catchclaw - CatchClaw v5.3.0 — 多平台 AI Agent 安全评估工具，支持 OpenClaw

项目说明

<h1 align="center">🦞 CatchClaw v5.3.0</h1>

<p align="center">
<b>多平台 AI Agent 安全评估工具 — 支持 OpenClaw / Dify / FastGPT / LobeChat 等 9 大平台</b><br>
_{78 条 DAG 攻击链 | 78 个 Exploit 模块 | 9 平台支持 | ATT&CK 阶段映射 | Async Tokio 引擎 | 攻击图可视化}
</p>

<p align="center">
<a href="README.md"><b>简体中文</b></a> ·
<a href="README_EN.md">English</a> ·
<a href="README_JA.md">日本語</a> ·
<a href="README_RU.md">Русский</a> ·
<a href="README_DE.md">Deutsch</a> ·
<a href="README_FR.md">Français</a>
</p>

<p align="center">
<a href=" src=" alt="Stars"></a>
<a href=" src=" alt="Forks"></a>
<a href=" src=" alt="Issues"></a>
<a href=" src=" alt="Last Commit"></a>
</p>

<p align="center">
<img src=" alt="">
<img src=" alt="Rust">
<img src=" alt="Chains">
<img src=" alt="Tokio">
<img src=" alt="Exploits">
<img src=" alt="Platforms">
<img src=" alt="License">
</p>

---

> ⚠️ 商业使用严格禁止 | COMMERCIAL USE STRICTLY PROHIBITED
>
> 本项目采用 CatchClaw Strict Non-Commercial License v2.0。
>
> 未经版权持有人 (Coff0xc) 书面授权，严禁任何形式的商业使用。 违反者将被追究法律责任。
>
> 禁止行为包括但不限于：
> - 出售、转授权、租赁本软件或其衍生作品
> - 将本软件用于 SaaS、渗透测试服务、咨询或任何付费服务
> - 集成至商业产品、平台或工具
> - 用于训练商业 AI/ML 模型
> - 改名、换皮、重新包装后分发
> - 任何直接或间接产生收入的行为
>
> 版权持有人保留无限期追溯追诉权，包括追偿全部利润、法律费用及惩罚性赔偿。
>
> 详见 LICENSE。

---

项目亮点

---

目录

---

项目简介

CatchClaw 是一款基于 Rust 的多平台 AI Agent 安全评估工具，支持 OpenClaw / Open-WebUI、Dify、FastGPT、LobeChat 等 9 大 AI 平台。通过 78 条 DAG 攻击链和 78 个 Exploit 模块，覆盖从初始侦察到数据泄露的完整 ATT&CK 攻击链路。

基于 Tokio 异步运行时，DAG 引擎使用 Kahn 拓扑排序按层级并发执行，Semaphore 控制并发度，支持条件执行与回退节点。攻击图可导出 Mermaid 流程图。

为什么选择 CatchClaw？

| 场景 | 手工测试 | CatchClaw |
|------|---------|-----------|
| 漏洞验证 | 逐个手写 PoC | 78 条链自动编排验证 |
| 攻击面覆盖 | 靠经验判断 | WS + HTTP + OAuth + Webhook + Node 全覆盖 |
| 依赖链发现 | 难以追踪 | DAG 自动发现漏洞依赖路径 |
| 结果可视化 | 手工整理 | Mermaid 攻击图 + JSON/HTML/Markdown 报告 |
| CI/CD 集成 | 无 | 24 Nuclei 模板即插即用 |
| 多目标扫描 | 逐个手动测试 | CIDR、IP 范围、目标文件批量扫描 |
| 服务发现 | 需配合 nmap | 内置端口扫描 + 多平台指纹识别 |
| 多平台覆盖 | 每个平台单独研究 | OpenClaw/Dify/FastGPT/NextChat/AnythingLLM/Flowise/RagFlow/LibreChat/LobeChat 9 平台自动检测 |

---

核心特性

<table>
<tr>
<td width="50%">

攻击引擎

</td>
<td width="50%">

协议支持

</td>
</tr>
<tr>
<td width="50%">

扫描增强

</td>
<td width="50%">

CLI 体验

</td>
</tr>
</table>

---

支持平台

| 平台 | 版本 | 指纹识别 | CVE 覆盖 | 探测模块 |
|------|------|---------|---------|---------|
| OpenClaw / Open-WebUI | — | 自动 | 72 个专属模块 | 内置 |
| Dify | v1.5+ | 自动 | C, C | dify_probe |
| FastGPT | v4.9+ | 自动 | C, C | fastgpt_probe |
| NextChat | v2.12+ | 自动 | C | nextchat_probe |
| AnythingLLM | v1.3+ | 自动 | C, C | anythingllm_probe |
| Flowise | v1.6+ | 自动 | C, C | flowise_probe |
| RagFlow | v0.14+ | 自动 | C, C | ragflow_probe |
| LibreChat | — | 自动 | C, C | librechat_probe |
| LobeChat | — | 自动 | C | lobechat_probe |

---

安装方式

从源码构建

系统要求

---

快速开始

---

CLI 用法

---

78 个 Exploit 模块

按 ATT&CK 阶段和攻击类别分组：

Recon（侦察）

| 模块 | 类别 | 说明 |
|------|------|------|
| cors_bypass | Config | Origin 反射 → 跨域 WS/API 访问 |
| ws_hijack | Transport | 跨域 WebSocket 升级 + Token 重放 |
| auth_mode_abuse | Auth | 认证模式检测与滥用 |
| log_disclosure | DataLeak | logs.query 凭证/敏感数据泄露 |
| hidden_content | DataLeak | 隐藏内容发现 |
| origin_wildcard | Config | Origin 通配符配置检测 |
| librechat_probe | Recon | LibreChat 安全探测 (C/69220/54868) |
| lobechat_probe | Recon | LobeChat 安全探测 (C XSS) |
| dify_probe | Recon | Dify 安全探测 (C 默认凭据, SSRF) |
| fastgpt_probe | Recon | FastGPT 安全探测 (C SSRF, XSS) |
| nextchat_probe | Recon | NextChat 安全探测 (C SSRF) |
| anythingllm_probe | Recon | AnythingLLM 安全探测 (C SSRF) |
| flowise_probe | Recon | Flowise 安全探测 (C 文件上传) |
| ragflow_probe | Recon | RagFlow 安全探测 (C RCE) |

Initial Access（初始访问）

| 模块 | 类别 | 说明 |
|------|------|------|
| ssrf | SSRF | browser.request/na → 云元数据 (AWS/GCP/Azure) |
| e | Injection | eval/exec 代码执行 |
| prompt_inject | Injection | 系统提示词提取 + 指令覆盖 |
| mcp_inject | Injection | MCP 插件注入 |
| pairing_brute | Auth | DM 配对码 6 位爆破 |
| oauth_abuse | Auth | Slack OAuth 重定向劫持 |
| responses_exploit | API | /v1/responses 认证绕过 + 工具注入 |
| ws_fuzz | Fuzz | 畸形 JSON-RPC + 方法注入 |
| acp_bypass | Auth | ACP 访问控制绕过 |
| ssrf_rebind | SSRF | DNS Rebind SSRF |
| ssrf_proxy_bypass | SSRF | 代理绕过 SSRF |
| browser_request | SSRF | 浏览器请求内部分发 |
| csrf_no_origin | Config | 无 Origin 验证 CSRF |

Credential Access（凭证获取）

| 模块 | 类别 | 说明 |
|------|------|------|
| apikey_steal | Credential | Provider API Key 提取 |
| oauth_token_theft | Credential | OAuth Token 窃取 |
| secret_extract | Credential | secrets.list + secrets.get 明文窃取 |
| secrets_resolve | Credential | secrets.resolve 内部注入 API |
| talk_secrets | Credential | talk.config(includeSecrets) 密钥泄露 |

Execution（执行）

| 模块 | 类别 | 说明 |
|------|------|------|
| rce | RCE | system.run 命令执行探测 |
| hook_inject | RCE | Webhook 端点注入执行命令 |
| tools_invoke | RCE | tools.invoke 绕过 Chat 层安全 |
| keychain_cmd_inject | RCE | Keychain 命令注入 |
| qmd_cmd_inject | RCE | QMD 命令注入 |
| exec_race_toctou | RCE | 执行竞态条件 (TOCTOU) |
| exec_socket_leak | RCE | 执行 Socket 泄露 |

Persistence（持久化）

| 模块 | 类别 | 说明 |
|------|------|------|
| agent_inject | Injection | agents.create/update 后门 + 系统提示词泄露 |
| agent_file_inject | Injection | agents.files.set 持久化提示词后门 |
| channel_inject | Injection | Mattermost/Slack/Discord 无签名命令注入 |
| skill_poison | Injection | Skill 投毒 |
| cron_bypass | Persistence | Cron 黑名单绕过 + 持久化 |
| session_file_write | RCE | sessions.patch 任意文件写入 |
| patch_escape | RCE | apply_patch 路径穿越 → 任意文件写入 |
| link_template_inject | Injection | 链接模板注入 |

Pri Escalation（提权）

| 模块 | 类别 | 说明 |
|------|------|------|
| appro | Auth | 前缀 ID 匹配 + 执行策略篡改 |
| config_tamper | Config | config.set 安全配置写入 |
| rogue_node | RCE | 自批准节点配对 → 命令拦截 |
| silent_pair_abuse | Auth | 静默配对滥用 |
| auth_disable_leak | Auth | 认证禁用泄露 |

Lateral Mo / Exfiltration（横移 / 泄露）

| 模块 | 类别 | 说明 |
|------|------|------|
| session_hijack | DataLeak | sessions.preview IDOR + 跨会话注入 |
| transcript_theft | DataLeak | 会话记录窃取 |
| memory_data_leak | DataLeak | 内存数据泄露 |
| c2_exfil | DataLeak | C2 数据外泄 |
| browser_upload_tra | RCE | 浏览器上传路径穿越 |
| secret_exec_abuse | RCE | 密钥执行滥用 |
| bypass_soul | Injection | Soul 绕过 |
| marker_spoof | Injection | 标记欺骗 |
| redact_bypass | DataLeak | 脱敏绕过 |
| obfuscation_bypass | Injection | 混淆绕过 |
| unicode_bypass | Injection | Unicode 绕过 |
| ratelimit_scope_bypass | Config | 速率限制范围绕过 |
| flood_guard_reset | Config | 洪水防护重置 |
| webhook_ | Config | Webhook 验证绕过 |
| skill_scanner_bypass | Config | Skill 扫描器绕过 |

CVE 针对性模块（2026 威胁情报）

| 模块 | CVE / 来源 | 说明 |
|------|-----------|------|
| gateway_hijack | C | gatewayURL WebSocket 劫持 → Token 窃取 |
| safebins_bypass | C | GNU 长选项缩写绕过 safeBins 白名单 → RCE |
| ws_auth_brute | C | WebSocket 认证爆破 + localhost 速率限制豁免 |
| localhost_trust | ClawJacked | localhost 隐式信任绕过认证 |
| guest_mode_abuse | Conscia 审计 | Guest Mode 暴露危险 API 端点 |
| mdns_leak | Conscia 审计 | mDNS/HTTP 配置参数泄露 |
| skill_supply_chain | ClawHavoc | 恶意 Skill 供应链攻击检测 (AMOS 窃密) |

---

DAG 攻击链架构

执行特性：

---

Nuclei 模板

nuclei-templates/ 包含 24 个独立 Nuclei 兼容 YAML 模板：

---

项目结构

---

免责声明

本工具仅用于授权安全测试。请仅对您拥有或获得明确书面授权的系统进行测试。未经授权访问计算机系统属于违法行为。作者不对任何滥用行为承担责任。

作者

Coff0xc —

许可证

CatchClaw Strict Non-Commercial License v2.0 — 严禁商业使用，违者必究。

项目信息

开发语言：Rust

Star 数：31

技术要点

该项目属于安全软件方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕CatchClaw v5.3.0 — 多平台 AI Agent 安全评估工具，支持 OpenClaw / Dify / FastGPT / LobeChat / NextChat / AnythingLLM / Flowise / RagFlow 等 9 大平台。78 条 DAG 攻击链 | 78 个 Exploit 模块 | ATT&CK 阶段映射 | 多平台指纹识别 | Async Tokio 引擎 | 攻击图可视化展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。