SuperAPI AI 工具集

access-control

通用与其它

查看项目

更新于 10-16 01:35

技能介绍

用途:这是面向 Solana 与 Anchor 的访问控制审查技能,源自 Trail of Bits 的 Solana 安全技能,由 Sealevel Guard 修改并以 CC BY-SA 4.0 分发。它用于判断特权行为是否被暴露给错误的签名者、权限或账户路径。

主要能力:覆盖缺失签名者校验、管理员或权限转移薄弱、特权指令暴露、升级权限集中,以及带权限账户的误用。检查点包括:修改状态或转移价值却缺少强签名者校验的指令;可被错误主体触发的权限变更;由可变账户推断而非强制校验得出的管理员角色;以不安全方式集中的升级或治理权限;预期权限与实际校验权限不一致。

Anchor 相关启发式:预期为特权但约束不够严格的账户、错误的 has_one 假设、指令处理器中薄弱或缺失的权限校验、缺少稳健校验的可变配置或金库权限。

输出形式:报告发现时需包含受影响的指令或账户路径、权限边界为何薄弱、谁可利用、可触发何种操作,以及是否为 ship_blocker。示例主题包括未授权管理员更新、金库权限混淆、特权指令缺少签名者门禁、不安全的升级或紧急权限集中。

限制:资料未提供具体安装命令、运行方式、依赖版本或收费信息,暂未提供。