中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：6 小时前 重新扫描
5 /100
wenshushu-file-uploader
文叔叔文件上传技能，自动上传文件到文叔叔并生成分享链接和取件码
这是一个标准的文叔叔文件上传技能，代码功能与文档声明完全一致，无恶意行为。
技能名称wenshushu-file-uploader
分析耗时55.1s
引擎pi
✓
可以安装
可直接使用。建议维护者将硬编码的 UV_PATH 改为动态检测以提高健壮性。

安全发现 3 项

严重性 安全发现 位置
低危
uv 安装使用 curl|sh 管道 供应链
install.sh 第 11 行使用 `curl -LsSf https://astral.sh/uv/install.sh | sh` 安装 uv，属于远程脚本执行。但这是安装声明依赖项 uv 的标准方式，且已在 SKILL.md 中明确说明，为合理用途。
curl -LsSf https://astral.sh/uv/install.sh | sh
→ 可考虑改用包管理器安装 uv（如 apt install uv）以减少管道执行风险，但当前方式对包管理器安装工具而言属于业界通行做法。
 install.sh:11
低危
硬编码 uv 路径可能导致安装失败 权限提升
scripts/upload.py 硬编码 UV_PATH="/root/.local/bin/uv"，若 uv 安装到其他位置会无法找到，但不影响安全性。
UV_PATH = "/root/.local/bin/uv"
→ 建议使用 shutil.which("uv") 动态检测 uv 路径。
 scripts/upload.py:10
低危
文档提及敏感路径访问但未实际实现 敏感访问
SKILL.md 中提到 ~/.config/wenshushu/token.txt 和 ~/.openclaw/memory/wenshushu-uploads.jsonl 作为配置/记录路径，暗示会读写这些位置。但 upload.py 实际代码中并未访问这些路径（当前仅调用 wssf 工具），属于文档声明但未实现的功能。
登录 token: ~/.config/wenshushu/token.txt
→ 确认这些路径访问是否为未来计划，如无需从文档中移除以避免混淆。
 SKILL.md:136
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 scripts/upload.py:88 filepath.exists()
命令执行 WRITE WRITE ✓ 一致 scripts/upload.py:24 subprocess.run([UV_PATH, "run", "wssf", ...])
网络访问 READ READ ✓ 一致 SKILL.md: 上传文件到 wenshushu.cn
环境变量 READ READ ✓ 一致 install.sh:11 检查 python3 命令
1 严重 16 项发现
💀
严重 危险命令 危险 Shell 命令
curl -LsSf https://astral.sh/uv/install.sh | sh
README.md:65
🔗
中危 外部 URL 外部 URL
https://astral.sh/uv/install.sh
README.md:65
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/xxxxx
README.md:86
🔗
中危 外部 URL 外部 URL
http://127.0.0.1:7890
README.md:102
🔗
中危 外部 URL 外部 URL
https://www.wenshushu.cn
README.md:139
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/jfgffcbqack
README.md:218
🔗
中危 外部 URL 外部 URL
https://www.wenshushu.cn/t/jfgffCbQD8zbtJCs
README.md:223
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/xxxxxx
README.md:237
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/aaa
README.md:249
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/bbb
README.md:253
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/ccc
README.md:257
🔗
中危 外部 URL 外部 URL
https://wenshushu.cn
README.md:360
🔗
中危 外部 URL 外部 URL
https://openclaw.ai
README.md:362
🔗
中危 外部 URL 外部 URL
https://www.wenshushu.cn/t/xxxxx
SKILL.md:87
🔗
中危 外部 URL 外部 URL
https://c.wss.ink/f/jfgeidlyzdf
SKILL.md:233
🔗
中危 外部 URL 外部 URL
https://www.wenshushu.cn/t/jfgeiDlYwit3IuLs
SKILL.md:236

目录结构

5 文件 · 21.9 KB · 868 行
Markdown 2f · 642L Python 1f · 183L Shell 1f · 37L JSON 1f · 6L
├─ ▾ 📁 scripts
│ └─ 🐍 upload.py Python 183L · 4.9 KB
├─ 📋 _meta.json JSON 6L · 235 B
├─ 🔧 install.sh Shell 37L · 940 B
├─ 📝 README.md Markdown 375L · 9.4 KB
└─ 📝 SKILL.md Markdown 267L · 6.5 KB

依赖分析 2 项

包名版本来源已知漏洞备注
wssf 5.0.6 pip (uv pip) 否 版本已锁定，来源为 PyPI
uv 未声明 官方安装脚本 否 通过 curl|sh 从 astral.sh 安装，SKILL.md 已声明

安全亮点

✓ 依赖包版本锁定：wssf==5.0.6，避免依赖供应链风险
✓ 代码实现与 SKILL.md 文档声明高度一致，无阴影功能
✓ 文件路径通过 Path.resolve() 和 .exists() 进行了合法性检查
✓ subprocess 调用有明确的 timeout（5分钟），防止资源耗尽
✓ 使用 uv 虚拟环境隔离依赖，符合最佳实践
✓ 无 base64、eval、字符串拼接命令注入等危险模式
✓ 无凭证收割、远程 C2 通信或数据外泄行为
✓ 错误处理完善，返回结构化的成功/失败信息