OpenClaw高危漏洞实战复盘：攻击链路拆解、检测脚本与Docker加固方案（TaoToken配置避坑版）

1. 为什么我要复盘这条 OpenClaw 攻击链OpenClaw 是一款开源 AI 编程助手主打代码补全、项目调试和多平台联动编程很多个人开发者和中小团队会把它直接跑在本地机器、内网测试机或者线上 Docker 容器里。它最大的特点是能通过消息通道接收指令并自动解析执行用起来确实方便但这次爆出的三连高危漏洞恰恰就出在这条“自动解析执行”的链路上。我关注这个漏洞是因为它的攻击方式太贴近日常了攻击者不需要你点链接、下文件、授权限只要发一条伪装成技术咨询的消息工具后台就会自动读取、解析、执行。三个独立缺陷串起来能完整走完凭证窃取、本地命令执行、Docker 沙箱逃逸、宿主机权限接管的全流程。官方只推了修复版本没有给详细的自查和加固方案所以很多人在升级之后依然不知道自己有没有被入侵过。这篇文章我会按真实复盘的思路来写先把攻击链路拆开讲清楚每个环节的原理再给出可以直接复制运行的检测脚本然后是 Dockerfile 和 compose 的加固片段最后附上验证命令和预期输出。文中还会带上 TaoToken 统一 Key/API 通道在 settings.json 里的配置示例方便你在加固之后顺手把模型调用通道也收敛到一处管理。适合已经部署了 OpenClaw、或者正在用同类 AI 编程工具、想认真做一次安全排查的读者。2. 攻击链路拆解从一条消息到宿主机沦陷2.1 漏洞一环境变量过滤器绕过OpenClaw 内置了一个环境变量过滤模块本意是防止 AI 在对话或调试反馈里把密钥、密码、令牌这类敏感字段输出出来。但它的过滤逻辑只拦截“精准指定字段”的查询完全没考虑批量遍历和模糊匹配的情况。同时程序对接消息通道时默认无条件信任所有外部输入没有恶意关键词过滤也没有请求频次限制。攻击者只要在消息里嵌入一段批量遍历环境变量的载荷AI 解析模块就会把它当成合法的系统调试需求绕过过滤规则把设备上全部环境变量读出来回传。这一步是整条链的基石拿到云服务 AK/SK、数据库账号密码、私有 Git 仓库凭证之后后面的横向渗透和权限提升就有了完整的密钥支撑。2.2 漏洞二Git ext::transport 命令滥用OpenClaw 深度集成了 Git 能力用来做代码拉取、版本同步和仓库管理。为了兼容一些小众私有 Git 传输协议它默认全局开启了protocol.ext.allow而且没有做任何安全限制。Git 官方文档里写得很清楚ext 扩展协议具备执行系统 shell 命令的能力只允许在内网绝对可信的环境下手动临时开启。OpenClaw 直接把消息通道收到的外部输入传进了 Git 协议解析模块。攻击者构造一个恶意的 Git 远程传输地址把自定义命令嵌进协议参数里程序解析时会先执行嵌入的命令再走正常的 Git 同步逻辑最终实现任意代码执行。这种流量伪装成正常的 Git 协议请求传统 WAF 和入侵检测设备只拦bash、exec、system这类显性关键词根本识别不出来。2.3 漏洞三Docker 沙箱逃逸很多团队部署 OpenClaw 时会选 Docker 容器化觉得容器能隔离权限就算程序被攻破攻击者也只能拿到容器内权限。但旧版本的 Docker 启动配置有两个致命问题默认挂载宿主机的/dev、/proc核心系统目录同时默认开启容器特权模式。这两项加起来等于把容器的基础隔离能力完全放弃了。攻击者在前两个漏洞拿到命令执行权限之后通过读取容器挂载的宿主机核心目录、篡改宿主机进程配置、修改系统权限参数就能突破命名空间和资源隔离直接拿到宿主机的完整读写权限。到这一步服务器上所有本地文件、系统进程、业务配置都暴露了整机沦陷。2.4 完整链路串起来看把三个漏洞按顺序串起来就是一条零交互、高隐蔽、无告警的攻击链攻击者发送恶意消息程序自动触发解析先绕过环境变量过滤批量窃取凭证再滥用 Git ext 协议注入命令实现任意代码执行最后突破 Docker 沙箱拿到宿主机权限完成数据窃取、木马植入和持久化控权。全程用户不需要点任何东西后台消息监听服务会自动完成读取、解析、执行普通用户完全察觉不到异常。3. TaoToken 前置把模型调用通道收敛到一处在做安全加固的时候我建议顺手把模型调用的 Key 和 API 通道也统一管理起来。原因很简单这次漏洞里最容易被批量窃取的就是散落在环境变量里的各种密钥。如果你的 OpenClaw 同时接了多个模型供应商每个供应商一套 Key一旦环境变量被遍历损失会成倍放大。TaoToken 提供的是一个统一的 Key/API 通道你可以把模型调用收敛到一个入口减少环境变量里暴露的敏感字段数量。官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 注意 API 地址不加 UTM 参数。具体操作上你可以先去控制台创建一个 API Key然后把它写进 OpenClaw 的 settings.json而不是直接塞进系统环境变量。这样即使环境变量被读取也不会直接泄露你的模型调用凭证。控制台入口在 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite API Keys 管理页在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。如果你平时用 Claude Code 或者做长期编码、Agent 类任务可以了解一下 Coding Plan入口是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 。想先验证模型通不通可以直接用模型对话页面测试地址是 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite ClaudeCodeAnthropic 相关配置参考 https://taotoken.net/claudecode-anthropic?utm_sourcetaotoken_aicg_blog_endutm_contentclaudecode-anthropicutm_campaignrewrite 。4. 可复制配置检测脚本与 Docker 加固4.1 漏洞环境自检脚本下面这个脚本适配 Linux 和 macOSWindows 可以通过 WSL 运行。它会自动检测 OpenClaw 版本、Git 危险协议状态、Docker 特权配置和系统敏感凭证泄露风险。#!/bin/bash echo OpenClaw 高危漏洞自检工具 echo 检测时间: $(date) echo # 1. 检测 OpenClaw 版本 echo [1] 检测 OpenClaw 当前版本 if command -v openclaw /dev/null 21; then VERSION$(openclaw --version) echo 当前版本: $VERSION if [[ $VERSION ! *2026.6.6* ]]; then echo 【高危】版本存在漏洞请立即升级至 2026.6.6 else echo 【安全】版本已修复漏洞 fi else echo 未检测到本地 OpenClaw 程序 fi echo # 2. 检测 Git ext 协议开启状态 echo [2] 检测 Git 危险 ext 协议配置 GIT_EXT$(git config --global --get protocol.ext.allow) if [[ $GIT_EXT always ]]; then echo 【高危】Git ext 协议已开启存在命令注入风险 else echo 【安全】Git ext 协议未开启 fi echo # 3. 检测 Docker 容器特权模式与挂载风险 echo [3] 检测 OpenClaw Docker 容器风险配置 if command -v docker /dev/null 21; then DOCKER_CONTAINER$(docker ps | grep openclaw | awk {print $1}) if [ -n $DOCKER_CONTAINER ]; then for CONTAINER in $DOCKER_CONTAINER; do PRIVILEGE$(docker inspect $CONTAINER | grep Privileged | grep true) MOUNT$(docker inspect $CONTAINER | grep -E /dev|/proc) if [ -n $PRIVILEGE ] || [ -n $MOUNT ]; then echo 【高危】容器 $CONTAINER 存在特权挂载/特权模式可沙箱逃逸 else echo 【安全】容器 $CONTAINER 权限配置正常 fi done else echo 未运行 OpenClaw Docker 容器 fi else echo 未安装 Docker跳过容器检测 fi echo # 4. 检测系统高风险敏感环境变量 echo [4] 检测系统敏感凭证泄露风险 ENV_KEY$(env | grep -E KEY|TOKEN|PASSWORD|SECRET|AK|SK) if [ -n $ENV_KEY ]; then echo 【警告】系统存在可泄露敏感凭证风险较高 echo $ENV_KEY else echo 【安全】未检测到公开敏感环境变量 fi echo echo 检测完成请根据提示修复高危风险 4.2 入侵痕迹自查脚本版本升级只能修复漏洞没法清除已经植入的后门。下面这个脚本专注溯源检测异常命令执行、恶意日志、定时任务后门和异常自启服务。#!/bin/bash echo OpenClaw 入侵痕迹排查工具 echo 排查时间: $(date) echo # 1. 排查近期异常命令执行记录 echo [1] 排查近 7 天高危命令执行记录 history | tail -n 50 | grep -E git ext|env dump|wget|curl|chmod|crontab|sandbox escape echo # 2. 排查 OpenClaw 本地恶意操作日志 echo [2] 筛查 OpenClaw 恶意访问与执行日志 if [ -d $HOME/.openclaw/logs ]; then grep -E ext::|env dump|sandbox escape|remote exec $HOME/.openclaw/logs/* 2/dev/null else echo 未找到 OpenClaw 本地日志目录 fi echo # 3. 排查持久化后门定时任务 echo [3] 检测异常定时任务 crontab -l 2/dev/null | grep -v # echo # 4. 排查异常开机自启服务 echo [4] 检测陌生自启服务 systemctl list-unit-files 2/dev/null | grep enabled | grep -E tmp|temp|unknown|random echo echo 溯源排查结束 4.3 Dockerfile 加固片段针对容器化部署重写安全配置关闭特权模式、移除危险挂载、收紧权限。# OpenClaw 2026.6.6 安全加固 Dockerfile FROM base-openclaw:2026.6.6 # 全局禁用高危 Git ext 扩展协议 RUN git config --global protocol.ext.allow never # 创建普通低权限运行用户禁止 ROOT 权限启动 RUN useradd -m openclaw USER openclaw # 仅挂载业务数据目录禁止挂载宿主机核心系统目录 VOLUME [/usr/local/openclaw/data] # 禁止权限提升 # 在 compose 中通过 security_opt 配置 no-new-privileges:true # 资源配额限制防止暴力渗透与资源滥用 # 在 compose 中通过 deploy.resources 配置 memory 2g / cpus 1.0 # 关闭所有外部消息监听端口仅保留本地业务端口 EXPOSE 80804.4 docker-compose 加固片段version: 3.8 services: openclaw: image: base-openclaw:2026.6.6 container_name: openclaw user: openclaw read_only: true security_opt: - no-new-privileges:true cap_drop: - ALL cap_add: - NET_BIND_SERVICE volumes: - ./data:/usr/local/openclaw/data:rw tmpfs: - /tmp:size64m deploy: resources: limits: memory: 2g cpus: 1.0 ports: - 127.0.0.1:8080:8080 environment: - OPENCLAW_MESSAGE_LISTENfalse - GIT_PROTOCOL_EXT_ALLOWnever这里有几个关键点read_only: true让容器根文件系统只读cap_drop: ALL丢掉所有 Linux capabilitiesno-new-privileges:true阻止权限提升端口只绑定到127.0.0.1避免对外暴露OPENCLAW_MESSAGE_LISTENfalse直接关掉外部消息监听入口。4.5 settings.json 中的 TaoToken 配置示例把模型调用凭证从环境变量挪到配置文件里减少被批量遍历的风险。{ model: { provider: taotoken, base_url: https://taotoken.net/api, api_key: sk-your-taotoken-key, default_model: claude-sonnet-4-20250514 }, security: { message_listen: false, git_ext_allow: never, env_filter_mode: strict } }注意base_url用的是https://taotoken.net/api不带任何 UTM 参数。api_key建议从控制台生成后直接写入不要通过环境变量传递。5. 验证请求与预期输出5.1 验证 Git ext 协议已关闭git config --global --get protocol.ext.allow预期输出为空或者输出never。如果输出always说明加固没生效需要重新执行git config --global protocol.ext.allow never。5.2 验证容器权限配置docker inspect openclaw | grep -E Privileged|ReadonlyRootfs|CapDrop预期输出里Privileged为falseReadonlyRootfs为trueCapDrop包含ALL。如果看到Privileged: true说明特权模式没关掉。5.3 验证 TaoToken 通道连通curl -s -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-your-taotoken-key \ -H Content-Type: application/json \ -d {model:claude-sonnet-4-20250514,messages:[{role:user,content:ping}]}预期返回一个包含choices字段的 JSON 响应。如果返回 401检查 API Key 是否正确如果返回 404检查base_url是否写成了https://taotoken.net/api。5.4 验证消息监听已关闭ss -tlnp | grep 8080预期只看到127.0.0.1:8080的监听不应该出现0.0.0.0:8080。如果看到对外监听说明端口绑定配置没生效。6. 本篇常见错排查脚本执行报Permission denied给脚本加执行权限chmod x check.sh或者直接用bash check.sh运行。docker inspect输出里找不到Privileged字段说明容器不是用特权模式启动的这本身是好事。可以改用docker inspect openclaw | grep -i privileged确认。git config --global --get protocol.ext.allow返回空说明没有显式设置过这个配置默认行为取决于 Git 版本。建议显式执行git config --global protocol.ext.allow never把它锁死。TaoToken 请求返回 403检查 API Key 是否在控制台被禁用或者额度是否用完。可以先去模型对话页面手动测试一次确认 Key 本身可用。容器启动后报read-only file system说明程序试图往根文件系统写数据。把需要写入的目录通过volumes挂载出来或者用tmpfs挂载临时目录。settings.json改了但没生效确认 OpenClaw 读取的是哪个路径下的配置文件有些版本会优先读环境变量。建议同时把环境变量里的旧 Key 清理掉避免冲突。自查脚本检测到敏感环境变量但不确定要不要删先确认这些变量是不是业务必需的。如果是模型调用凭证迁移到settings.json或密钥管理工具后再从环境变量里移除。升级到 2026.6.6 之后自检脚本仍报高危检查是不是有多个 OpenClaw 实例或者 Docker 镜像没有重新构建。旧镜像里的二进制文件不会因为宿主机升级而更新。7. 加固之后把通道统一管起来安全加固做完之后我建议把模型调用通道也顺手收敛一下。这次漏洞最直接的教训就是散落在环境变量里的密钥一旦被批量遍历损失是成倍的。把 OpenClaw 的模型调用统一走 TaoToken 的 API 通道Key 只存在settings.json里环境变量里不再暴露任何模型凭证攻击面会小很多。如果你还在用多个供应商的 Key 分别配置可以先从 API Keys 页面生成一个统一 Key替换掉现有的多套配置。长期做编码和 Agent 任务的话Coding Plan 会更适合通道稳定性和额度管理都更省心。接入过程中遇到配置问题直接翻接入文档里面有针对不同工具的 settings 示例。最后提醒一句版本升级只是修复已知漏洞真正的防御能力来自权限收敛、日志审计和最小权限原则。把消息监听关掉、把 Git ext 协议锁死、把容器特权模式去掉、把密钥从环境变量里挪走这四步做完同类 AI 工具的攻击面会大幅缩小。