Caratteristiche

• Rileva codice Solidity vulnerabile con bassi falsi positivi (vedi l'elenco dei trofei)
• Identifica dove si verifica la condizione di errore nel codice sorgente
• Si integra facilmente con l'integrazione continua e le build di Hardhat/Foundry
• Le 'stampanti' integrate riportano rapidamente informazioni cruciali sui contratti
• API per i rilevatori per scrivere analisi personalizzate in Python
• Capacità di analizzare contratti scritti con Solidity >= 0.4
• La rappresentazione intermedia (SlithIR) consente analisi semplici e ad alta precisione
• Analizza correttamente il 99,9% di tutto il codice Solidity pubblico
• Tempo di esecuzione medio inferiore a 1 secondo per contratto
• Si integra con la scansione del codice di Github in CI
• Supporto per smart contract Vyper

Utilizzo

Esegui Slither su un'applicazione Hardhat/Foundry/Dapp/Brownie:```console slither .

Come installare

Nota Slither richiede Python 3.10+. Se non intendi utilizzare uno dei framework di compilazione supportati, hai bisogno di solc, il compilatore Solidity; consigliamo di utilizzare solc-select per passare comodamente tra le versioni di solc.

Usando uv (Consigliato)

uv è un gestore di pacchetti Python veloce che è da 10 a 100 volte più rapido di pip.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

Usare Pip```console

python3 -m pip install slither-analyzer

Usare Brew```console

brew install slither-analyzer

Il flag -e installa in modalità modificabile, il che significa che le modifiche al codice sorgente vengono immediatamente riflesse senza dover reinstallare.

Utilizzo di Docker

Utilizza l'immagine docker eth-security-toolbox. Include tutti i nostri strumenti di sicurezza e ogni versione principale di Solidity in una singola immagine. /home/share verrà montato su /share nel contenitore.```bash docker pull trailofbits/eth-security-toolbox

Integrazione

• Per l'integrazione con GitHub Action, utilizza slither-action.
• Per l'integrazione con pre-commit, utilizza (sostituisci $GIT_TAG con un tag reale) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• Per generare un report in Markdown, usa slither [target] --checklist.
• Per generare un Markdown con l'evidenziazione del codice sorgente di GitHub, usa slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (sostituisci ORG, REPO, COMMIT)

Rilevatori

Per maggiori informazioni, consulta

• La Documentazione dei Rilevatori per i dettagli su ogni rilevatore
• La Selezione dei Rilevatori per eseguire solo rilevatori selezionati. Per impostazione predefinita, vengono eseguiti tutti i rilevatori.
• La Modalità di Triage per filtrare i singoli risultati

Stampanti

Stampanti per Revisione Rapida

• human-summary: Stampa un riepilogo leggibile dei contratti
• inheritance-graph: Esporta il grafico di ereditarietà di ogni contratto in un file dot
• contract-summary: Stampa un riepilogo dei contratti
• loc: Conta il numero totale di righe di codice (LOC), righe di codice sorgente (SLOC) e righe di commento (CLOC) trovate nei file sorgente (SRC), dipendenze (DEP) e file di test (TEST).
• entry-points: Stampa tutte le funzioni di entry point che modificano lo stato e le loro variabili dei contratti

Stampanti per Revisione Approfondita* call-graph: Esporta il grafo delle chiamate dei contratti in un file dot

• cfg: Esporta il CFG di ogni funzione
• function-summary: Stampa un riepilogo delle funzioni
• vars-and-auth: Stampa le variabili di stato scritte e l'autorizzazione delle funzioni
• not-pausable: Stampa le funzioni che non usano il modificatore whenNotPaused.

Per eseguire un printer, usa --print e un elenco separato da virgole di printer.

Consulta la documentazione dei printer per gli elenchi completi.

Strumenti

• slither-check-upgradeability: Revisiona l'aggiornabilità basata su delegatecall
• slither-prop: Generazione automatica di test unitari e proprietà
• slither-flat: Appiattisci un codebase
• slither-check-erc: Verifica la conformità ERC
• slither-read-storage: Leggi i valori di storage dai contratti
• slither-interface: Genera un'interfaccia per un contratto

Consulta la documentazione degli strumenti per ulteriori strumenti.

Contattaci per ricevere assistenza nella creazione di strumenti personalizzati.

Documentazione API

La documentazione degli interni di Slither è disponibile qui.

Come ottenere aiuto

Sentiti libero di passare dal nostro canale Slack (#ethereum) per assistenza nell'uso o nell'estensione di Slither.

• La documentazione dei printer descrive le informazioni che Slither è in grado di visualizzare per ogni contratto.

• La documentazione dei detector descrive come scrivere una nuova analisi delle vulnerabilità.

• La documentazione dell'API descrive i metodi e gli oggetti disponibili per analisi personalizzate.

• La documentazione di SlithIR descrive la rappresentazione intermedia SlithIR.

FAQ

Come si escludono mock o test?

• Consulta la nostra documentazione sul filtraggio dei percorsi.

Come risolvo "file sconosciuto" o problemi di compilazione?

• Poiché slither richiede l'AST di solc, deve avere tutte le dipendenze disponibili. Se un contratto ha dipendenze, slither contract.sol fallirà. Invece, usa slither . nella directory padre di contracts/ (dovresti vedere contracts/ quando esegui ls). Se hai una cartella node_modules/, deve trovarsi nella stessa directory di contracts/. Per verificare che questo problema sia relativo a slither, esegui il comando di compilazione per il framework che stai utilizzando, ad esempio npx hardhat compile. Deve funzionare con successo; altrimenti, il motore di compilazione di slither, crytic-compile, non può generare l'AST.

Licenza

Slither è concesso in licenza e distribuito sotto la licenza AGPLv3. Contattaci se cerchi un'eccezione ai termini.

Pubblicazioni

Pubblicazione di Trail of Bits

• Slither: A Static Analysis Framework For Smart Contracts, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

Pubblicazioni esterne

Se stai usando Slither in un lavoro accademico, considera di candidarti al Crytic $10k Research Prize.