w2m-dsh-plugin

检测报告

能力清单

• 可执行外部程序spawns-processes高关注5 处命中
  • …oy/windows/verify-supervisor.mjs:31import { spawn, spawnSync } from 'node:child_process';
  • …windows/w2m-agent-supervisor.mjs:50import { spawn, spawnSync } from 'node:child_process';
  • src/agent/exec.mjs:18import { spawn } from 'node:child_process';
  • src/plugin/tools.mjs:91import { execFile } from 'node:child_process';
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注1 处命中
  • CONTRIBUTING.md:64`spawn`/`execFile` with no shell. No `exec`, no `shell: true`, no string interpolation into a
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 以提权方式执行privilege-escalation高关注1 处命中
  • TROUBLESHOOTING.md:379sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps | grep -i node
  • 确认提权是插件功能本身需要，还是仅仅在探测环境。多数插件不需要 root。
• 写入文件writes-files需留意68 处命中
  • …oy/windows/verify-supervisor.mjs:256writeFileSync(out, JSON.stringify({ pid: process.pid, state, bind: 'failed', code: error.code, at: new Date().toISOStrin…
  • …oy/windows/verify-supervisor.mjs:260writeFileSync(out, JSON.stringify({ pid: process.pid, state, bind: 'ok', bound_port: socket.address().port, at: new Date…
  • …oy/windows/verify-supervisor.mjs:275mkdirSync(binDir, { recursive: true });
  • …oy/windows/verify-supervisor.mjs:277mkdirSync(stateDir, { recursive: true });
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 可终止进程kills-processes需留意6 处命中
  • …oy/windows/verify-supervisor.mjs:59process.kill(pid, 0);
  • …oy/windows/verify-supervisor.mjs:188process.kill(pid, 'SIGKILL');
  • …oy/windows/verify-supervisor.mjs:217process.kill(pid, 'SIGKILL');
  • …windows/w2m-agent-supervisor.mjs:342process.kill(pid, 0);
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 发起网络请求network需留意6 处命中
  • deploy/docker/README.md:200"fetch('http://127.0.0.1:8787/healthz').then(r=>process.exit(r.ok?0:1)).catch(()=>process.exit(1))" \
  • deploy/docker/docker-compose.yml:168test: ["CMD", "node", "-e", "fetch('http://127.0.0.1:8787/healthz').then(r=>process.exit(r.ok?0:1)).catch(()=>process.ex…
  • deploy/networking/acceptance.mjs:121const res = await fetch(`${rabbit}${path}`, {
  • deploy/networking/acceptance.mjs:235const created = await fetch(`${rabbit}/v1/task`, { method: 'POST', headers, body: JSON.stringify(body) });
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 启动伪终端spawns-pty需留意5 处命中
  • …oy/windows/verify-supervisor.mjs:122const out = spawnSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', script], {
  • …oy/windows/verify-supervisor.mjs:199spawnSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', `Stop-Process -Id ${pid} -Force -ErrorAction S…
  • …windows/w2m-agent-supervisor.mjs:615const result = spawnSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', script], {
  • …windows/w2m-agent-supervisor.mjs:897const result = spawnSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', script], {
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 接触凭据或密钥credentials一般193 处命中
  • CHANGELOG.md:125restored token in a log is a credential in a log. `--print-operator-token`
  • CHANGELOG.md:309PRs to main, pushes to main, `v*` tags, weekly, and dispatch; `contents: read`, no secrets. No-browser
  • CHANGELOG.md:321saying what would change it. The boundary itself — no tool parameter may name a credential, an
  • CHANGELOG.md:825repo and workflow — or an `NPM_TOKEN` repository secret. It is `continue-on-error` on purpose:
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般59 处命中
  • CHANGELOG.md:917`!!js (process.env.DSH_HOME + '/xclient')`, which on this build evaluated to
  • README.md:281stateDir: /absolute/path/to/$DSH_HOME/xclient # `!!js process.env.DSH_HOME` can evaluate to undefined
  • bin/w2m-localside.mjs:123const rabbitUrl = flags.rabbit ?? process.env.W2M_RABBIT_URL ?? '';
  • bin/w2m-localside.mjs:138const operatorToken = flags['operator-token'] ?? process.env.W2M_OPERATOR_TOKEN ?? null;
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 读取文件reads-files一般52 处命中
  • TROUBLESHOOTING.md:120node -e "const fs=require('fs');const t=fs.readFileSync(process.argv[1],'utf8');console.log('non-empty:', t.trim().lengt…
  • deploy/networking/acceptance.mjs:153const device = JSON.parse(readFileSync(join(stateDir, 'device.json'), 'utf8').replace(/^\uFEFF/, ''));
  • …oy/windows/verify-supervisor.mjs:279if (existsSync(portFile)) rmSync(portFile, { force: true });
  • …oy/windows/verify-supervisor.mjs:358return readFileSync(s.stdioPath, 'utf8').trim().split(/\r?\n/).slice(-12).join('\n ');
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般8 处命中
  • CHANGELOG.md:793`cordis.patch.yml` names that subpath — so `import('@twinsearth/w2m-dsh-plugin')` returned
  • deploy/shared-server/README.md:82node -e "import('/opt/w2m/app/src/agent/stun.mjs').then(async (s) => {
  • deploy/shared-server/install.sh:220import('${APP_DIR}/src/agent/stun.mjs').then(async (stun) => {
  • docs/TROUBLESHOOTING.md:494node -e "import('./src/agent/stun.mjs').then(async (s) => {
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 文中出现远程脚本地址remote-url-reference一般1 处命中
  • docs/DEPLOY.md:79curl -fsSL https://tailscale.com/install.sh | sh
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 69 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）