aiko-dsh-office

检测报告

能力清单

• 以提权方式执行privilege-escalation高关注2 处命中
  • …64/lib/python3.12/http/server.py:1191os.setuid(nobody)
  • …64/lib/python3.12/http/server.py:1191os.setuid(nobody)
  • 确认提权是插件功能本身需要，还是仅仅在探测环境。多数插件不需要 root。
• 含混淆或编码代码obfuscated-code需留意1810 处命中
  • …n-arm64/lib/python3.12/base64.py:425decoded_append(b'\x20\x20\x20\x20')
  • …n-arm64/lib/python3.12/codecs.py:53BOM_UTF32_LE = b'\xff\xfe\x00\x00'
  • …n-arm64/lib/python3.12/codecs.py:56BOM_UTF32_BE = b'\x00\x00\xfe\xff'
  • …b/python3.12/email/mime/image.py:68elif h[:4] == b'\xff\xd8\xff\xdb':
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 写入文件writes-files需留意306 处命中
  • …licenses/exceljs@4.4.0/README.md:43* Merged [fix: Fix xlsx.writeFile() not catching error when error occurs #2244](https://github.com/exceljs/exceljs/pull/…
  • …licenses/exceljs@4.4.0/README.md:2183await workbook.xlsx.writeFile(filename);
  • …licenses/exceljs@4.4.0/README.md:2288await workbook.csv.writeFile(filename);
  • …licenses/exceljs@4.4.0/README.md:2301await workbook.csv.writeFile(filename, options);
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 动态执行代码dynamic-code需留意165 处命中
  • …rwin-arm64/lib/python3.12/bdb.py:635"""Debug an expression executed via the eval() function.
  • …rwin-arm64/lib/python3.12/bdb.py:647return eval(expr, globals, locals)
  • …rwin-arm64/lib/python3.12/bdb.py:872val = eval(b.cond, frame.f_globals, frame.f_locals)
  • …thon3.12/collections/__init__.py:441__new__ = eval(code, namespace)
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 发起网络请求network需留意135 处命中
  • …z__pptx-renderer@1.2.4/README.md:55const resp = await fetch('/slides/demo.pptx');
  • …z__pptx-renderer@1.2.4/README.md:76const resp = await fetch('/slides/demo.pptx');
  • lib/licenses/async@3.2.6/README.md:52const response = await fetch(url)
  • …/licenses/fflate@0.8.2/README.md:96const massiveFileBuf = await fetch('/aMassiveFile').then(
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 可终止进程kills-processes需留意6 处命中
  • …3.12/multiprocessing/managers.py:684process.kill()
  • …m64/lib/python3.12/subprocess.py:552process.kill()
  • …m64/lib/python3.12/subprocess.py:566process.kill()
  • …3.12/multiprocessing/managers.py:684process.kill()
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 启动伪终端spawns-pty需留意2 处命中
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 动态加载模块dynamic-import一般1615 处命中
  • python/worker.py:13def require(condition, message):
  • python/worker.py:26require(isinstance(value, str) and value.strip(), "A non-empty file path is required")
  • python/worker.py:30require(not path.is_symlink(), "Symbolic-link files are not supported")
  • python/worker.py:32require(resolved.is_relative_to(self.root), "File must be inside the session workspace")
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 接触凭据或密钥credentials一般112 处命中
  • …enses/unzipper@0.10.14/README.md:265email: google.storage.credentials.client_email,
  • …enses/unzipper@0.10.14/README.md:266key: google.storage.credentials.private_key,
  • …-arm64/lib/python3.12/imaplib.py:631self.user, self.password = user, password
  • …-arm64/lib/python3.12/imaplib.py:638pwd = (self.password.encode('utf-8') if isinstance(self.password, str)
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 文中出现远程脚本地址remote-url-reference一般65 处命中
  • …z__pptx-renderer@1.2.4/README.md:3[![CI](https://github.com/aiden0z/pptx-renderer/actions/workflows/ci.yml/badge.svg)](https://github.com/aiden0z/pptx-ren…
  • …z__pptx-renderer@1.2.4/README.md:569- **SmartArt**: 134+ layouts via PowerPoint fallback data. EMF-embedded PDF previews can be rendered with optional [pdfj…
  • …ses/big-integer@1.6.52/README.md:3[travis-url]: https://travis-ci.org/peterolson/BigInteger.js
  • …ses/big-integer@1.6.52/README.md:4[travis-img]: https://travis-ci.org/peterolson/BigInteger.js.svg?branch=master
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。
• 读取文件reads-files一般40 处命中
  • lib/index.js:24if (!existsSync(path)) throw new Error(`Office runtime for ${key} is missing. Reinstall aiko-dsh-office or set aiko-offi…
  • lib/index.js:50const text = readFileSync(path, "utf8").replaceAll("\r\n", "\n");
  • …icenses/archiver@5.3.2/README.md:60archive.append(fs.createReadStream(file1), { name: 'file1.txt' });
  • lib/licenses/async@3.2.6/README.md:31fs.readFile(__dirname + value, "utf8", (err, data) => {
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般1 处命中
  • …z__pptx-renderer@1.2.4/README.md:65entry bundles JSZip and ECharts, and replaces Node-style `process.env` checks at build time.
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 4665 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• -10声明与实物不符：peer-static-import-unsatisfiedmajor：{'@deepseek-ai/dsh-skill': '0.1.5-alpha.2'}