aliyun-clawscan

Files (5)

• LICENSE.txt
• SKILL.md
• _meta.json
• baseline.md · reference/
• skillaudit.md · reference/

SKILL.md (first lines)

# aliyun-clawscan

OpenClaw 综合安全评估工具，结合了配置审计与技能安全分析。

---

## 使用场景

| 场景 | 示例触发词 |
|----------|------------------|
| 全面评估 | "运行完整安全检查"、"评估我的安全态势"、"安全审计" |
| 配置审计 | "检查我的配置"、"审计 OpenClaw 设置" |
| 技能扫描 | "扫描我的技能"、"检查已安装的技能" |
| 安装前检查 | "这个技能安全吗？"、"在安装前扫描技能" |

---

## 评估工作流

```
步骤 1: 配置审计
  └─ 运行 openclaw security audit --deep
     └─ 参考: reference/baseline.md

步骤 2: 技能安全审计
  ├─ 获取资产清单: openclaw skills list
  └─ 静态分析 (本地规则)
     └─ 参考: reference/skillaudit.md

步骤 3: 综合报告
  └─ 风险概览 + 关键发现
```

---

# 步骤 1：配置审计

运行 OpenClaw 内置的安全审计：

```bash
openclaw security audit --deep
```

将结果解析为以下类别：网关 (Gateways)、网络 (Network)、工具 (Tools)、浏览器 (Browser)、文件 (Files)、聊天室 (Rooms)。

* **参考**：查看 `reference/baseline.md` 获取详细的检查项类别和解析规则。

---

# 步骤 2：技能安全审计

## 阶段 1：资产清单

```bash
openclaw skills list
```

## 阶段 2：静态分析

针对以下 11 个类别应用本地检测规则：

| 类别 | 严重程度 | 参考 |
|----------|----------|-----------|
| 反弹 Shell (Reverse Shell) / 后门 | 🚨 致命 (Critical) | skillaudit.md 场景 1 |
| 凭证窃取 | 🚨 致命 (Critical) | skillaudit.md 场景 2 |
| 数据外泄 | 🔴 高危 (High) | skillaudit.md 场景 3 |
| 挖矿程序 | 🚨 致命 (Critical) | skillaudit.md 场景 4 |
| 权限滥用 | 🔴 高危 (High) | skillaudit.md 场景 5 |
| 提示词注入 (Prompt Injection) | 🔴 高危 (High) | skillaudit.md 场景 6 |
| 代码混淆 | 🟡 中危 (Medium) | skillaudit.md 场景 7 |
| 勒索软件 | 🚨 致命 (Critical) | skillaudit.md 场景 8 |
| 持久化 (Persistence) | 🟡 中危 (Medium) | skillaudit.md 场景 9 |
| 供应链风险 | 🟡 中危 (Medium) | skillaudit.md 场景 10 |
| 恶意服务下载器 | 🚨 致命 (Critical) | skillaudit.md 场景 11 |

* **参考**：查看 `reference/skillaudit.md` 获取完整的检测模式、代码示例和风险评估逻辑。

## 阶段 3：风险分级

| 等级 | 判定标准 |
|-------|----------|
| 🚨 致命 (Critical) | 存在后门、凭证窃取、勒索软件或挖矿程序 |
| 🔴 高危 (High) | 存在权限滥用、数据外泄或隐私违规 |
| 🟡 中危 (Medium) | 高权限使用理由合理、存在良性混淆 |
| 🟢 低危 (Low) | 行为与声明用途一致 |

---

# 步骤 3：综合报告

## 报告头部

```markdown
# 🔒 OpenClaw 风险评估报告

📅 {datetime}
🖥️ OpenClaw {version} · {os_info}
📊 综合风险: {🟢/🟡/🔴/🚨}

| 检查项 | 状态 | 摘要 |
|------------|--------|---------|
| 配置审计 | {✅/⚠️/🔴} | {N 个发现} |
| 技能安全 | {✅/⚠️/🔴} | {N 个致命, N 个高危} |
| 综合评定 | {🟢/🟡/🔴/🚨} | {判定结论} |
```

## 第一节：配置审计结果

| 状态 | 项目 | 发现 |
|--------|------|---------|
| ✅/⚠️/🔴 | {类别} | {描述} |

## 第二节：技能安全发现

| 风险等级 | 数量 | 技能名称 |
|------|-------|--------|
| 🚨 致命 | {N} | {names} |
| 🔴 高危 | {N} | {names} |
| 🟡 中危 | {N} | {names} |

From lza6/Claude-code-cli-config, Apache-2.0.

More from lza6/Claude-code-cli-config