Slither, o analisador estático de contratos inteligentes

Junte-se ao Slack do Empire Hacking

- Discussões e Suporte

Slither é um framework de análise estática para Solidity e Vyper escrito em Python3. Ele executa um conjunto de detectores de vulnerabilidades, exibe informações visuais sobre detalhes dos contratos e fornece uma API para escrever análises personalizadas facilmente. Slither permite que desenvolvedores encontrem vulnerabilidades, melhorem sua compreensão do código e criem protótipos rapidamente de análises personalizadas.

• Funcionalidades
• Uso
• Como instalar
  • Usando uv (Recomendado)
  • Usando Pip
  • Usando Git
  • Usando Docker
  • Integração
• Detectores
• Relatórios
  • Relatórios de Revisão Rápida
  • Relatórios de Revisão Detalhada
• Ferramentas
• Documentação da API
• Obtendo Ajuda
• FAQ
• Licença
• Publicações
  • Publicação da Trail of Bits
  • Publicações externas

Funcionalidades

• Detecta código Solidity vulnerável com baixas taxas de falsos positivos (veja a lista de troféus)
• Identifica onde a condição de erro ocorre no código-fonte
• Integra-se facilmente em integração contínua e builds Hardhat/Foundry
• Os 'printers' integrados relatam rapidamente informações cruciais do contrato
• API de detectores para escrever análises personalizadas em Python
• Capacidade de analisar contratos escritos com Solidity >= 0.4
• Representação intermediária (SlithIR) possibilita análises simples e de alta precisão
• Analisa corretamente 99.9% de todo o código Solidity público
• Tempo médio de execução de menos de 1 segundo por contrato
• Integra-se com a varredura de código do Github em CI
• Suporte para contratos inteligentes Vyper

Uso

Execute o Slither em uma aplicação Hardhat/Foundry/Dapp/Brownie:```console slither .

Esta é a opção preferida se o seu projeto possui dependências, já que o Slither depende da estrutura de compilação subjacente para compilar o código-fonte.

No entanto, você pode executar o Slither em um único arquivo que não importa dependências:```console
slither tests/uninitialized.sol

Como instalar

Nota O Slither requer Python 3.10+. Se você não for usar um dos frameworks de compilação suportados, precisará do solc, o compilador Solidity; recomendamos usar o solc-select para alternar convenientemente entre versões do solc.

Usando uv (Recomendado)

O uv é um gerenciador de pacotes Python rápido, 10 a 100 vezes mais rápido que o pip.```console

Install uv if you haven't already

curl -LsSf https://astral.sh/uv/install.sh | sh

Install slither as a tool

uv tool install slither-analyzer

Or run slither without installation

uvx --from slither-analyzer slither

Para atualizar:```console
uv tool upgrade slither-analyzer

Usando Pip```console

python3 -m pip install slither-analyzer

Para atualizar:```console
python3 -m pip install --upgrade slither-analyzer

Usando Brew```console

brew install slither-analyzer

### Usando Git (Desenvolvimento)```bash
git clone https://github.com/crytic/slither.git && cd slither

# Install as editable for development
uv tool install -e .

# Or use uv run for testing without installation
uv run slither <target>

A flag -e instala em modo editável, o que significa que as alterações no código-fonte são refletidas imediatamente sem necessidade de reinstalação.

Usando Docker

Use a imagem docker eth-security-toolbox. Ela inclui todas as nossas ferramentas de segurança e todas as principais versões do Solidity em uma única imagem. /home/share será montado em /share no contêiner.```bash docker pull trailofbits/eth-security-toolbox

Para compartilhar um diretório no contêiner:```bash
docker run -it -v /home/share:/share trailofbits/eth-security-toolbox

Integração

• Para integração com GitHub action, use slither-action.
• Para integração com pre-commit, use (substitua $GIT_TAG pela tag real) ```YAML
  • repo: https://github.com/crytic/slither rev: $GIT_TAG hooks:
    • id: slither
  root@kitploit:~

• Para gerar um relatório Markdown, use slither [target] --checklist.
• Para gerar um Markdown com realce de código fonte do GitHub, use slither [target] --checklist --markdown-root https://github.com/ORG/REPO/blob/COMMIT/ (substitua ORG, REPO, COMMIT)

Detectores

Para mais informações, veja

• A Documentação dos Detectores para detalhes sobre cada detector
• A Seleção de Detecção para executar apenas detectores selecionados. Por padrão, todos os detectores são executados.
• O Modo de Triagem para filtrar resultados individuais

Impressoras

Impressoras de Revisão Rápida

• human-summary: Imprime um resumo legível por humanos dos contratos
• inheritance-graph: Exporta o gráfico de herança de cada contrato para um arquivo dot
• contract-summary: Imprime um resumo dos contratos
• loc: Conta o número total de linhas de código (LOC), linhas de código fonte (SLOC) e linhas de código de comentário (CLOC) encontradas em arquivos fonte (SRC), dependências (DEP) e arquivos de teste (TEST).
• entry-points: Imprime todas as funções de ponto de entrada que alteram estado e suas variáveis dos contratos

Impressoras de Revisão Detalhada* call-graph: Exportar o grafo de chamadas dos contratos para um arquivo dot

• cfg: Exportar o CFG de cada função
• function-summary: Imprimir um resumo das funções
• vars-and-auth: Imprimir as variáveis de estado escritas e a autorização das funções
• not-pausable: Imprimir funções que não usam o modificador whenNotPaused.

Para executar um printer, use --print e uma lista separada por vírgulas de printers.

Consulte a Documentação do Printer para obter as listas completas.

Ferramentas

• slither-check-upgradeability: Revisar a atualizabilidade baseada em delegatecall
• slither-prop: Geração automática de testes unitários e propriedades
• slither-flat: Achatar uma base de código
• slither-check-erc: Verificar a conformidade com os ERCs
• slither-read-storage: Ler valores de armazenamento de contratos
• slither-interface: Gerar uma interface para um contrato

Consulte a Documentação de Ferramentas para ferramentas adicionais.

Entre em contato conosco para obter ajuda na construção de ferramentas personalizadas.

Documentação da API

A documentação sobre os detalhes internos do Slither está disponível aqui.

Obtendo Ajuda

Sinta-se à vontade para passar em nosso canal no Slack (#ethereum) para obter ajuda no uso ou na extensão do Slither.

• A Documentação do Printer descreve as informações que o Slither é capaz de visualizar para cada contrato.

• A Documentação do Detector descreve como escrever uma nova análise de vulnerabilidade.

• A Documentação da API descreve os métodos e objetos disponíveis para análises personalizadas.

• A Documentação do SlithIR descreve a representação intermediária SlithIR.

Perguntas Frequentes

Como excluir mocks ou testes?

• Consulte nossa documentação sobre filtragem de caminho.

Como corrigir "arquivo desconhecido" ou problemas de compilação?

• Como o slither requer a AST do solc, todas as dependências devem estar disponíveis. Se um contrato tiver dependências, slither contract.sol falhará. Em vez disso, use slither . no diretório pai de contracts/ (você deve ver contracts/ ao executar ls). Se você tiver uma pasta node_modules/, ela deve estar no mesmo diretório que contracts/. Para verificar se esse problema está relacionado ao slither, execute o comando de compilação do framework que você está usando, por exemplo, npx hardhat compile. Isso deve funcionar com sucesso; caso contrário, o motor de compilação do slither, crytic-compile, não conseguirá gerar a AST.

Licença

O Slither é licenciado e distribuído sob a licença AGPLv3. Entre em contato conosco se estiver procurando uma exceção aos termos.

Publicações

Publicação da Trail of Bits

• Slither: A Static Analysis Framework For Smart Contracts, Josselin Feist, Gustavo Grieco, Alex Groce - WETSEB '19

Publicações externas

Se você estiver usando o Slither em um trabalho acadêmico, considere se candidatar ao Prêmio de Pesquisa Crytic de $10k.