dsh-guard-messenger

检测报告

能力清单

• 可执行外部程序spawns-processes高关注39 处命中
  • scripts/check-git-install.mjs:40import { execFileSync } from 'node:child_process'
  • scripts/check-tarball.mjs:32import { execFileSync } from 'node:child_process'
  • …dflared/default-metrics-port.mjs:11import { spawn } from 'node:child_process'
  • …e/cloudflared/lib/http-probe.mjs:7import { execFile } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注32 处命中
  • docs/plano/01-ARQUITETURA.md:170o processo real. Com `shell: true` (que resolve para `/bin/sh`/dash na máquina medida)
  • docs/plano/02-SEGURANCA.md:1243elimina a tentação de `shell: true` — **nenhum caminho deste plugin pode usar `shell`**,
  • docs/plano/02-SEGURANCA.md:1291whether an error occurs within the spawned process", inclusive com `shell: true`.
  • docs/plano/02-SEGURANCA.md:1351| Nenhum `shell: true` em nenhum spawn; `argv` sempre array | **T1.1** / **T3.1** | Lint + `TUN-*` |
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 向其他插件注入plugin-tree-injection高关注1 处命中
  • dsh-guard-messenger
  • 看 patch 里 insert 的包是不是本项目自己的。插入第三方代码要格外留意。
• 写入文件writes-files需留意148 处命中
  • dist/audit/log.js:182mkdirSync(dir, { recursive: true, mode: AUDIT_DIR_MODE });
  • dist/src/audit/log.js:182mkdirSync(dir, { recursive: true, mode: AUDIT_DIR_MODE });
  • dist/src/state/paths.js:160* TRES coisas que um `mkdirSync(dir, { recursive: true, mode: 0o700 })` sozinho
  • dist/src/state/paths.js:188mkdirSync(dirname(paths.dir), { recursive: true });
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 可终止进程kills-processes需留意91 处命中
  • dist/proc/introspect.js:128process.kill(pid, 0);
  • dist/proc/supervisor.js:56process.kill(pid, signal);
  • dist/tunnel/pidfile.js:25* fechar a ponta de escrita, o reaper ve EOF e faz `process.kill(-pid,'SIGKILL')`
  • dist/tunnel/pidfile.js:140process.kill(pid, signal);
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 发起网络请求network需留意35 处命中
  • .github/workflows/ci.yml:321const meta = await (await fetch(`https://registry.npmjs.org/${name.replace("/", "%2f")}`)).json()
  • client/index.ts:132const resposta = await fetch(API_BASE + '/csrf', {
  • client/index.ts:158const resposta = await fetch(API_BASE + caminho, {
  • client/index.ts:182resposta = await fetch(API_BASE + caminho, {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 硬编码外部上报地址hardcoded-endpoint需留意17 处命中
  • docs/plano/08-PESQUISA-E-FONTES.md:3244. Testar: `curl https://api.telegram.org/bot<TOKEN>/getMe` — método oficial de validação
  • docs/plano/08-PESQUISA-E-FONTES.md:3276. Descobrir o `chat_id`: `curl https://api.telegram.org/bot<TOKEN>/getUpdates` →
  • docs/spikes/telegram.md:54| 4 | `getMe` valida o token | `GET https://api.telegram.org/bot<TOKEN>/getMe` | **caminho de erro MEDIDO** (§2.1); cami…
  • docs/spikes/telegram.md:347| H5 | `curl -s "https://api.telegram.org/bot$TELEGRAM_BOT_TOKEN/getUpdates?offset=-1&timeout=0" \| python3 -m json.tool…
  • 确认这个地址属于插件作者，且不是临时或匿名托管。
• 启动伪终端spawns-pty需留意8 处命中
  • docs/plano/04-TESTES.md:451+ `@deepseek-ai/dsh-subprocess-local` (implementação, depende de `node-pty`).
  • docs/plano/04-TESTES.md:1014| E2E-003 | `spawn('sh', ['-c','sleep 300 & wait'])` + `child.kill('SIGTERM')` | neto **sobrevive** — documenta o limite…
  • docs/plano/08-PESQUISA-E-FONTES.md:63| E1 | `import type { SubprocessService } from '@deepseek-ai/dsh-host-subprocess'` (doc *"Plugin Cordis DeepSeek Harness…
  • docs/plano/08-PESQUISA-E-FONTES.md:65| E3 | `ctx.subprocess.spawn('python3', ['bot_long_polling.py'], {...})` (linha 111, estilo `child_process`) | Assinatur…
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 运行时改写自身配置modifies-own-manifest需留意3 处命中
  • scripts/check-git-install.mjs:99writeFileSync(join(consumidor, 'package.json'), JSON.stringify({ name: 'repro-consumidor', private: true }, undefined, 2…
  • …ipts/spike/ui/fetch-packages.mjs:115await writeFile(join(dest, 'package.json'), JSON.stringify({ name: 'dsh-spike-ui-runtime', private: true, type: 'module'…
  • 运行时改写自身配置会让下次启动的行为和你看过的源码不一致。
• 动态执行代码dynamic-code需留意2 处命中
  • test/unit/client/apoio.ts:118const avaliar = new Function('window', codigo) as (w: Record<string, unknown>) => void
  • test/unit/client/index.test.ts:158const avaliar = new Function('window', codigo) as (w: Record<string, unknown>) => void
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 读取文件reads-files一般205 处命中
  • .github/workflows/ci.yml:316const pkg = JSON.parse(readFileSync("package.json", "utf8"))
  • dist/agents/worktrees.js:154return existsSync(caminhoDe(nome));
  • dist/agents/worktrees.js:173if (existsSync(caminho)) {
  • dist/config/assert.js:310isDirectory = statSync(value).isDirectory();
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般139 处命中
  • bin/dsh-guard-setup.ts:796const provedor = deps.provedor ?? resolverProvedorDoAmbiente(process.env)
  • bin/dsh-guard-setup.ts:802const paths = deps.paths ?? resolveStatePaths({ env: process.env })
  • bin/dsh-guard-setup.ts:829return await comandoPedirToken(ctx, process.env)
  • bin/dsh-guard-setup.ts:832const { retrato, token } = await recolherRetrato(ctx, process.env)
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般37 处命中
  • …ala-agent-skill/scripts/coala.py:2184"ruby": re.compile(r"""^\s*require(?:_relative)?\s+['"]([^'"]+)['"]""", re.M),
  • .attw.json:10"com `CJSResolvesToESM` -- 'um require() resolveu para um ficheiro ESM'.",
  • .attw.json:13"decisao, nao um defeito: o consumidor CJS usa import() dinamico.",
  • .github/workflows/ci.yml:142node --input-type=module -e "const p = await import('dsh-guard-messenger'); if (typeof p.apply !== 'function') { console…
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 接触凭据或密钥credentials一般14 处命中
  • cordis.patch.yml:388token: !!js "process.env.TELEGRAM_BOT_TOKEN ?? ''"
  • dist/index.js:1048return temSecrets ? 'secrets' : 'nenhum';
  • dist/tunnel/readiness.js:172if (parsed.username !== '' || parsed.password !== '') {
  • …s/2026-08-22-instalacao-teste.md:110(`cordis.patch.yml` ~linhas 377-390): `token: !!js "process.env.TELEGRAM_BOT_TOKEN ?? ''"`
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 文中出现远程脚本地址remote-url-reference一般3 处命中
  • docs/plano/06-REPO-E-CI.md:1094[`scripts/check-submission.mjs`](https://github.com/awesome-dsh-plugin/awesome-dsh-plugin/blob/main/scripts/check-submis…
  • docs/plano/08-PESQUISA-E-FONTES.md:765| A awesome-list exige, **com verificação automática**, repositório com **≥1 dia de idade** e **≥10 commits**: *"The rep…
  • docs/plano/manifesto.md:24evidência: https://github.com/awesome-dsh-plugin/awesome-dsh-plugin/blob/main/scripts/check-submission.mjs
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。
• 使用 vm 模块做隔离uses-vm-module一般1 处命中
  • test/unit/panel/html.test.ts:17import { Script } from 'node:vm'
  • 用 node:vm 是在建立隔离，不是在突破它。本身不是顾虑，但值得知道这个插件会执行动态代码。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 708 个文件，扫描于 2026-10-22。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

这个插件只在 GitHub 上发布，没有走过 npm 的分发链路。下面的梯子按 GitHub 通道的证据计算：补丁审计、钉在 commit 上的源码快照、隔离试装；L2 的「宿主启动」这一层还没有对 git 通道跑过，所以等级停在 L1。

• -10声明与实物不符：client-present-undeclaredmajor：['client/client.d.ts', 'client/css.d.ts', 'client/guard-panel.css', 'client/index.ts']
• -2没有 READMEminor