dsh-winstage-sandbox

检测报告

能力清单

• 可执行外部程序spawns-processes高关注6 处命中
  • tools/build-shim.mjs:70import { spawnSync } from 'node:child_process';
  • src/executor.mjs:33import { spawn as spawnChildProcess, spawnSync as spawnSyncChildProcess } from 'node:child_process'
  • tools/fetch-toolchain.mjs:26import { spawnSync } from 'node:child_process';
  • src/registry-bindings.mjs:38import { spawnSync } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注3 处命中
  • src/capability.mjs:824return { ok: true, text: String(execFileSync('icacls', args, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'] })).r…
  • src/capability.mjs:840execFileSync(cmd, ['/d', '/c', commandLine], { cwd, encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], timeout: 30000,…
  • src/executor.mjs:1263* 原实现是 `execFileSync('icacls', args, { stdio: ['ignore','pipe','pipe'] })`。
  • src/executor.mjs:1287const text = String(execFileSync('icacls', args, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'] }))
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 写入文件writes-files需留意203 处命中
  • src/audit.mjs:682writeFileSync(payloadPath, readProbePayload(chunk), 'utf8')
  • src/audit.mjs:694if (existsSync(payloadPath)) rmSync(payloadPath, { force: true })
  • src/audit.mjs:907if (existsSync(target)) rmSync(target, { force: true, recursive: true })
  • tools/build-shim.mjs:21// fs.renameSync(out, out + '.stale-' + Date.now()); // move the good one away
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意7 处命中
  • dsh-plugin/client.js:17* - 读（**WP3-B 起**）：`fetch('/winstage-panel/snapshot?session=<会话 id>')` —— 这是
  • dsh-plugin/client.js:27* 另外 `fetch('/winstage-panel/trust')` 取同一份**可信性状态卡**（与 `/winstage status`
  • dsh-plugin/client.js:805return Promise.resolve(fetch(url, { signal: controller.signal, headers: { accept: 'application/json' } }))
  • tools/fetch-toolchain.mjs:86console.error(' test with `node -e "fetch(\'https://ziglang.org/download/index.json\').then(r=>console.log(r.status))"`'…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 可终止进程kills-processes需留意2 处命中
  • dsh-plugin/registry-capture.mjs:61process.kill(pid, 0)
  • src/stage-guard.mjs:232process.kill(n, 0)
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 读取文件reads-files一般257 处命中
  • src/appcontainer.mjs:317if (!existsSync('C:\\Windows\\System32\\userenv.dll')) return false
  • dsh-plugin/assembly-toggle.mjs:70if (!path || !existsSync(path)) return true
  • dsh-plugin/assembly-toggle.mjs:71return winStageEnabledInProfileText(readFileSync(path, 'utf8'))
  • src/audit.mjs:694if (existsSync(payloadPath)) rmSync(payloadPath, { force: true })
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般107 处命中
  • dsh-plugin/assembly-toggle.mjs:40export function profilePatchPath(env = process.env) {
  • dsh-plugin/assembly-toggle.mjs:67export function winStageEnabledFromProfile(env = process.env) {
  • src/audit.mjs:35const fromEnv = process.env.DSH_REPO_ROOT
  • src/audit.mjs:117{ id: 'dsh-sessions', path: join(process.env.USERPROFILE || 'C:\\Users\\Default', '.dsh'), kind: 'directory', label: 'DS…
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般10 处命中
  • src/audit.mjs:473const { probeWin32Abi } = await import('./capability.mjs')
  • src/cli.mjs:363const { runAudit } = await import('./audit.mjs')
  • src/executor.mjs:1427* 因此 `import()` 是唯一能在"已经跑起来的代码路径"里拿到它的方式。把 `.mjs` 的加载失败
  • src/executor.mjs:1441runtimeModule = await import('./appcontainer-runtime.mjs')
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 接触凭据或密钥credentials一般9 处命中
  • src/audit.mjs:143{ id: 'dsh-credentials-file', path: join(process.env.USERPROFILE || 'C:\\Users\\Default', '.dsh', '.credentials.yaml'), …
  • src/paths.mjs:187* `.dsh\{.credentials.yaml,settings.yaml.imported,web-url.txt}`、`hosts`、`.npmrc`、
  • src/paths.mjs:207{ id: 'dsh-credentials', category: '本工具自身凭据文件', pattern: /\\\.dsh\\\.credentials\.yaml$/i, reason: 'DSH 凭据文件（明文会话凭据）' },
  • src/paths.mjs:321// ── N3 / T2：凭据管理器 / DPAPI 输出 + AppData 下的 `*.credentials` 命名类 ────
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 50 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）

可信度

• 0没有可扣分的项