安全决策报告

linkfox-expert-aba-keyword-heat-analyst (orchestrator + 6 sub-skills)

Name: linkfox-expert-aba-keyword-heat-analyst (orchestrator + 6 sub-skills) 可信度判断报告
Item: linkfox-expert-aba-keyword-heat-analyst (orchestrator + 6 sub-skills)
Rating: 80
Author: ClawSafe

亚马逊关键词研究与报告生成工具集，所有功能与声明一致，IOC中的假IP实为反爬User-Agent指纹而非恶意C2，无数据外泄或凭证窃取。

安装决策优先来源: ClawHub 扫描时间: 2026/9/16

文件 40

IOC 21

越权项 0

发现 4

为什么得出这个结论

1/4 个维度触发

通过

声明与实际能力

声明资源与推断能力基本一致。

阻止

隐藏执行与外联

提取到 2 个高危 IOC 或外联信号。

通过

攻击链与高危发现

没有形成明确的恶意路径。

复核

依赖与供应链卫生

发现 5 项需要关注的依赖或供应链线索。

风险分是怎么被拉高的

硬编码假IP作为UA指纹（反爬规避） +15

Chrome/149.0.0.0 和 model:149.0.0.0 是伪造的浏览器版本/设备型号，用于绕过Amazon反爬检测，非C2基础设施

subprocess调用跨脚本链 +5

resolve_entry.py和generate_report.py通过subprocess调用其他skill脚本，属于正常模块化设计，未执行任意shell命令

最关键的证据

低危代码混淆

硬编码假IP伪装为浏览器版本/设备标识

onboarding.py:45 将 '149.0.0.0' 嵌入User-Agent字符串 'Chrome/149.0.0.0 Safari/537.36' 及 device model 字段，这是典型的反爬规避技术（伪造浏览器指纹），非恶意C2地址。该包规模大、代码质量高，确为商业化Amazon数据分析工具，假IP仅用于规避Amazon反爬检测。

skills/linkfox-aigc-textgen/scripts/onboarding.py:45

确认目标数据采集已获合法授权；考虑使用标准真实UA以提高透明度

低危供应链

无版本锁定的第三方依赖

suggestion_miner.py 导入 googletrans（pip install无版本锁定）、requests、openpyxl，aba_common.py使用标准库urllib。所有依赖均为常规数据处理库，无已知恶意依赖。

skills/linkfox-amazon-suggestion-miner/scripts/suggestion_miner.py:36

建议在requirements.txt中锁定版本：googletrans==3.0.0, requests>=2.28.0

提示敏感访问

访问LinkFox平台API密钥

多文件通过os.environ读取LINKFOX_AGENT_API_KEY，用于LinkFox平台鉴权。所有凭证仅发送至linkfox.com官方域名，未外传。

skills/amazon-aba-kw-heat/scripts/aba_common.py:24

凭证使用符合预期，属于平台正常鉴权流程

提示文档欺骗

文档-行为一致，无阴影功能

审查所有7个skill，所有代码行为均与SKILL.md声明一致。无未声明的敏感操作、无隐藏的数据外泄、无文档中未提及的API调用。

SKILL.md:1

无

声明能力 vs 实际能力

网络访问 通过

声明 READ

→

推断 READ

所有skill均声明网络能力

文件系统 通过

声明 WRITE

→

推断 WRITE

保存Excel/JSON报告到本地或OSS

命令执行 通过

声明 NONE

→

推断 NONE

subprocess仅调用python脚本链，未执行bash命令

可疑产物与外联

高危 IP 地址

149.0.0.0

skills/linkfox-aigc-textgen/scripts/onboarding.py:45

高危 IP 地址

125.0.0.0

skills/linkfox-amazon-suggestion-miner/scripts/suggestion_miner.py:221

中危外部 URL

https://tool-gateway.linkfox.com/aba/intelligentQuery

skills/amazon-aba-kw-heat/references/api.md:7

中危外部 URL

https://skill.linkfox.com/linkfoxskills/guide.htm

skills/amazon-aba-kw-heat/references/api.md:9

中危外部 URL

https://skill-api.linkfox.com/api/v1/public/feedback

skills/amazon-aba-kw-heat/references/api.md:71

中危外部 URL

https://test-sz-tool-gateway.linkfox.com

skills/amazon-aba-kw-heat/scripts/aba_common.py:12

中危外部 URL

https://.../product.jpg

skills/amazon-aba-kw-heat-report/SKILL.md:73

中危外部 URL

https://agent-files.linkfox.com/example/public/echarts.min.js

skills/amazon-aba-kw-heat-report/scripts/generate_report.py:412

中危外部 URL

https://agent.linkfox.com/

skills/linkfox-aigc-textgen/references/onboarding.md:7

中危外部 URL

https://tool-gateway.linkfox.com

skills/linkfox-aigc-textgen/scripts/aigc_textgen.py:75

中危外部 URL

https://agent.linkfox.com/agreement/term

skills/linkfox-aigc-textgen/scripts/onboarding.py:52

中危外部 URL

https://agent.linkfox.com/agreement/service

skills/linkfox-aigc-textgen/scripts/onboarding.py:53

依赖与供应链

包名	版本	来源	漏洞	备注
requests	`*`	pip	否	无版本锁定，但为可信库
openpyxl	`*`	pip	否	无版本锁定，用于Excel输出
googletrans	`*`	pip	否	无版本锁定，非必需（可选依赖）
oss2	`*`	pip	否	阿里云OSS SDK，无版本锁定
qrcode	`*`	pip	否	onboarding.py二维码生成

文件构成

40 个文件 · 9811 行

Python 14 个文件 · 7791 行Markdown 15 个文件 · 1748 行JSON 11 个文件 · 272 行

需关注文件 · 6

skills/linkfox-amazon-suggestion-miner/scripts/suggestion_miner.py Python · 1823 行

无版本锁定的第三方依赖 · 125.0.0.0 · https://www.amazon.com/suggestions · https://www.amazon.com/ · https://www.amazon.com

skills/amazon-aba-kw-heat-report/scripts/generate_report.py Python · 956 行

https://agent-files.linkfox.com/example/public/echarts.min.js

skills/linkfox-aigc-textgen/scripts/onboarding.py Python · 603 行

硬编码假IP伪装为浏览器版本/设备标识 · 149.0.0.0 · https://agent.linkfox.com/agreement/term · https://agent.linkfox.com/agreement/service · https://agent.linkfox.com/agreement/privacy · https://api.linkfox.com · https://agent-api.linkfox.com

skills/linkfox-amazon-suggestion-miner/scripts/linkfox_paths.py Python · 544 行

https://tool-gateway.linkfox.com） · https://oss-cn-shenzhen.aliyuncs.com

skills/linkfox-aigc-textgen/scripts/aigc_textgen.py Python · 560 行

https://tool-gateway.linkfox.com

skills/amazon-aba-kw-heat/scripts/aba_common.py Python · 430 行

访问LinkFox平台API密钥 · https://test-sz-tool-gateway.linkfox.com

其他文件 · widget_miner.py · linkfox_paths.py · linkfox_paths.py · resolve_entry.py · resolve_entry.py · analysis-layouts.md

40 文件 · 375.4 KB · 9811 行

Python 14f · 7791LMarkdown 15f · 1748LJSON 11f · 272L

├─ ▾ 📁 skills

│ ├─ ▾ 📁 amazon-aba-kw-heat

│ │ ├─ ▾ 📁 references

│ │ │ ├─ 📝 api.md Markdown 87L · 3.3 KB

│ │ │ ├─ 📋 contract.json JSON 104L · 2.5 KB

│ │ │ └─ 📋 examples.json JSON 17L · 300 B

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 aba_common.py Python 430L · 15.6 KB

│ │ │ ├─ 🐍 resolve_entry.py Python 392L · 12.9 KB

│ │ │ └─ 🐍 shell_a.py Python 8L · 234 B

│ │ ├─ 📋 .linkfox-sync.json JSON 9L · 308 B

│ │ └─ 📝 SKILL.md Markdown 130L · 5.7 KB

│ ├─ ▾ 📁 amazon-aba-kw-heat-report

│ │ ├─ ▾ 📁 references

│ │ │ └─ 📋 layout.json JSON 95L · 2.5 KB

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 generate_report.py Python 956L · 38.8 KB

│ │ │ └─ 🐍 resolve_entry.py Python 392L · 12.9 KB

│ │ ├─ 📋 .linkfox-sync.json JSON 9L · 315 B

│ │ └─ 📝 SKILL.md Markdown 124L · 3.6 KB

│ ├─ ▾ 📁 linkfox-aigc-textgen

│ │ ├─ ▾ 📁 references

│ │ │ ├─ 📝 api.md Markdown 149L · 4.9 KB

│ │ │ └─ 📝 onboarding.md Markdown 22L · 2.0 KB

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 aigc_textgen.py Python 560L · 19.4 KB

│ │ │ └─ 🐍 onboarding.py Python 603L · 23.5 KB

│ │ ├─ 📝 SKILL.md Markdown 181L · 9.4 KB

│ │ └─ 📋 _meta.json JSON 5L · 82 B

│ ├─ ▾ 📁 linkfox-amazon-suggestion-miner

│ │ ├─ ▾ 📁 references

│ │ │ └─ 📝 api.md Markdown 79L · 2.7 KB

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 linkfox_paths.py Python 544L · 19.6 KB

│ │ │ └─ 🐍 suggestion_miner.py Python 1823L · 69.9 KB

│ │ ├─ 📋 .linkfox-sync.json JSON 9L · 321 B

│ │ ├─ 📝 SKILL.md Markdown 128L · 6.6 KB

│ │ └─ 📋 _meta.json JSON 5L · 93 B

│ ├─ ▾ 📁 linkfox-amazon-widget-miner

│ │ ├─ ▾ 📁 references

│ │ │ └─ 📝 api.md Markdown 50L · 1.6 KB

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 linkfox_paths.py Python 544L · 19.6 KB

│ │ │ └─ 🐍 widget_miner.py Python 660L · 25.1 KB

│ │ ├─ 📋 .linkfox-sync.json JSON 9L · 317 B

│ │ ├─ 📝 SKILL.md Markdown 104L · 4.6 KB

│ │ └─ 📋 _meta.json JSON 5L · 89 B

│ ├─ ▾ 📁 linkfox-file-upload

│ │ ├─ ▾ 📁 references

│ │ │ └─ 📝 api.md Markdown 61L · 3.4 KB

│ │ ├─ ▾ 📁 scripts

│ │ │ ├─ 🐍 file_upload.py Python 70L · 2.5 KB

│ │ │ └─ 🐍 linkfox_paths.py Python 564L · 20.5 KB

│ │ └─ 📝 SKILL.md Markdown 43L · 3.0 KB

│ └─ ▾ 📁 linkfox-report-generator

│ ├─ ▾ 📁 references

│ │ └─ 📝 analysis-layouts.md Markdown 315L · 11.5 KB

│ ├─ ▾ 📁 scripts

│ │ └─ 🐍 inject_report.py Python 245L · 8.9 KB

│ ├─ 📝 SKILL.md Markdown 165L · 9.1 KB

│ └─ 📋 _meta.json JSON 5L · 86 B

└─ 📝 SKILL.md Markdown 110L · 7.5 KB

安全亮点

所有网络请求仅指向合法平台域名（linkfox.com / amazon.com / aliyuncs.com），无未知服务器通信

凭证仅用于平台鉴权，未被外传或写入日志

subprocess调用的是有文档记录的关联skill脚本，非任意shell命令

代码结构完整，错误处理健全，有重试机制和超时保护

无base64解码执行、无eval调用、无敏感文件路径遍历

文档与实现100%一致，无SKILL.md中未声明的阴影功能

Aliyun OSS上传使用STS临时凭证（非永久密钥），符合云安全最佳实践