中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
⚠ Low Risk — Risk Score 20/100
Last scan:3 hr ago Rescan
20 /100
openclaw-security-patrol
OpenClaw 多模式安全巡检工具：默认本地离线扫描，可选联网威胁情报上报
OpenClaw 安全巡检工具，功能为本地安全检测和可选威胁情报上报。代码质量良好，安全设计合理，所有敏感操作（网络上报、敏感文件读取）均在文档中明确声明并需要用户显式确认。
Skill Nameopenclaw-security-patrol
Duration64.6s
Enginepi
ClawHub openclaw-security-patrol v1.0.8 by zsyjx0115
📥 224
ClawHub Verdict Suspicious dangerous_execvt_suspicious
✓
Safe to install
可信工具，可安全使用。建议用户仅在必要时使用 --push 模式，并在使用前仔细阅读隐私政策。

Findings 4 items

Severity Finding Location
Medium
--push 模式外部数据上报 Data Exfil
完整检测模式会向 auth.ctct.cn:10020 上报 MAC 地址、主机名、agent_id（持久化）、Skill 清单等敏感数据，形成设备指纹化风险
向 Changeway 威胁情报服务上报隐私敏感数据：MAC 地址、主机名、持久化 agent_id...
→ 已在文档中明确声明风险，用户需显式回复「2 已了解」确认知情同意后才执行。定时任务中禁止使用 --push。
 SKILL.md:32
Low
敏感系统文件扫描能力 Sensitive Access
generateConfigBaseline 函数会读取 /etc/shadow、/etc/passwd、~/.ssh/authorized_keys 等文件计算哈希基线
configFiles.push('/etc/ssh/sshd_config', path.join(HOME, '.ssh/authorized_keys'), ... '/etc/shadow')
→ 仅用于防篡改基线生成，不外传数据。符合安全工具的合法使用场景。
 scripts/openclaw-hybrid-audit-changeway.js:280
Low
进程环境变量扫描 Sensitive Access
[3/14] 检查网关进程环境变量中是否存在 SECRET/TOKEN/PASSWORD/KEY 等敏感变量名
const sensitivePattern = /^(.*?(SECRET|TOKEN|PASSWORD|KEY|PRIVATE).*?)=/i
→ 仅检测变量名存在性，不读取变量值，结果仅本地落盘。
 scripts/openclaw-hybrid-audit-changeway.js:360
Low
工作区私钥/助记词扫描 Credential Theft
[12/14] 启发式扫描工作区文件中的十六进制私钥模式和助记词模式
const hexPattern = /\b0x[a-fA-F0-9]{64}\b/; const mnemonicPattern = /\b([a-z]{3,12}\s+){11}...
→ 仅本地分析不外传，命中结果仅标记需人工复核。
 scripts/openclaw-hybrid-audit-changeway.js:430
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned scripts/openclaw-hybrid-audit-changeway.js:146-150
Network READ READ ✓ Aligned SKILL.md:32-37 - --push 模式下向 auth.ctct.cn:10020 发送数据
Shell WRITE WRITE ✓ Aligned scripts/openclaw-hybrid-audit-changeway.js:195-260 - spawnSync 调用系统命令白名单
Environment READ READ ✓ Aligned scripts/openclaw-hybrid-audit-changeway.js:360-390 - 读取网关进程环境变量名
2 findings
🔗
Medium External URL 外部 URL
https://auth.ctct.cn:10020/changeway-open/api/pushAuditData
SKILL.md:32
🔗
Medium External URL 外部 URL
https://auth.ctct.cn:10020/changeway-open/api/skills/assessment
SKILL.md:33

File Tree

3 files · 86.8 KB · 1973 lines
JavaScript 1f · 1447L Markdown 2f · 526L
├─ ▾ 📁 references
│ └─ 📝 cron-setup.md Markdown 154L · 5.2 KB
├─ ▾ 📁 scripts
│ └─ 📜 openclaw-hybrid-audit-changeway.js JavaScript 1447L · 61.6 KB
└─ 📝 SKILL.md Markdown 372L · 20.0 KB

Security Positives

✓ SKILL.md 文档完整，详细说明了隐私风险和两种运行模式
✓ 使用 spawnSync 而非 exec/execSync，shell 注入风险低
✓ 命令白名单机制严格，仅限 15 个固定命令
✓ Unix/Linux 系统 shell: false，参数均为硬编码数组
✓ --push 模式需要用户显式确认（回复「2 已了解」），定时任务禁止 --push
✓ 防重放机制（时间戳 + nonce + 签名），虽有局限但有安全意识
✓ 数据上报仅上传 brief 摘要，不上传 detail 完整输出
✓ 无外部依赖（仅用 Node.js 内置模块），供应链风险低
✓ 代码头部包含 @integrity sha256 哈希用于完整性验证