Slither, l'analizzatore statico di smart contract

Unisciti a Empire Hacking Slack

- Discussioni e supporto

Slither è un framework di analisi statica per Solidity e Vyper scritto in Python3. Esegue una suite di rilevatori di vulnerabilità, stampa informazioni visive sui dettagli dei contratti e fornisce un'API per scrivere facilmente analisi personalizzate. Slither consente agli sviluppatori di trovare vulnerabilità, migliorare la comprensione del codice e prototipare rapidamente analisi personalizzate.

• Caratteristiche
• Utilizzo
• Come installare
  • Usando uv (Consigliato)
  • Usando Pip
  • Usando Git
  • Usando Docker
  • Integrazione
• Rilevatori
• Stampanti
  • Stampanti per revisione rapida
  • Stampanti per revisione approfondita
• Strumenti
• Documentazione API
• Ottenere aiuto
• FAQ
• Licenza
• Pubblicazioni
  • Pubblicazione di Trail of Bits
  • Pubblicazioni esterne

Caratteristiche

• Rileva codice Solidity vulnerabile con bassi falsi positivi (vedi l'elenco dei trofei)
• Identifica dove si verifica la condizione di errore nel codice sorgente
• Si integra facilmente con l'integrazione continua e le build di Hardhat/Foundry
• Le 'stampanti' integrate riportano rapidamente informazioni cruciali sui contratti
• API per i rilevatori per scrivere analisi personalizzate in Python
• Capacità di analizzare contratti scritti con Solidity >= 0.4
• La rappresentazione intermedia (SlithIR) consente analisi semplici e ad alta precisione
• Analizza correttamente il 99,9% di tutto il codice Solidity pubblico
• Tempo di esecuzione medio inferiore a 1 secondo per contratto
• Si integra con la scansione del codice di Github in CI
• Supporto per smart contract Vyper

Utilizzo

Esegui Slither su un'applicazione Hardhat/Foundry/Dapp/Brownie:```console slither .

Questa è l'opzione preferita se il tuo progetto ha dipendenze, poiché Slither si basa sul framework di compilazione sottostante per compilare il codice sorgente.

Tuttavia, puoi eseguire Slither su un file singolo che non importa dipendenze:```console
slither tests/uninitialized.sol

Come installare

Nota Slither richiede Python 3.10+. Se non intendi utilizzare uno dei framework di compilazione supportati, hai bisogno di solc, il compilatore Solidity; consigliamo di utilizzare solc-select per passare comodamente tra le versioni di solc.

Usando uv (Consigliato)

uv è un gestore di pacchetti Python veloce che è da 10 a 100 volte più rapido di pip.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

Per aggiornare:```console
uv tool upgrade slither-analyzer

Usare Pip```console

python3 -m pip install slither-analyzer

Per aggiornare:```console
python3 -m pip install --upgrade slither-analyzer

Usare Brew```console

brew install slither-analyzer

### Usare Git (Sviluppo)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

Il flag -e installa in modalità modificabile, il che significa che le modifiche al codice sorgente vengono immediatamente riflesse senza dover reinstallare.

Utilizzo di Docker

Utilizza l'immagine docker eth-security-toolbox. Include tutti i nostri strumenti di sicurezza e ogni versione principale di Solidity in una singola immagine. /home/share verrà montato su /share nel contenitore.```bash docker pull trailofbits/eth-security-toolbox

Per condividere una directory nel contenitore:```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

Integrazione

• Per l'integrazione con GitHub Action, utilizza slither-action.
• Per l'integrazione con pre-commit, utilizza (sostituisci $GIT_TAG con un tag reale) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• Per generare un report in Markdown, usa slither [target] --checklist.
• Per generare un Markdown con l'evidenziazione del codice sorgente di GitHub, usa slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (sostituisci ORG, REPO, COMMIT)

Rilevatori

Per maggiori informazioni, consulta

• La Documentazione dei Rilevatori per i dettagli su ogni rilevatore
• La Selezione dei Rilevatori per eseguire solo rilevatori selezionati. Per impostazione predefinita, vengono eseguiti tutti i rilevatori.
• La Modalità di Triage per filtrare i singoli risultati

Stampanti

Stampanti per Revisione Rapida

• human-summary: Stampa un riepilogo leggibile dei contratti
• inheritance-graph: Esporta il grafico di ereditarietà di ogni contratto in un file dot
• contract-summary: Stampa un riepilogo dei contratti
• loc: Conta il numero totale di righe di codice (LOC), righe di codice sorgente (SLOC) e righe di commento (CLOC) trovate nei file sorgente (SRC), dipendenze (DEP) e file di test (TEST).
• entry-points: Stampa tutte le funzioni di entry point che modificano lo stato e le loro variabili dei contratti

Stampanti per Revisione Approfondita* call-graph: Esporta il grafo delle chiamate dei contratti in un file dot

• cfg: Esporta il CFG di ogni funzione
• function-summary: Stampa un riepilogo delle funzioni
• vars-and-auth: Stampa le variabili di stato scritte e l'autorizzazione delle funzioni
• not-pausable: Stampa le funzioni che non usano il modificatore whenNotPaused.

Per eseguire un printer, usa --print e un elenco separato da virgole di printer.

Consulta la documentazione dei printer per gli elenchi completi.

Strumenti

• slither-check-upgradeability: Revisiona l'aggiornabilità basata su delegatecall
• slither-prop: Generazione automatica di test unitari e proprietà
• slither-flat: Appiattisci un codebase
• slither-check-erc: Verifica la conformità ERC
• slither-read-storage: Leggi i valori di storage dai contratti
• slither-interface: Genera un'interfaccia per un contratto

Consulta la documentazione degli strumenti per ulteriori strumenti.

Contattaci per ricevere assistenza nella creazione di strumenti personalizzati.

Documentazione API

La documentazione degli interni di Slither è disponibile qui.

Come ottenere aiuto

Sentiti libero di passare dal nostro canale Slack (#ethereum) per assistenza nell'uso o nell'estensione di Slither.

• La documentazione dei printer descrive le informazioni che Slither è in grado di visualizzare per ogni contratto.

• La documentazione dei detector descrive come scrivere una nuova analisi delle vulnerabilità.

• La documentazione dell'API descrive i metodi e gli oggetti disponibili per analisi personalizzate.

• La documentazione di SlithIR descrive la rappresentazione intermedia SlithIR.

FAQ

Come si escludono mock o test?

• Consulta la nostra documentazione sul filtraggio dei percorsi.

Come risolvo "file sconosciuto" o problemi di compilazione?

• Poiché slither richiede l'AST di solc, deve avere tutte le dipendenze disponibili. Se un contratto ha dipendenze, slither contract.sol fallirà. Invece, usa slither . nella directory padre di contracts/ (dovresti vedere contracts/ quando esegui ls). Se hai una cartella node_modules/, deve trovarsi nella stessa directory di contracts/. Per verificare che questo problema sia relativo a slither, esegui il comando di compilazione per il framework che stai utilizzando, ad esempio npx hardhat compile. Deve funzionare con successo; altrimenti, il motore di compilazione di slither, crytic-compile, non può generare l'AST.

Licenza

Slither è concesso in licenza e distribuito sotto la licenza AGPLv3. Contattaci se cerchi un'eccezione ai termini.

Pubblicazioni

Pubblicazione di Trail of Bits

• Slither: A Static Analysis Framework For Smart Contracts, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

Pubblicazioni esterne

Se stai usando Slither in un lavoro accademico, considera di candidarti al Crytic $10k Research Prize.