Wanctl 安全边界
并不像产品叙事那么干净。

原理

普通会话与 console_hello 共用同一套 fingerprint 信任判断。任意 known_clients 中的控制端都可进入控制台，调用 mode_set 把策略切到持久 bypass，并获得改规则、批命令、信/撤控制端、读日志、开关 LAN 中继等能力。客户端自报的 Role/Name/Label 不可信。

规模

单设备全权接管；若多个控制端共享配对信任，影响面等于所有已信任控制器。

影响

策略形同虚设。MCP/CLI 凭据一旦泄漏，不是“只能跑批准命令”，而是接近本机 shell 管理权。

证据 / 修复

动态探针：ordinary-controller 经 console_hello 成功持久化 bypass。代码：internal/agent/agent.go handleSession / authorize / handleConsoleRPC。

拆分 known_clients 与 console admins；console 仅允许独立管理员/Portal capability；mode_set/rule_add/pair_decide 二次授权。

原理

MatchCommand 使用前缀匹配：c == p || HasPrefix(c, p+" ")。执行路径是 sh -c / PowerShell -Command 的完整 shell 源码，不是结构化 argv。因此 git status && curl|sh、git status; rm -rf 等都会命中已批准前缀。

规模

所有“带参数扩展能力”的已记忆规则；任一批准命令都可能变成任意命令载体。

影响

审批边界失效，直接 RCE。用户以为“白名单很严”，实际只锁了字符串开头。

证据 / 修复

MatchCommand("git status", "git status && ...") == true。policy.go + server/shell.go。

默认 exact match；或解析 executable+argv；拒绝未解析的 ; && || | ` $() <> 等组合符。

原理

withCwd 生成 cd "${cwd}"; ${cmd}。策略主要校验 Command，不约束 cwd 语义。恶意 cwd 如 "; id; #" 在已批准 true 时仍执行副作用。

规模

所有走 cwd 的远程执行路径；Windows/POSIX 字符串拼接双平台均中。

影响

经典命令注入。审批 UI 显示 benign 命令，实际已执行攻击载荷。

证据 / 修复

探针：cwd="; printf owned > /tmp/hit; #" + approved true 成功。agent.go withCwd。

删除字符串拼接；exec.Cmd.Dir；cwd canonicalize/存在性/白名单；持久 shell 用安全 cd 协议。

原理

Within 只做 filepath.None 词法判断；Open/OpenFile 跟随 symlink。/safe/link -> /etc 时，/safe/link/passwd 词法合法、实际越权。

规模

凡授予文件读写且攻击者能在允许树内放置/利用 symlink 的场景。

影响

目录沙箱失效，可读/写预期外路径。

证据 / 修复

动态探针经 /allowed/link/file 写入落在根外。policy.Within + server/files.go。

os.Root / openat 根约束；拒绝 symlink/设备/FIFO；注意 TOCTOU。

原理

信任 X-Auth-Request-Email 等头；namespace 由本地部分 toLower + 非法字符变 - 派生；ON CONFLICT DO UPDATE 重绑 feishu_open_id。alice.smith / alice_smith / 跨域同名可撞车。

规模

多租户 Portal；代理未剥客户端身份头时更严重。

影响

原用户失权或租户被接管；体验上是“账号乱了/设备不见了”。

证据 / 修复

portal.go 读头；relay/admin.go 清洗与冲突更新。

不可变 SSO subject 做主键；namespace 仅显示名且冲突失败；代理重写身份头；后端私网/mTLS。

原理

从 Relay 下载后直接可执行/安装；无 hash、签名、大小上限。E2E 业务加密不覆盖更新投毒。Unix 路径可能经 sudo。

规模

全舰队所有在线设备。

影响

供应链单点：Relay/域名/TLS 终止/发布目录任一沦陷 → 任意程序下发。

证据 / 修复

update.go、relay/dist.go 无验签。

签名 manifest + 内置公钥；分发端不持私钥；轮换/撤销；大小上限。

原理

/dial?token=、/h/poll?token= 等；默认 LAN 还有 ws://。URL 进 access log、APM、WAF、截图、复制粘贴。

规模

所有控制器与设备接入路径；明文 LAN 观察者直接可见。

影响

token 泄漏后可接入设备命名空间。

证据 / 修复

client.go / agent.go / httpconn.go。

Authorization Bearer 或短时 ticket；wss；禁止 query 记凭据。

原理

base64(namespace\0token) 无加密/签名/过期；decode 后 saveLogin 未强制以 Relay 真实 namespace 为准。logout 不吊销服务端 token。

规模

所有 MCP/AI 会话历史与调试记录。

影响

凭据进模型上下文；可重放；可伪造 namespace 影响身份派生。

证据 / 修复

mcp/server.go encode/decode rebind。

短时签名 rebind；不回显 raw token；Relay 校验 namespace；可吊销。

原理

AllowedDial 只查 ACL 是否存在，不看 perms。exec/read/write 无服务端强制。前端限制可被 CLI/MCP 绕过。

规模

所有共享设备/跨 namespace 授权。

影响

产品信任破产；最小权限叙事不成立。

证据 / 修复

relay/pgstore.go AllowedDial；全仓无 perms 执行点。

不可伪造 capability；设备侧按消息类型强制；console 不得由普通 ACL 授予。

原理

io.ReadAll 无上限；HTTP 无 Read/Write/Idle timeout；job 无限并发、输出全进内存、无取消。

规模

Relay 多租户与单设备 Agent 同时受影响。

影响

OOM、卡顿、任务堆死——直接伤体验，也是 DoS。

证据 / 修复

relay/http.go、agent/jobs.go、main/mcp 缺超时。

MaxBytesReader；完整超时；job 有界缓冲/超时/取消/并发上限。

原理

events.jsonl 记完整 command/cwd/path；普通可信控制端与共享用户可远程读；无脱敏/轮转。

规模

设备本地审计面 + 远程可读面。

影响

token/password/env 持久化；合规与横向移动素材。

证据 / 修复

eventlog.go + KindLogs。

脱敏；参数摘要；日志独立授权；轮转配额。

原理

无 CSRF token、Origin 校验、CSP、frame-ancestors；Markdown 链接未限 scheme；/whoami 回显全部头。

规模

依赖 SSO Cookie 属性；可 iframe/跨站时放大。

影响

诱导信任控制端、批命令、切 bypass；点击型 javascript: 链接。

证据 / 修复

portal 前端与 handler 缺浏览器边界。

CSRF+Origin；CSP/frame-ancestors；严格 method；URL scheme 白名单；移除 whoami 头回显。

原理

O_TRUNC 后流式写；不校验 Size；断连半文件；不拒特殊文件。

规模

所有远程写文件路径。

影响

可靠性差：网络抖动即可写坏配置/产物。

证据 / 修复

server/files.go。

临时文件 + fsync + rename；字节校验；上限；仅普通文件。

原理

首次设备证书直接持久化；固定键主要用 device name，弱化 owner namespace。

规模

首次配对与跨 namespace 同名设备。

影响

抢注/连错设备难发现。

证据 / 修复

transport/handshake.go、client keying。

首次指纹确认/配对码；key=ns+device+fp；证书变化显式 re-pin。

原理

默认预信任硬编码生产 Portal 指纹；控制台拒绝撤销；缺双密钥轮换与紧急吊销。

规模

默认部署的全部 Agent。

影响

根密钥事故时难收场；自建部署也携带公司信任。

证据 / 修复

config.go + main 预信任。

根 CA 级管理；重叠期轮换；紧急撤销；自建默认最小化信任。

原理

Alpine 3.20 常规支持已结束；可变 tag、默认 root；安装器信 Host/X-Forwarded-Proto；文档含内部元数据。

规模

镜像构建与安装入口。

影响

过期基础镜像与 Host 注入/缓存污染风险；运维债。

证据 / 修复

Dockerfile、relay/dist.go、docs。

受支持镜像+digest；非 root；canonical URL；CI 扫描/SBOM；文档脱敏。