安全决策报告
odds-movement-monitor
合法体育博彩盘口监控工具，存在硬编码API密钥和供应链风险，无明显恶意行为但安全实践不佳
最直接的威胁证据
高危 凭证窃取
硬编码Billing API密钥暴露 payment.py:12 包含硬编码的billing API密钥'sk_f03aa8f8bbcf79f7aa11c112d904780f22e62add1464e3c41a79600a451eb1d2'，该密钥可用于向skillpay.me发起计费请求，可能被滥用
payment.py:12 为什么得出这个结论
2/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
阻止
隐藏执行与外联
提取到 1 个高危 IOC 或外联信号。
阻止
攻击链与高危发现
报告包含 0 步攻击链，另有 1 项高危或严重发现。
复核
依赖与供应链卫生
发现 2 项需要关注的依赖或供应链线索。
风险分是怎么被拉高的
硬编码API密钥暴露 +20
payment.py:12 硬编码billing API密钥，可能被滥用进行未授权计费
依赖版本未锁定 +8
requirements.txt使用>=模糊版本，存在供应链风险
敏感文件标记 +5
config.json被标记为敏感文件，内容未完整检查
网络请求超出声明 +2
payment.py向skillpay.me发起计费请求，SKILL.md仅模糊提及
最关键的证据
高危 凭证窃取
硬编码Billing API密钥暴露
payment.py:12 包含硬编码的billing API密钥'sk_f03aa8f8bbcf79f7aa11c112d904780f22e62add1464e3c41a79600a451eb1d2'，该密钥可用于向skillpay.me发起计费请求，可能被滥用
payment.py:12 应使用环境变量SKILLPAY_API_KEY存储密钥，不应在代码中明文存储
中危 供应链
依赖版本未锁定
requirements.txt使用>=模糊版本声明，aiohttp>=3.8.0和requests>=2.28.0可能在未来引入不兼容变更或安全漏洞
requirements.txt:1 应锁定精确版本号，如aiohttp==3.9.0
低危 文档欺骗
付费功能声明不明确
SKILL.md仅提及'已接入SkillPay'但未明确说明计费机制的具体实现细节（API endpoint、密钥存储方式）
SKILL.md:1 建议在文档中明确说明计费流程和密钥管理方式
声明能力 vs 实际能力
文件系统 通过
声明 READ
→ 推断 WRITE
monitor.py:61 创建SQLite数据库存储赔率数据 网络访问 通过
声明 READ
→ 推断 WRITE
monitor.py:88 向the-odds-api.com获取赔率；payment.py:19 向skillpay.me发起计费请求 命令执行 通过
声明 NONE
→ 推断 NONE
未发现subprocess或shell执行 环境变量 通过
声明 NONE
→ 推断 READ
payment.py:18 读取SKILLPAY_USER_ID环境变量 可疑产物与外联
高危 API 密钥
API_KEY = "sk_f03aa8f8bbcf79f7aa11c112d904780f22e62add1464e3c41a79600a451eb1d2" payment.py:12
中危 外部 URL
https://api.the-odds-api.com/v4 config.json:15
中危 外部 URL
https://the-odds-api.com/ monitor.py:527
中危 外部 URL
https://skillpay.me payment.py:11
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| aiohttp | >=3.8.0 | pip | 否 | 无版本锁定 |
| requests | >=2.28.0 | pip | 否 | 无版本锁定 |
文件构成
10 个文件 · 1745 行
Python 5 个文件 · 1432 行Markdown 2 个文件 · 240 行JSON 2 个文件 · 71 行Text 1 个文件 · 2 行
需关注文件 · 5
config.json https://api.the-odds-api.com/v4
monitor.py https://the-odds-api.com/
payment.py 硬编码Billing API密钥暴露 · API_KEY = "sk_f03aa8f8bbcf79f7aa11c112d904780f22e62add1464e3c41a79600a451eb1d2" · https://skillpay.me
SKILL.md 付费功能声明不明确
requirements.txt 依赖版本未锁定
其他文件 · change_detector.py · demo.py · README.md · __init__.py · _meta.json
安全亮点
核心功能代码结构清晰，无明显混淆
网络请求均有合理解释（赔率API + 计费验证）
未发现凭证收割、环境变量遍历等高危模式
未发现反向shell、C2通信等恶意行为
未发现base64管道、eval(atob())等执行混淆