WHCSRL 技术网

使用Slither检查智能合约

    Slither是一个专门用来对Solidity智能合约进行Bug分析的工具,使用Slither可以方便的检测合约里的缺陷和漏洞,但是该工具有漏报现象,比如对for循环里的数据溢出检测就不是很灵敏,需要人工审计代码。

1、本地方式安装Slither

a) 先安装Python3
    安装Python3的方法,请看这篇文章的第9章节。

b)再安装Slither

    打开一个黑框框终端,依次输入如下命令:

python3 -m pip install --upgrade pip
pip3 install slither-analyzer
  • 1
  • 2

2、使用Slither

2.1 docker方式安装slither

    a) 先安装docker
    在Mac上安装docker,请看这篇文章

    b) 在docker里拉取slither镜像

docker pull trailofbits/eth-security-toolbox
  • 1

2.2 创建合约

    创建contracts/DoubleWrite.sol合约

mkdir -p /Users/apple/Documents/myProject/docSafe/unit01/check03/contracts
touch DoubleWrite.sol
  • 1
  • 2

    DoubleWrite.sol的内容如下:
    //DoubleWrite.sol

// SPDX-License-Identifier: MIT
pragma solidity ^0.6.0;

contract Buggy {
    function doWrite() pure external {
        uint a = 300;
        uint b = 500;
        a = b;
        uint c = 800;
        a = 1000;
        b = c;
    }
}
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13

2.3 测试合约

    打开一个黑框框终端,启动输入如下命令:

docker run -it -v /Users/apple/Documents/myProject/docSafe/unit01/check03/contracts:/contract trailofbits/eth-security-toolbox
  • 1

    上述命令的含义:启动一个eth-security-toolbox容器,将本地PC地址:/Users/apple/Documents/myProject/docSafe/unit01/check03/contracts ,映射到docker里/contract地址

    使用slither检查DoubleWrite合约

## 进入docker的/contract文件夹
cd /contract

## 检查合约
slither DoubleWrite.sol --solc /usr/bin/solc-v0.6.11
  • 1
  • 2
  • 3
  • 4
  • 5

    如图(1)所示,slither已经检查出uint a被赋值了2次,即发生了重写(多余的赋值),可以将多余的赋值语句去掉即可。

图(1) 使用slither检查合约

推荐阅读