中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：10 小时前 重新扫描
5 /100
skill-security-scanner
企业级 Skill 安全检测工具，支持静态分析 + LLM 语义分析双层检测
Skill Security Scanner 是合法的安全检测工具，所有行为均符合声明功能，无恶意代码或数据外泄风险
技能名称skill-security-scanner
分析耗时59.1s
引擎pi
✓
可以安装
可安全使用。该工具是用于检测其他 Skill 安全风险的安全产品，网络请求仅用于下载待扫描目标，文件操作仅用于读取和临时存储

安全发现 1 项

严重性 安全发现 位置
低危
危险命令参考文档 文档欺骗
references/dangerous-commands.md 和 references/rules.md 包含危险命令模式列表（rm -rf、curl|bash 等），但这些是作为扫描规则文档存在，不是实际执行代码
rm -rf /
→ 无需处理。这是检测规则的正常组成部分，用于检测目标代码中的危险操作模式
 references/dangerous-commands.md:7
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 scan.sh:216 创建临时目录 mktemp -d
网络访问 READ READ ✓ 一致 scan.sh:175 curl 下载远程 skill
命令执行 WRITE WRITE ✓ 一致 scan.sh:79-155 使用 grep/find/cat 执行静态扫描
7 严重 10 项发现
💀
严重 危险命令 危险 Shell 命令
rm -rf /
references/dangerous-commands.md:7
💀
严重 危险命令 危险 Shell 命令
rm -rf ~
references/dangerous-commands.md:8
💀
严重 危险命令 危险 Shell 命令
curl \| bash
references/dangerous-commands.md:10
💀
严重 危险命令 危险 Shell 命令
wget -O- \| sh
references/dangerous-commands.md:11
💀
严重 危险命令 危险 Shell 命令
curl https://... \| sh
references/dangerous-commands.md:12
💀
严重 危险命令 危险 Shell 命令
wget https://... \| bash
references/dangerous-commands.md:13
💀
严重 危险命令 危险 Shell 命令
wget \| bash
references/rules.md:125
🔗
中危 外部 URL 外部 URL
https://clawhub.ai/owner/skill-name
SKILL.md:82
🔗
中危 外部 URL 外部 URL
https://wry-manatee-359.convex.site/api/v1/download?slug=$
scripts/scan.sh:258
🔗
中危 外部 URL 外部 URL
https://clawhub.ai/steipete/video-frames
scripts/scan.sh:590

目录结构

12 文件 · 71.5 KB · 1993 行
Markdown 4f · 926L Shell 3f · 822L JavaScript 3f · 231L JSON 1f · 12L Text 1f · 2L
├─ ▾ 📁 node
│ ├─ 📜 index.js JavaScript 22L · 576 B
│ └─ 📜 scanner.js JavaScript 196L · 8.3 KB
├─ ▾ 📁 references
│ ├─ 📝 dangerous-commands.md Markdown 185L · 4.6 KB
│ └─ 📝 rules.md Markdown 192L · 6.1 KB
├─ ▾ 📁 scripts
│ ├─ 🔧 run.sh Shell 3L · 83 B
│ ├─ 🔧 scan-all.sh Shell 116L · 4.2 KB
│ └─ 🔧 scan.sh Shell 703L · 31.1 KB
├─ 📜 index.js JavaScript 13L · 326 B
├─ 📋 package.json JSON 12L · 386 B
├─ 📝 SKILL_EN.md Markdown 183L · 4.9 KB
├─ 📝 SKILL.md Markdown 366L · 10.8 KB
└─ 📄 whitelist.txt Text 2L · 32 B

依赖分析 1 项

包名版本来源已知漏洞备注
无外部依赖 N/A bash native 否 纯 Bash 实现，Node.js 版本仅使用内置模块

安全亮点

✓ 代码结构清晰，静态扫描逻辑合理
✓ 网络请求仅用于下载待扫描目标（clawhub/github），无隐蔽外传
✓ 文件操作（cat/grep/find）均用于扫描任务，无越权访问
✓ 提供白名单机制增强可控性
✓ 提供 LLM 语义分析双层检测，降低误报率
✓ 无持久化后门或凭证收割机制
✓ 无 Base64 混淆或隐藏执行行为