Slither, स्मार्ट कॉन्ट्रैक्ट स्टैटिक एनालाइज़र

एम्पायर हैकिंग स्लैक में शामिल हों

- चर्चाएँ और सहायता

Slither एक Solidity और Vyper स्टैटिक विश्लेषण फ्रेमवर्क है जो Python3 में लिखा गया है। यह भेद्यता डिटेक्टरों का एक सेट चलाता है, कॉन्ट्रैक्ट विवरणों के बारे में दृश्य जानकारी प्रिंट करता है, और आसानी से कस्टम विश्लेषण लिखने के लिए एक API प्रदान करता है। Slither डेवलपर्स को कमजोरियों का पता लगाने, अपनी कोड समझ को बढ़ाने और तेज़ी से कस्टम विश्लेषणों का प्रोटोटाइप बनाने में सक्षम बनाता है।

• विशेषताएँ
• उपयोग
• कैसे स्थापित करें
  • uv का उपयोग करके (अनुशंसित)
  • Pip का उपयोग करके
  • Git का उपयोग करके
  • Docker का उपयोग करके
  • एकीकरण
• डिटेक्टर
• प्रिंटर
  • त्वरित समीक्षा प्रिंटर
  • गहन समीक्षा प्रिंटर
• उपकरण
• API दस्तावेज़ीकरण
• सहायता प्राप्त करना
• FAQ
• लाइसेंस
• प्रकाशन
  • Trail of Bits प्रकाशन
  • बाहरी प्रकाशन

विशेषताएँ

• कम झूठी सकारात्मकता के साथ कमजोर Solidity कोड का पता लगाता है (ट्रॉफियों की सूची देखें [./trophies.md])
• स्रोत कोड में त्रुटि की स्थिति की पहचान करता है
• निरंतर एकीकरण और Hardhat/Foundry बिल्ड में आसानी से एकीकृत होता है
• अंतर्निहित 'प्रिंटर' महत्वपूर्ण कॉन्ट्रैक्ट जानकारी की त्वरित रिपोर्ट करते हैं
• Python में कस्टम विश्लेषण लिखने के लिए डिटेक्टर API
• Solidity >= 0.4 के साथ लिखे गए कॉन्ट्रैक्ट का विश्लेषण करने की क्षमता
• मध्यवर्ती प्रतिनिधित्व (SlithIR) सरल, उच्च-सटीक विश्लेषण सक्षम बनाता है
• सभी सार्वजनिक Solidity कोड का 99.9% सही ढंग से पार्स करता है
• प्रति कॉन्ट्रैक्ट 1 सेकंड से कम का औसत निष्पादन समय
• CI में Github के कोड स्कैनिंग के साथ एकीकृत होता है
• Vyper स्मार्ट कॉन्ट्रैक्ट के लिए समर्थन

उपयोग

किसी Hardhat/Foundry/Dapp/Brownie एप्लिकेशन पर Slither चलाएँ:```console slither .

यह पसंदीदा विकल्प है यदि आपके प्रोजेक्ट में निर्भरताएँ हैं क्योंकि Slither स्रोत कोड संकलित करने के लिए अंतर्निहित संकलन ढांचे पर निर्भर करता है।

हालांकि, आप Slither को एक एकल फ़ाइल पर चला सकते हैं जो निर्भरताएँ आयात नहीं करती:```console
slither tests/uninitialized.sol

कैसे स्थापित करें

नोट Slither को Python 3.10+ की आवश्यकता है। यदि आप नहीं हैं समर्थित संकलन फ्रेमवर्क में से किसी एक का उपयोग करने जा रहे हैं, तो आपको solc, Solidity कंपाइलर की आवश्यकता है; हम solc संस्करणों के बीच सुविधाजनक रूप से स्विच करने के लिए solc-select का उपयोग करने की सलाह देते हैं।

uv का उपयोग करना (अनुशंसित)

uv एक तेज़ Python पैकेज मैनेजर है जो pip से 10-100x तेज़ है।```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

अपग्रेड करने के लिए:```console
uv tool upgrade slither-analyzer

Pip का उपयोग करना```console

python3 -m pip install slither-analyzer

अपग्रेड करने के लिए:```console
python3 -m pip install --upgrade slither-analyzer

Brew का उपयोग करके```console

brew install slither-analyzer

### Git का उपयोग (विकास)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

The -e फ़्लैग एडिटेबल मोड में इंस्टॉल करता है, जिसका अर्थ है कि स्रोत कोड में किए गए परिवर्तन बिना पुनः इंस्टॉल किए तुरंत प्रभावी हो जाते हैं।

Docker का उपयोग करना

Docker इमेज eth-security-toolbox का उपयोग करें। इसमें हमारे सभी सुरक्षा उपकरण और Solidity के हर प्रमुख संस्करण एक ही इमेज में शामिल हैं। /home/share को कंटेनर में /share पर माउंट किया जाएगा।```bash docker pull trailofbits/eth-security-toolbox

कंटेनर में एक निर्देशिका साझा करने के लिए:```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

एकीकरण

• GitHub एक्शन एकीकरण के लिए, slither-action का उपयोग करें।
• प्री-कमिट एकीकरण के लिए, उपयोग करें ($GIT_TAG को वास्तविक टैग से बदलें) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• मार्कडाउन रिपोर्ट उत्पन्न करने के लिए, slither [target] --checklist का उपयोग करें।
• GitHub स्रोत कोड हाइलाइटिंग के साथ मार्कडाउन उत्पन्न करने के लिए, slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ का उपयोग करें (ORG, REPO, COMMIT को बदलें)

डिटेक्टर

अधिक जानकारी के लिए देखें

• प्रत्येक डिटेक्टर के विवरण के लिए डिटेक्टर दस्तावेज़ीकरण
• केवल चयनित डिटेक्टर चलाने के लिए डिटेक्शन चयन। डिफ़ॉल्ट रूप से, सभी डिटेक्टर चलाए जाते हैं।
• व्यक्तिगत परिणामों को फ़िल्टर करने के लिए ट्राइएज मोड

प्रिंटर

त्वरित समीक्षा प्रिंटर

• human-summary: कॉन्ट्रैक्ट का मानव-पठनीय सारांश प्रिंट करें
• inheritance-graph: प्रत्येक कॉन्ट्रैक्ट के वंशानुक्रम ग्राफ़ को डॉट फ़ाइल में निर्यात करें
• contract-summary: कॉन्ट्रैक्ट का सारांश प्रिंट करें
• loc: स्रोत फ़ाइलों (SRC), निर्भरताओं (DEP), और परीक्षण फ़ाइलों (TEST) में पाई गई कोड की कुल पंक्तियों (LOC), स्रोत कोड की पंक्तियों (SLOC), और टिप्पणी कोड की पंक्तियों (CLOC) की गणना करें।
• entry-points: कॉन्ट्रैक्ट के सभी अवस्था-परिवर्तन प्रवेश बिंदु फंक्शन और उनके चर प्रिंट करें

गहन समीक्षा प्रिंटर* call-graph: अनुबंधों का कॉल-ग्राफ़ एक डॉट फ़ाइल में निर्यात करें

• cfg: प्रत्येक फ़ंक्शन का CFG निर्यात करें
• function-summary: फ़ंक्शनों का सारांश प्रिंट करें
• vars-and-auth: लिखे गए स्टेट वेरिएबल और फ़ंक्शनों का प्राधिकरण प्रिंट करें
• not-pausable: उन फ़ंक्शनों को प्रिंट करें जो whenNotPaused मॉडिफ़ायर का उपयोग नहीं करते.

प्रिंटर चलाने के लिए, --print और अल्पविराम से अलग किए गए प्रिंटरों की सूची का उपयोग करें।

पूरी सूची के लिए प्रिंटर दस्तावेज़ीकरण देखें।

Tools

• slither-check-upgradeability: delegatecall-आधारित अपग्रेडेबिलिटी की समीक्षा करें
• slither-prop: स्वचालित यूनिट परीक्षण और प्रॉपर्टी जनरेशन
• slither-flat: कोडबेस को फ़्लैट करें
• slither-check-erc: ERC की अनुरूपता जाँचें
• slither-read-storage: अनुबंधों से स्टोरेज मान पढ़ें
• slither-interface: एक अनुबंध के लिए इंटरफ़ेस जनरेट करें

अतिरिक्त उपकरणों के लिए उपकरण दस्तावेज़ीकरण देखें।

कस्टम उपकरण बनाने में सहायता प्राप्त करने के लिए हमसे संपर्क करें.

API Documentation

Slither के आंतरिक भागों पर दस्तावेज़ीकरण यहाँ उपलब्ध है।

Getting Help

Slither का उपयोग या विस्तार करने में सहायता के लिए हमारे Slack चैनल (#ethereum) पर आने के लिए स्वतंत्र महसूस करें।

• प्रिंटर दस्तावेज़ीकरण प्रत्येक अनुबंध के लिए Slither द्वारा विज़ुअलाइज़ करने योग्य जानकारी का वर्णन करता है।
• डिटेक्टर दस्तावेज़ीकरण एक नई भेद्यता विश्लेषण कैसे लिखें, इसका वर्णन करता है।
• API दस्तावेज़ीकरण कस्टम विश्लेषणों के लिए उपलब्ध विधियों और वस्तुओं का वर्णन करता है।
• SlithIR दस्तावेज़ीकरण SlithIR मध्यवर्ती प्रतिनिधित्व का वर्णन करता है।

FAQ

मैं मॉक या परीक्षणों को कैसे बाहर करूं?

• पथ फ़िल्टरिंग पर हमारा दस्तावेज़ीकरण देखें।

मैं "अज्ञात फ़ाइल" या संकलन संबंधी समस्याओं को कैसे ठीक करूं?

• क्योंकि slither को solc AST की आवश्यकता है, इसलिए सभी निर्भरताएँ उपलब्ध होनी चाहिए। यदि किसी अनुबंध में निर्भरताएँ हैं, तो slither contract.sol विफल हो जाएगा। इसके बजाय, contracts/ के पैरेंट डायरेक्टरी में slither . का उपयोग करें (जब आप ls चलाते हैं तो आपको contracts/ दिखाई देना चाहिए)। यदि आपके पास node_modules/ फ़ोल्डर है, तो यह contracts/ के समान डायरेक्टरी में होना चाहिए। यह सत्यापित करने के लिए कि यह समस्या slither से संबंधित है, आप जिस फ्रेमवर्क का उपयोग कर रहे हैं उसके लिए संकलन कमांड चलाएं, जैसे npx hardhat compile। यह सफलतापूर्वक काम करना चाहिए; अन्यथा, slither का संकलन इंजन, crytic-compile, AST उत्पन्न नहीं कर सकता।

License

Slither AGPLv3 लाइसेंस के तहत लाइसेंस प्राप्त और वितरित है। यदि आप शर्तों के अपवाद की तलाश में हैं तो हमसे संपर्क करें.

Publications

Trail of Bits publication

• Slither: स्मार्ट कॉन्ट्रैक्ट्स के लिए एक स्थैतिक विश्लेषण फ्रेमवर्क, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

External publications

यदि आप किसी शैक्षणिक कार्य पर Slither का उपयोग कर रहे हैं, तो Crytic $10k अनुसंधान पुरस्कार के लिए आवेदन करने पर विचार करें।