Mode de triage pour filtrer les résultats individuels

Imprimantes

Imprimantes de révision rapide

• human-summary : Imprime un résumé lisible des contrats
• inheritance-graph : Exporte le graphe d'héritage de chaque contrat vers un fichier dot
• contract-summary : Imprime un résumé des contrats
• loc : Compte le nombre total de lignes de code (LOC), de lignes de code source (SLOC) et de lignes de commentaire (CLOC) trouvées dans les fichiers sources (SRC), les dépendances (DEP) et les fichiers de test (TEST).
• entry-points : Imprime toutes les fonctions de point d'entrée modifiant l'état et leurs variables des contrats

Imprimantes de révision approfondie* call-graph: Exporter le graphe d'appel des contrats vers un fichier dot

• cfg: Exporter le CFG de chaque fonction
• function-summary: Afficher un résumé des fonctions
• vars-and-auth: Afficher les variables d'état écrites et l'autorisation des fonctions
• not-pausable: Afficher les fonctions qui n'utilisent pas le modificateur whenNotPaused.

Pour exécuter une imprimante, utilisez --print et une liste d'imprimantes séparées par des virgules.

Consultez la documentation des imprimantes pour la liste complète.

Outils

• slither-check-upgradeability: Vérifier la mise à niveau basée sur delegatecall
• slither-prop: Génération automatique de tests unitaires et de propriétés
• slither-flat: Aplatir une base de code
• slither-check-erc: Vérifier la conformité ERC
• slither-read-storage: Lire les valeurs de stockage des contrats
• slither-interface: Générer une interface pour un contrat

Consultez la documentation des outils pour des outils supplémentaires.

Contactez-nous pour obtenir de l'aide sur la construction d'outils personnalisés.

Documentation de l'API

La documentation sur les internes de Slither est disponible ici.

Obtenir de l'aide

N'hésitez pas à passer sur notre canal Slack (#ethereum) pour obtenir de l'aide sur l'utilisation ou l'extension de Slither.

• La documentation des imprimantes décrit les informations que Slither est capable de visualiser pour chaque contrat.

• La documentation des détecteurs décrit comment écrire une nouvelle analyse de vulnérabilité.

• La documentation de l'API décrit les méthodes et objets disponibles pour les analyses personnalisées.

• La documentation SlithIR décrit la représentation intermédiaire SlithIR.

FAQ

Comment exclure les mocks ou les tests ?

• Consultez notre documentation sur le filtrage de chemin.

Comment corriger les problèmes de fichier inconnu ou de compilation ?

• Comme Slither nécessite l'AST de solc, toutes les dépendances doivent être disponibles. Si un contrat a des dépendances, slither contract.sol échouera. Utilisez plutôt slither . dans le répertoire parent de contracts/ (vous devriez voir contracts/ lorsque vous exécutez ls). Si vous avez un dossier node_modules/, il doit se trouver dans le même répertoire que contracts/. Pour vérifier que ce problème est lié à Slither, exécutez la commande de compilation pour le framework que vous utilisez, par exemple npx hardhat compile. Cela doit fonctionner avec succès ; sinon, le moteur de compilation de Slither, crytic-compile, ne peut pas générer l'AST.

Licence

Slither est sous licence et distribué sous la licence AGPLv3. Contactez-nous si vous recherchez une exception aux conditions.

Publications

Publication de Trail of Bits

• Slither: A Static Analysis Framework For Smart Contracts, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

Publications externes

Si vous utilisez Slither dans un travail académique, envisagez de postuler au Crytic $10k Research Prize.