Openclaw Rescue Kit

OpenClaw 自救套件 - 网关启动包装（端口冲突防护）、看门狗监控、自动重启、配置回滚、安全加固、日志清理、Git版本管理。当用户提到 OpenClaw 网关崩溃、需要看门狗、配置回滚、安全扫描、日志清理、端口冲突、或部署自救脚本时使用此技能。包含 10 个独立脚本和完整部署指南。

要点与建议： - 主要不一致：技能声明不需要任何外部二进制或环境变量，但脚本实际会调用 openclaw、jq、curl、lsof、git、launchctl/systemctl、node/npm 等。不要以 “不需依赖” 为由盲目安装。 - 在安装前人工审查：逐行查看 install-rescue-kit.sh、gateway-start.sh、gateway-watchdog.sh、git-tag.sh 等脚本，确认要被修改的 LaunchAgent plist 内容、crontab 条目与写入路径。特别检查任何会读取或提交 ~/.openclaw/agents/main/sessions、~/.openclaw/openclaw.json、logs 目录的代码（这些可能包含敏感会话或凭据）。 - 敏感数据与 Git：脚本会 init 一个本地 Git 仓库并提交配置，若 openclaw.json 或其他文件包含令牌/凭据，会被提交并长期保留。请在安装前将敏感项移出或在 .gitignore 中显式忽略，或手动管理初始化/提交步骤。 - Webhook/通知令牌：notify.conf 为空模板，脚本只在用户填入后才会向这些 Webhook 发送告警。仅使用受信任的 Webhook URL，并限制其权限（群机器人的 Webhook 通常是合适的选择）。 - 测试与回滚：先在隔离环境或非生产的 OpenClaw 实例上运行安装与监控脚本，观察行为；确认 kill/cleanup 逻辑不会误杀其他关键进程。保留原始 plist 和配置备份（install 脚本会备份，但建议手动备份）。 - 依赖安装：确保系统安装了 jq、curl、lsof（可选但建议）与 git，或修改脚本以适配你的环境。 - 最小权限原则：以普通用户身份运行安装（脚本主要操作用户目录），不要用 root 运行；在 macOS 上对 plist 的修改可能需要你手动批准，谨慎执行自动加载步骤。 如果你希望我给出更精确的风险点，我可以： - 列出所有脚本中对外部命令/路径/网络的具体调用清单； - 标注会读取或写入可能包含敏感内容的具体文件路径； - 提供一个“安全化安装”步骤清单（如何先备份、如何手动审查并只启用部分功能）。

Type: OpenClaw Skill Name: openclaw-rescue-kit Version: 1.11.0 The bundle is a comprehensive 'rescue kit' for the OpenClaw gateway, providing watchdog, health monitoring, and configuration management. While the functionality aligns with its stated purpose, it contains high-risk behaviors including the use of 'eval' in 'safe-config-modify.sh' (creating a shell injection/RCE vulnerability), automated process termination in 'gateway-start.sh', and the installation of persistence via macOS LaunchAgents and Linux crontab in 'install-rescue-kit.sh'. Additionally, 'notify.sh' facilitates data transmission to external webhooks (Feishu, Telegram, etc.). Although no clear malicious intent or hardcoded exfiltration endpoints were found, the combination of invasive system modifications and significant security vulnerabilities makes this bundle suspicious.