# Solana 漏洞扫描器 ## 1\.目的系统扫描 Solana 程序（本机和 Anchor 框架），查找与跨程序调用、帐户验证和程序派生地址相关的特定于平台的安全漏洞。该技能编码了 Solana 帐户模型特有的 6 种关键漏洞模式。 ## 2\.何时使用此技能 * 审核 Solana 程序（原生 Rust 或 Anchor） * 审查跨程序调用（CPI）逻辑 * 验证程序派生地址 (PDA) 实现 * Solana 协议发布前安全评估 * 审查帐户验证模式 * 评估指令自省逻辑 ## 3\.平台检测 ### 文件扩展名和指示符 * **Rust 文件**：`.rs` ### 语言/框架标记 // 原生 Solana 程序指标使用 solana_program::{ 帐户信息::帐户信息，入口点，入口点::程序结果，公钥::公钥, 程序::调用，程序::invoke_signed, }; 入口点！（处理指令）； // 锚定框架指标使用anchor_lang::prelude::*； #[节目] 酒吧模组我的程序{ pub fn 初始化(ctx: Context<初始化>) -> 结果<()> { // 程序逻辑 } } #[导出（账户）] pub 结构初始化<'信息> { #[账户(mut)] 发布权限：Signer<'info>, } // 常见模式帐户信息、公钥调用（），调用_签名（）签名者<'信息>，帐户<'信息> #[account(...)] 有约束种子、肿块 ### 项目结构 * `programs/*/src/lib.rs` \- 程序实现 * `Anchor.toml` \- 锚点配置 * `Cargo.toml` 与 `solana-program` 或 `anchor-lang` * `tests/` \- 程序测试 ### 工具支持 * **Trail of Bits Solana Lints** ：Solana 的 Rust linters * 安装：添加到Cargo.toml * **anchor test** : 内置测试框架 * **Solana 测试验证器** ：本地测试环境 ** ** ## 4\.这项技能如何发挥作用当被调用时，我将： 1. **在您的代码库中搜索 Solana/Anchor 程序 2. **分析每个程序**的 6 种漏洞模式 3. **报告结果**以及文件参考和严重性 4. **为每个已识别的问题提供修复** 5. **检查帐户验证**和 CPI 安全 ** ** ## 5\.示例输出 ** ** ## 5\.漏洞模式（6种模式）我检查了 Solana 特有的 6 种关键漏洞模式。有关详细的检测模式、代码示例、缓解措施和测试策略，请参阅 [VULNERABILITY_PATTERNS.md]()。 ### 模式摘要： 1. **任意 CPI** ⚠️ 严重 - CPI 调用中用户控制的程序 ID 2. **不正确的 PDA 验证** ⚠️ 严重 - 在没有规范冲突的情况下使用 create_program_address 3. **缺少所有权检查** ⚠️ HIGH - 在没有所有者验证的情况下反序列化帐户 4. **缺少签名者检查** ⚠️ 严重 - 没有 is_signer 检查的权限操作 5. **Sysvar 帐户检查** ⚠️ HIGH - 欺骗 sysvar 帐户（Solana 1.8.1 之前的版本） 6. **不正确的指令内省** ⚠️ MEDIUM - 允许重用的绝对索引有关包含代码示例的完整漏洞模式，请参阅 [VULNERABILITY_PATTERNS.md]()。 ## 5\.扫描工作流程 ### 第 1 步：平台识别 1.验证Solana程序（本机或Anchor） 2.检查Solana版本（1.8.1+用于sysvar安全） 3. 找到程序源（`programs/*/src/lib.rs`） 4. 确定框架（原生与 Anchor） ### 第 2 步：CPI 安全审查 # 查找所有 CPI 调用 rg“调用\(|invoke_signed\(”程序/ # 在每次之前检查程序 ID 验证 # 应该在调用之前立即查看程序 ID 检查对于每个 CPI： * 调用前验证程序ID * 无法传递用户控制的程序帐户 * 锚点：使用 `Program<'info, T>` 类型 ### 步骤 3：PDA 验证检查 # 查找 PDA 使用情况 rg“查找程序地址|创建程序地址”程序/ rg“种子。*碰撞”程序/ # Anchor：检查种子约束 rg "#\[帐户.*种子" 程序/ 对于每个 PDA： * 使用 `find_program_address()` 或锚定 `seeds` 约束 * 凹凸种子储存和重复使用 * 不使用用户提供的凹凸 ### 第 4 步：帐户验证扫描 # 查找账户反序列化 rg“try_from_slice|try_deserialize”程序/ # 反序列化前应该查看所有者检查 rg "\.owner\s*==|\.owner\s*!=" 程序/ 对于每个使用的帐户： * 反序列化前验证所有者 * 签名者检查授权帐户 * 锚点：使用 `Account<'info, T>` 和 `Signer<'info>` ### 步骤 5：指令内省审查 # 查找指令内省用法 rg“load_instruction_at|load_current_index|get_instruction_relative”程序/ # 检查已检查的版本 rg“load_instruction_at_checked|load_current_index_checked”程序/ * 使用检查函数（Solana 1.8.1+） * 使用相对索引 * 适当的相关性验证 ### 第 6 步：Solana Lints 位的踪迹 # 添加到 Cargo.toml [依赖项] solana-program = "1.17" # 使用最新版本 [lints.clippy] # 启用 Solana 特定的 lints #（solana-lints 位的踪迹，如果可用） ** ** ## 6\.报告格式 ### 寻找模板 ## [严重] 任意 CPI - 未经检查的程序 ID **位置**：`programs/vault/src/lib.rs:145-160`（提现功能） **描述**： “withdraw”函数执行 CPI 来转移 SPL 代币，而不验证提供的“token_program”帐户实际上是 SPL 代币程序。攻击者可以提供看似执行转账但实际上窃取代币或执行未经授权的操作的恶意程序。 **易受攻击的代码**： ``生锈 // lib.rs，第 145 行 pub fnwithdraw(ctx: Context, amount: u64) -> Result<()> { 让 token_program = &ctx.accounts.token_program; // 错误：没有验证 token_program.key()！调用（ &spl_token::指令::传输(...), &[ ctx.accounts.vault.to_account_info(), ctx.accounts.destination.to_account_info(), ctx.accounts.authority.to_account_info(), token_program.to_account_info(), // 未验证 ], ）？；好的(()) } **攻击场景**： 1. 攻击者部署恶意“令牌程序”，记录传输指令但不执行它 2. 攻击者调用withdraw()，提供恶意程序token_program 3. Vault的权威签署交易 4. 恶意程序接收带有vault签名的CPI 5. 恶意程序现在可以冒充金库并耗尽真实代币 **建议** ：使用 Anchor 的 `Program<'info, Token>` 类型：使用anchor_spl::token::{令牌，转账}； #[导出（账户）] pub struct Withdraw<'信息> { #[账户(mut)] pub金库：帐户<'info，TokenAccount>， #[账户(mut)] pub 目的地：Account<'info, TokenAccount>, 发布权限：Signer<'info>, pub token_program: Program<'info, Token>, // 自动验证程序 ID } pub fnwithdraw(ctx: Context, amount: u64) -> Result<()> { 让 cpi_accounts = 转账 { 来自：ctx.accounts.vault.to_account_info(), 至：ctx.accounts.destination.to_account_info(), 权限：ctx.accounts.authority.to_account_info(), }; 让 cpi_ctx = CpiContext::new( ctx.accounts.token_program.to_account_info(), cpi_帐户，）； anchor_spl::token::transfer(cpi_ctx, amount)?; 好的(()) } **参考文献**： * 构建安全合约/不那么智能的合约/solana/任意_cpi * 位 lint 的踪迹：`unchecked-cpi-program-id` --- ## 7. 优先级准则 ### 严重（需要立即修复） - 任意CPI（攻击者控制的程序执行） - 不正确的 PDA 验证（帐户欺骗） - 缺少签名者检查（未经授权的访问） ### 高（发布前修复） - 缺少所有权检查（虚假帐户数据） - Sysvar 帐户检查（绕过身份验证，1.8.1 之前的版本） ### Medium（审计中的地址） - 不正确的指令自省（逻辑旁路） --- ## 8. 测试建议 ### 单元测试 ``生锈 #[cfg（测试）] 模组测试{ 使用超级::*; #[测试] #[应该恐慌] fn test_rejects_wrong_program_id() { // 提供错误的程序 ID，应该会失败 } #[测试] #[应该恐慌] fn test_rejects_non_canonical_pda() { // 提供非规范碰撞，应该会失败 } #[测试] #[应该恐慌] fn test_requires_signer() { // 没有签名的调用，应该会失败 } } ### 集成测试（锚点）从“@coral-xyz/anchor”导入*作为锚点；描述（“安全测试”，（）=> { it("拒绝任意CPI", async () => { const fakeTokenProgram =anchor.web3.Keypair.generate(); 尝试{ 等待程序.方法 .提款（金额） .账户({ tokenProgram: fakeTokenProgram.publicKey, // 错误的程序 }) .rpc(); assert.fail("应该拒绝假程序"); } 捕获（错误）{ // 预计会失败 } }); }); ### Solana 测试验证器 # 运行本地验证器进行测试 solana-测试验证器 # 部署并测试程序锚定测试 ** ** ## 9\.其他资源 * **构建安全合约** : `building-secure-contracts/not-so-smart-contracts/solana/` * **Solana Lints 位轨迹**： * **锚文档** : * **Solana 程序库** ： * **Solana 食谱**： ** ** ## 10\.快速参考清单在完成 Solana 计划审核之前： **CPI 安全（严重）**： * 所有 CPI 调用都会在 `invoke()` 之前验证程序 ID * 不能使用用户提供的程序帐户 * 锚点：使用 `Program<'info, T>` 类型 **PDA 安全性（关键）**： * PDA 使用 `find_program_address()` 或锚定 `seeds` 约束 *凹凸种子存储和重复使用（非用户提供） * PDA 帐户根据规范地址进行验证 **帐户验证（高）**： * 反序列化前所有账户检查所有者 * 本机：验证 `account.owner == Expected_program_id` * 锚点：使用 `Account<'info, T>` 类型 **签名者验证（关键）**： * 所有权限账户检查 `is_signer` * 本机：验证 `account.is_signer == true` * 锚点：使用 `Signer<'info>` 类型 **系统变量安全性（高）**： * 使用 Solana 1.8.1+ * 使用检查函数：`load_instruction_at_checked()` * Sysvar 地址已验证 **指令内省（中）**： * 使用相对索引进行关联 * 相关指令之间的正确验证 * 不能在多次调用中重复使用相同的指令 **测试**： * 单元测试涵盖所有帐户验证 * 与恶意输入的集成测试 * 本地验证器测试已完成 * Trail of Bits lints 启用并通过

Solana 漏洞扫描器

包含技能