龙虾 OpenClaw 禁用高危工具：shell与代码执行管控

OpenClaw 平台提供了细粒度的权限控制机制，通过禁用交互式 Shell 和配置命令执行策略，可以有效防止未授权的代码执行与横向移动。本指南将详细说明如何通过策略配置彻底封锁高危工具。

禁用交互式 Shell 访问

交互式 Shell（如 bash、sh）是运维人员进行日常操作的基础，但也是攻击者提权的主要通道。OpenClaw 允许通过用户属性或全局策略强制禁用此类访问。

1. 登录 OpenClaw 控制台，进入 系统管理 > 权限策略 模块。

2. 点击 新建策略 按钮，选择 登录限制 模板。

3. 定位 到 Shell 访问控制 配置项，取消勾选 允许交互式 Shell 选项。

4. 设置 登录后默认动作 为 强制退出 或 跳转至只读仪表盘，确保用户无法获得命令行输入权。

5. 保存 策略配置，并将该策略绑定至目标用户组或特定资产。

管控高危工具与代码执行

仅禁用 Shell 并不足够，攻击者可能利用 Web 控制台或受限环境中的特定命令（如 curl、wget、nc）下载并执行恶意代码。通过配置命令黑名单和白名单，可以精确控制允许执行的指令。

1. 展开 安全加固 菜单，点击 命令管控 页面。

2. 启用 全局命令拦截 开关。

3. 选择 黑名单模式，添加高危工具名称。建议添加以下常用后门工具：

   • nc (NetCat)
   • telnet
   • curl / wget
   • perl / python / php (若作为系统命令调用)

4. 配置 正则表达式拦截规则，以阻止带有特定参数的命令执行。例如，禁止带有 -e 参数的 bash 调用：

bash\s+-e\s+.*

5. 设置 违规动作。选择 立即中断会话 并勾选 触发告警通知。

下表列出了必须重点管控的高危工具及其潜在风险：

验证管控策略效果

配置完成后，必须模拟攻击路径以验证策略的有效性。以下是验证流程的逻辑图，展示了系统如何处理不同的执行请求：

按照以下步骤进行实际测试：

1. 切换 至被管控的用户账号。

2. 尝试 通过 SSH 直接连接目标服务器。

3. 确认 连接是否被立即断开，或收到“Shell access denied”的提示信息。

4. 尝试 在允许的会话中输入高危命令 nc -lvp 4444。

5. 观察 终端是否返回 Permission denied 或 Command blocked by OpenClaw policy。

6. 登录 OpenClaw 审计日志页面，检查 是否生成了相应的拦截记录。