amarna

Amarna

Amarna est un analyseur statique et un linter pour le langage de programmation du Caire.

Caractéristiques

• Trouve des fumeurs de code et des vulnérabilités potentielles dans le code du Caire
• Analyse du compilateur-identique du code du Caire et des contrats Starknet
• Prend en charge la création de règles locales et globales
• Exporte le AST analysé d'un fichier du Caire
• Exporte des résultats d'analyse statique vers le format Sarif.

Utilisation de base

Analyser un projet CAIRO dans le répertoire actuel et exporter les résultats Sarif vers un fichier:

amarna . -o out.sarif

Analyser un seul fichier file.cairo et exporter les résultats Sarif vers un fichier:

amarna file.cairo -o out.sarif

Analyser un seul fichier file.cairo et imprimer un résumé des résultats:

amarna file.cairo -s

Intégration

• Pour l'intégration de l'action GitHub, utilisez l'action amarna.

Règles actuellement prises en charge

#	Règle	Ce qu'il trouve	Impact	Précision
1	Opérations arithmétiques	Toutes les utilisations des opérations arithmétiques +, -, * et /	Informations	Haut
2	Arguments inutilisés	Arguments de fonction qui ne sont pas utilisés dans les fonctions dans lesquelles elles apparaissent	Avertissement	Haut
3	Importations inutilisées	Importations inutilisées	Informations	Haut
4	Décorateurs de faux	Décorateurs de code mal tivé	Informations	Haut
5	Fonctions inutilisées	Fonctions qui ne sont jamais appelées	Informations	Moyen
6	Codes d'erreur	Les appels de fonction qui ont des valeurs de retour qui doivent être vérifiées	Informations	Haut
7	Utilisation de l'affirmation incohérente	Affirme qui utilise la même constante de différentes manières, par exemple, assert_le(amount, BOUND) et assert_le(amount, BOUND - 1)	Avertissement	Haut
8	Magasins morts	Variables qui sont attribuées de valeurs mais non utilisées avant une instruction de retour	Informations	Moyen
9	Débordements incontrôlés	Les appels de fonction qui ignorent les drapeaux de débordement renvoyés, par exemple, uint256_add	Avertissement	Haut
10	Valeur de retour d'adresse de l'appelant	Fonction appelle la fonction get_caller_address .	Informations	Haut
11	Collision variable de stockage	Plusieurs @storage_var avec le même nom. (déprécié)	Avertissement	Haut
12	Importation de fonction implicite	Fonction avec décorateur @external, @view, @l1_handler qui est implicitement importé. (déprécié)	Informations	Haut
13	Fonction de vue non appliquée	Modification d'état dans une fonction @view	Informations	Haut
14	Variable non initialisée	Variables locales qui ne sont jamais initialisées.	Informations	Haut

Usage

Analyser un projet du Caire dans le répertoire actuel et exporter les résultats vers un fichier:

amarna . -o out.sarif

Analyser un seul fichier deleverage.cairo et exporter les résultats vers un fichier:

amarna deleverage.cairo -o deleverage.sarif

Analyser un seul code.cairo de fichier.caire et imprimer un résumé des résultats:

amarna code.cairo -s

Analyser un fichier du Caire et sortir l'AST récupéré en png :

amarna file.cairo -png

Analyser un fichier du Caire avec la règle UNUSED_IMPORT:

amarna file.cairo --rules=unused-imports

Analyser un fichier du Caire en utilisant toutes les règles à l'exception de la règle arithmétique-ADD:

amarna file.cairo --except-rules=arithmetic-add

Le menu d'aide complet est:

 usage: amarna [-h] [-p] [-o OUTPUT] [-s] [-png] [-rules RULES] [-exclude-rules EXCLUDE_RULES] [-show-rules] [-disable-inline] -f

Amarna is a static-analyzer for the Cairo programming language.

positional arguments:
  -f                    the name of the .cairo file or directory with .cairo files to analyze

optional arguments:
  -h, --help            show this help message and exit
  -p, --print           print output
  -o OUTPUT, --output OUTPUT
                        file to write the output results in sarif format
  -s, -summary, --summary
                        output summary
  -png, --png           save a png with the AST of a file
  -rules RULES, --rules RULES
                        Only run this set of rules. Enter rule names comma-separated, e.g., dead-store,unused-arguments
  -exclude-rules EXCLUDE_RULES, --exclude-rules EXCLUDE_RULES
                        Exclude these rules from the analysis. Enter rule names comma-separated, e.g., dead-store,unused-arguments
  -show-rules, --show-rules
                        Show all supported rules and descriptions.
  -disable-inline, --disable-inline
                        Disable rules with inline comments. The comments should be the first line and of the form: # amarna: disable=rulename1,rulename2

Format de fichier Sarif

Le format de fichier SARIF est un format standard pour les outils d'analyse statique et peut être affiché dans VScode avec l'extension officielle.

Installation

pip install amarna

Comment fonctionnent les règles

Les règles d'analyse statique peuvent être:

• Règles locales, qui analysent chaque fichier indépendamment.
• Règles de cueilleur, qui analysent chaque fichier indépendamment et collectent des données à utiliser dans les règles post-processus.
• Les règles post-processus, qui s'exécutent après tous les fichiers analysées peuvent utiliser les données recueillies dans les règles de cueilleur.

Des exemples de ceux-ci sont:

• Règles locales: trouvez toutes les opérations arithmétiques dans un fichier
• Règles de cueilleur: rassemblez toutes les fonctions déclarées et appelés fonctions
• Règles post-processus: trouvez des fonctions inutilisées à l'aide des données recueillies, c'est-à-dire, des fonctions qui ont été déclarées mais jamais appelées.

Règle Autoriser la liste, le délié et les commentaires en ligne

Noms de règles

Obtenez les noms des règles actuellement mises en œuvre avec:

 amarna --show-rules

Liste d'autoriser la règle

Exécuter amarna avec un ensemble de règles défini en utilisant

 amarna --rules=rule1,rule2 .

La commande suivante exécutera uniquement la règle unused-imports et imprime le résultat résumé

 amarna --rules=unused-imports . -s

Dényiste

Exécutez Amarna avec toutes les règles, sauf un ensemble défini de règles en utilisant

 amarna --exclude-rules=arithmetic-add,arithmetic-sub . -s

Règle en ligne Désactivation des commentaires

Vous pouvez modifier la première ligne d'un fichier du Caire pour désactiver un ensemble de règles spécifiques sur ce fichier. Par exemple, en ajoutant la ligne

 // amarna: disable=arithmetic-div,arithmetic-sub,arithmetic-mul,arithmetic-add

comme première ligne de file.cairo et exécutant Amarna avec

amarna directory/ --disable-inline -s

ne signalera aucune règle arithmétique au fichier file.cairo .