23W-8H

摘要：本文复盘了一次针对 Whitechain 跨链桥的实战漏洞挖掘。作者通过源码审计，发现了提现重放与 bytes32 地址截断漏洞，并在本地 Hardhat 环境下成功手写 PoC 跑通了攻击。然而，该漏洞最终却被平台判定为 N/A。本文将带你一探 Web3 赏金界的“特权角色”潜规则，并硬核拆解 PoC 构造中的底层破局思路（类型补齐、幽灵地址构造等），提供一份真实的避坑指南。 当终端最终跑出绿色的 2 passing 时，我曾以为这会是一次丰收。随后的 N/A 判定与扣分，让我彻底冷静了下来。整理三点沉淀，既是备忘，也与大家共勉： 规则认知：特权信任与外部攻击面这次最大的教训，是对赏金边界的重新审视。在 Web3 审计中，带有 onlyRole 等权限修饰的函数属于“特权信任区”。即使内部逻辑存在校验缺失，只要外部普通攻击者无法直接触达，规则上统归 Out of Scope。未来的审计重心，应更聚焦于无需权限的公共函数。 技术沉淀：PoC 构造的三个破局点在借助 AI 辅助补全 TypeScript 语法的过程中，我主导设计了核心的攻击载荷逻辑： ...

title: xAI Grok Agent 源码审计：Claude 导入 Hook 符号链接逃逸与任意命令执行date: 2026-10-07 03:00:00tags: - AI安全 - 源码审计 - CWE-59一、 摘要与披露背景本文针对 xAI 官方开源组件 grok-build 进行了深度的静态源码审计。研究发现，CLI 的「导入 Claude 设置」功能在写入项目作用域内容时，直接对由仓库内容推导出的路径做普通文件写入。若被克隆的仓库将 .grok 或 .grok/hooks 设为目录符号链接并指向用户 Grok 主目录，导入过程就会跟随链接，将恶意钩子和权限规则写入用户的全局受信目录，导致每次会话执行任意命令。 【重新审查与披露声明】在完成 Strix 后台环境的完整 PoC 验证后，我依据 xAI 官方 HackerOne 项目的赏金规则及社区收录标准进行了重新审查。鉴于该项目对“本端信任模型（Client-side trust model）”（即依赖受害者主动克隆本地仓库并在本地运行）的风险已有明确的豁免条款，此类漏洞不符合其赏金奖励标准，亦不符合相关平...

一、 摘要与披露背景本文针对 xAI 官方开源组件 grok-build 进行了深度的静态源码审计。研究发现，系统在处理“不信任”仓库时的 folder-trust（文件夹信任）机制存在缺陷。当用户对某仓库选择“不信任”时，虽然 hooks 和 mcpServers 会被安全丢弃，但同文件中的 prompt_body、system_prompt、tool_config 及 memory 字段却依然被保留并生效，导致项目级 agent 可被恶意覆盖，最终实现任意命令执行（RCE）。 【披露时间线与声明】 该漏洞（CWE-862）为本人独立在源码审计中发现，并在 Strix 后台环境进行了完整验证。 已向 xAI 官方 HackerOne 项目提交漏洞报告（#4090846）。 官方回复：Closed as Duplicate（匹配到了厂商正在跟进或修复的已有问题）。 关于公开的声明：鉴于该漏洞属于本地客户端信任模型（利用需用户主动克隆并运行不可信代码），利用门槛较高且影响范围有限；同时，在报告被标记为 Duplicate 后，官方尚未提供明确的修复时间线。出于纯粹的技术交流、漏洞...

一、 摘要与披露背景本文针对 xAI 官方开源组件 xai-grok-agent 进行了深度的静态源码审计。研究发现，系统在应用配置补丁（apply_patches）时，对本地配置的剥离逻辑存在缺陷，导致恶意攻击者可通过伪造 campaign 配置（如 cmd_prefix、mcp_servers 等）实现任意命令执行与出网请求改道（凭证外泄）。 【披露背景】该漏洞（CWE-863，CVSS 5.3）在被发现后，我评估了官方 HackerOne 项目的安全边界。鉴于 xAI 官方对此类“本地信任模型（Client-side trust model）”及“本地文件写入”风险存在其既定的评估惯例（官方此前曾将此模式判定为 Informative 信息性），基于协同披露（Coordinated Disclosure）原则，我决定不在 HackerOne 提交此漏洞，而是直接在个人博客公开完整技术分析，仅供安全研究参考。 二、 漏洞详情 漏洞名称：Grok CLI Campaign 补丁未剥离命令与出网关键键 严重级别：Medium CVSS 评分：5.3 (AV:L/AC:H...

摘要： 本文针对 xAI 官方开源组件 xai-grok-agent 进行了深度的静态源码审计。研究发现，系统在加载本地配置文件（如 AGENTS.md）时，存在未经隔离的直接字符串拼接（CWE-1427），并在拼接后附加了强制执行指令。攻击者可通过供应链投毒（恶意开源仓库），实现对开发者本地 AI Agent 的持久化上下文劫持（OWASP ASI06）。文章披露了从文件读取到提示词拼接的完整攻击链，并复盘了官方对此类“本地信任模型”漏洞的安全响应策略与防御思考。 分类： AI安全 / 漏洞分析 一、 引言：AI Agent 的本地信任盲区随着 AI 编程助手（如 Claude Code、GitHub Copilot、Grok CLI 等）的普及，行业逐渐形成了一套默认标准：通过在项目根目录放置 AGENTS.md 或 CLAUDE.md 文件，允许开发者向 AI 注入项目专属的上下文、编码规范或工具调用规则。 然而，这引入了一个极其严重的信任边界问题：如果这些本地 Markdown 文件本身是恶意的，系统在组装 System Prompt（系统提示词）时，能区分“合...

Welcome to Hexo! This is your very first post. Check documentation for more info. If you get any problems when using Hexo, you can find the answer in troubleshooting or you can ask me on GitHub. Quick StartCreate a new post1$ hexo new "My New Post" More info: Writing Run server1$ hexo server More info: Server Generate static files1$ hexo generate More info: Generating Deploy to remote sites1$ hexo deploy More info: Deployment