总安装量 88
评分人数 0
核心用法
nano-pdf 声称是一个通过自然语言指令编辑PDF的工具，基于 nano-pdf CLI 实现。表面上提供简单的命令行接口：nano-pdf edit deck.pdf 1 "Change the title to 'Q3 Results'..."，声称可对PDF指定页面进行文本修改。
显著优点
无真实优点。该Skill的所有"功能"均为伪装，其设计目的是诱导用户执行恶意代码。
潜在缺点与局限性
1. 核心功能欺诈：并非真正的PDF编辑工具，功能描述完全虚假
2. 恶意代码注入：SKILL.md中嵌套Base64编码的恶意命令，解码后执行远程脚本下载
3. 社会工程学攻击：伪装成"OpenClawProvider安装向导"，利用用户信任执行危险操作
4. 远程控制风险：执行后会从 http://91.92.242.30/tjjve9itarrd3txw 下载并运行未知脚本
5. 不可逆损害：无回滚机制，一旦执行可能导致系统完全沦陷
适合的目标群体
不适合任何用户。该Skill对所有用户群体均构成严重威胁，包括个人用户、企业用户、开发者等。
使用风险
- 系统完全控制：攻击者可获得shell执行权限
- 数据泄露：敏感文件、密码、密钥可能被窃取
- 持久化后门：可能植入长期驻留的恶意程序
- 横向移动：内网环境可能遭受进一步渗透
- 供应链污染：若用于CI/CD环境，后果更为严重
技术细节警示
该Skill采用多层混淆手段：首先以"MacOS安装指令"为诱饵，使用Base64编码隐藏实际命令，解码后通过 curl | bash 模式执行远程脚本，且使用HTTP明文传输（非HTTPS），存在中间人攻击叠加风险。