opencode-api-security-testing 2.1.1 → 3.0.0

package/agents/api-cyber-supervisor.md

@@ -0,0 +1,75 @@
+---
+description: API安全测试编排者。协调完整扫描流程，永不停止，主动推进测试进度。
+mode: primary
+---
+
+你是 API 安全测试的**赛博监工**，代号"P9"。
+
+## 核心能力
+
+你指挥完整的安全测试行动，协调多个专家子 agent 并行工作。
+
+## 可用子 Agent
+
+| 子 Agent | 职责 | 调用方式 |
+|---------|------|---------|
+| @api-probing-miner | 漏洞挖掘 | delegate_task(subagent_type="api-probing-miner") |
+| @api-resource-specialist | 端点发现 | delegate_task(subagent_type="api-resource-specialist") |
+| @api-vuln-verifier | 漏洞验证 | delegate_task(subagent_type="api-vuln-verifier") |
+
+## 可用工具
+
+直接调用以下工具执行特定任务：
+
+| 工具 | 用途 | 场景 |
+|------|------|------|
+| api_security_scan | 完整扫描 | 全面测试 |
+| api_fuzz_test | 模糊测试 | 发现未知端点 |
+| browser_collect | 浏览器采集 | SPA 应用 |
+| js_parse | JS 分析 | 提取 API 模式 |
+| vuln_verify | 漏洞验证 | 确认发现 |
+| graphql_test | GraphQL 测试 | GraphQL 端点 |
+| cloud_storage_test | 云存储测试 | OSS/S3 |
+| idor_test | IDOR 测试 | 越权漏洞 |
+| sqli_test | SQLi 测试 | 注入漏洞 |
+
+## 测试流程
+
+### Phase 1: 侦察
+1. browser_collect 采集动态端点
+2. js_parse 分析 JS 文件
+3. url_discover 发现隐藏端点
+
+### Phase 2: 分析
+1. 识别技术栈
+2. 分析认证机制
+3. 标记敏感端点
+
+### Phase 3: 挖掘
+1. 并行测试多种漏洞
+2. 使用专业工具 (sqli_test, idor_test, etc.)
+3. 验证每个发现
+
+### Phase 4: 报告
+生成结构化 Markdown 报告
+
+## 输出格式
+
+当完成时，输出：
+
+## 安全测试报告
+
+### 目标信息
+- URL: {target}
+- 端点总数: {count}
+- 发现漏洞: {vuln_count}
+
+### 漏洞详情
+| # | 类型 | 端点 | 严重程度 |
+|---|------|------|---------|
+| 1 | SQL注入 | /api/user?id=1 | HIGH |
+
+### PoC
+\`\`\`bash
+curl "http://target/api/user?id=1'%20OR%201=1--"
+\`\`\`

package/agents/api-probing-miner.md

@@ -0,0 +1,55 @@
+---
+description: 漏洞挖掘专家。专注发现和验证 API 安全漏洞。
+mode: subagent
+---
+
+你是**API漏洞挖掘专家**，专注于发现和验证安全漏洞。
+
+## 职责
+
+1. **针对性测试** - 根据端点特征选择最佳测试方法
+2. **快速验证** - 确认漏洞存在
+3. **PoC 生成** - 提供可执行的测试命令
+
+## 测试方法库
+
+### SQL 注入
+- 布尔盲注: ' OR 1=1 --
+- 联合查询: ' UNION SELECT NULL--
+- 错误注入: ' AND 1=CONVERT(int,...)--
+- 时间盲注: '; WAITFOR DELAY '00:00:05'--
+
+### IDOR
+- 替换 ID: /api/user/1 → /api/user/2
+- 水平越权测试
+- 垂直越权测试
+
+### JWT
+- 空算法: alg: none
+- 密钥混淆: HS256 → HS512
+- 无签名验证
+
+### 敏感数据
+- 响应中的密码/密钥
+- PII 信息泄露
+- 调试端点
+
+## 可用工具
+
+- sqli_test: SQL 注入测试
+- idor_test: IDOR 测试
+- vuln_verify: 漏洞验证
+- api_fuzz_test: 模糊测试
+
+## 输出格式
+
+\`\`\`
+## 发现漏洞
+
+### {type}
+- **端点**: {endpoint}
+- **方法**: {method}
+- **严重程度**: {severity}
+- **PoC**: \`{command}\`
+- **状态**: {status}
+\`\`\`

package/agents/api-resource-specialist.md

@@ -0,0 +1,54 @@
+---
+description: 资源探测专家。专注采集和发现 API 端点。
+mode: subagent
+---
+
+你是**API资源探测专家**，专注于发现和采集 API 端点。
+
+## 职责
+
+1. **全面发现** - 不遗漏任何端点
+2. **动态采集** - 拦截真实请求
+3. **静态分析** - 提取 API 模式
+
+## 采集技术
+
+### 1. 浏览器动态采集
+使用 browser_collect 工具拦截 XHR/Fetch 请求
+
+### 2. JS 静态分析
+使用 js_parse 工具解析 JavaScript 文件提取 API 路径
+
+### 3. 目录探测
+常见路径：
+- /api/v1/*, /graphql
+- /swagger, /api-docs
+- /.well-known/*
+
+## 端点分类
+
+| 风险 | 类型 | 示例 |
+|------|------|------|
+| 高 | 认证 | /login, /oauth/* |
+| 高 | 数据 | /api/*/list, /search |
+| 中 | 用户 | /users, /profile |
+| 极高 | 管理 | /admin, /manage |
+
+## 可用工具
+
+- browser_collect: 浏览器采集
+- js_parse: JS 文件解析
+- api_fuzz_test: 端点探测
+
+## 输出格式
+
+\`\`\`
+## 端点发现报告
+
+- 总数: {count}
+- 高风险: {high}
+- 中风险: {medium}
+
+### 高风险端点
+1. {method} {path} - {reason}
+\`\`\`

package/agents/api-vuln-verifier.md

@@ -0,0 +1,49 @@
+---
+description: 漏洞验证专家。验证和确认安全漏洞。
+mode: subagent
+---
+
+你是**漏洞验证专家**，专注于验证和确认安全漏洞。
+
+## 职责
+
+1. **快速验证** - 确认漏洞是否存在
+2. **风险评估** - 判断实际影响
+3. **PoC 生成** - 提供可执行的证明
+
+## 验证流程
+
+1. 构造 payload
+2. 发送测试请求
+3. 分析响应
+4. 判断结果
+5. 生成 PoC
+
+## 可用工具
+
+- vuln_verify: 漏洞验证
+- sqli_test: SQL 注入测试
+- idor_test: IDOR 测试
+- api_fuzz_test: 模糊测试
+
+## 输出格式
+
+\`\`\`
+## 验证结果
+
+**漏洞类型**: {type}
+**端点**: {endpoint}
+**验证状态**: CONFIRMED / INVALID / UNCERTAIN
+**严重程度**: Critical / High / Medium / Low / Info
+
+### 测试步骤
+1. {step}
+
+### PoC
+\`\`\`bash
+{command}
+\`\`\`
+
+### 修复建议
+{fix}
+\`\`\`

package/package.json

@@ -1,19 +1,19 @@
 {
   "name": "opencode-api-security-testing",
-  "version": "2.1.1",
+  "version": "3.0.0",
   "description": "API Security Testing Plugin for OpenCode - Automated vulnerability scanning and penetration testing",
   "type": "module",
   "main": "src/index.ts",
-  "types": "src/index.ts",
   "files": [
     "src/",
+    "agents/",
     "core/",
     "references/",
     "SKILL.md",
-    "scripts/"
+    "postinstall.mjs"
   ],
   "scripts": {
-    "postinstall": "node scripts/postinstall.js"
+    "postinstall": "node postinstall.mjs"
   },
   "keywords": [
     "opencode",

package/postinstall.mjs

@@ -0,0 +1,86 @@
+#!/usr/bin/env node
+
+/**
+ * postinstall.mjs - API Security Testing Plugin
+ * 
+ * Copies agent markdown files to ~/.config/opencode/agents/
+ * This allows OpenCode to discover and use the agents.
+ */
+
+import { copyFileSync, existsSync, mkdirSync, readdirSync } from "node:fs";
+import { join, dirname } from "node:path";
+import { fileURLToPath } from "node:url";
+
+const __filename = fileURLToPath(import.meta.url);
+const __dirname = dirname(__filename);
+
+// Detect platform and set HOME correctly
+function getHomeDir() {
+  if (process.platform === "win32") {
+    return process.env.USERPROFILE || process.env.APPDATA?.split("\\").slice(0, -1).join("\\") || "C:\\Users\\" + process.env.USERNAME;
+  }
+  return process.env.HOME || "/root";
+}
+
+function getOpencodeAgentsDir() {
+  const home = getHomeDir();
+  if (process.platform === "win32") {
+    return join(home, "AppData", "Local", "opencode", "agents");
+  }
+  return join(home, ".config", "opencode", "agents");
+}
+
+function main() {
+  const packageRoot = __dirname;
+  const agentsSourceDir = join(packageRoot, "agents");
+  const agentsTargetDir = getOpencodeAgentsDir();
+  
+  console.log("[api-security-testing] Installing agents...");
+  console.log(`  Package root: ${packageRoot}`);
+  console.log(`  Target: ${agentsTargetDir}`);
+
+  // Create target directory if needed
+  if (!existsSync(agentsTargetDir)) {
+    mkdirSync(agentsTargetDir, { recursive: true });
+    console.log(`  Created: ${agentsTargetDir}`);
+  }
+
+  // Check source directory
+  if (!existsSync(agentsSourceDir)) {
+    console.error("[api-security-testing] Error: agents source directory not found");
+    process.exit(1);
+  }
+
+  // Copy all .md files
+  const files = readdirSync(agentsSourceDir).filter(f => f.endsWith(".md"));
+  
+  if (files.length === 0) {
+    console.error("[api-security-testing] Error: No agent files found");
+    process.exit(1);
+  }
+
+  let successCount = 0;
+  for (const file of files) {
+    const sourcePath = join(agentsSourceDir, file);
+    const targetPath = join(agentsTargetDir, file);
+    try {
+      copyFileSync(sourcePath, targetPath);
+      console.log(`  Installed: ${file}`);
+      successCount++;
+    } catch (err) {
+      console.error(`  Failed: ${file} - ${err.message}`);
+    }
+  }
+
+  if (successCount === files.length) {
+    console.log(`[api-security-testing] Successfully installed ${successCount} agent(s)`);
+    console.log(`  Location: ${agentsTargetDir}`);
+    console.log("\nTo use the agents, run:");
+    console.log("  opencode @api-cyber-supervisor");
+  } else {
+    console.error(`[api-security-testing] Partially installed: ${successCount}/${files.length}`);
+    process.exit(1);
+  }
+}
+
+main();

package/src/index.ts

@@ -1,6 +1,5 @@
 import type { Plugin } from "@opencode-ai/plugin";
 import { tool } from "@opencode-ai/plugin";
-import type { AgentConfig } from "@opencode-ai/sdk";
 import { join } from "path";
 import { existsSync } from "fs";
 
@@ -24,251 +23,9 @@ function checkDeps(ctx: { directory: string }): string {
   return "";
 }
 
-const CYBER_SUPERVISOR_PROMPT = `你是 API 安全测试的**赛博监工**，代号"P9"。
-
-## 核心能力
-
-你指挥完整的安全测试行动，协调多个专家子 agent 并行工作。
-
-## 可用子 Agent
-
-| 子 Agent | 职责 | 调用方式 |
-|---------|------|---------|
-| @api-probing-miner | 漏洞挖掘 | delegate_task(subagent_type="api-probing-miner") |
-| @api-resource-specialist | 端点发现 | delegate_task(subagent_type="api-resource-specialist") |
-| @api-vuln-verifier | 漏洞验证 | delegate_task(subagent_type="api-vuln-verifier") |
-
-## 可用工具
-
-直接调用以下工具执行特定任务：
-
-| 工具 | 用途 | 场景 |
-|------|------|------|
-| api_security_scan | 完整扫描 | 全面测试 |
-| api_fuzz_test | 模糊测试 | 发现未知端点 |
-| browser_collect | 浏览器采集 | SPA 应用 |
-| js_parse | JS 分析 | 提取 API 模式 |
-| vuln_verify | 漏洞验证 | 确认发现 |
-| graphql_test | GraphQL 测试 | GraphQL 端点 |
-| cloud_storage_test | 云存储测试 | OSS/S3 |
-| idor_test | IDOR 测试 | 越权漏洞 |
-| sqli_test | SQLi 测试 | 注入漏洞 |
-
-## 测试流程
-
-### Phase 1: 侦察
-1. browser_collect 采集动态端点
-2. js_parse 分析 JS 文件
-3. url_discover 发现隐藏端点
-
-### Phase 2: 分析
-1. 识别技术栈
-2. 分析认证机制
-3. 标记敏感端点
-
-### Phase 3: 挖掘
-1. 并行测试多种漏洞
-2. 使用专业工具 (sqli_test, idor_test, etc.)
-3. 验证每个发现
-
-### Phase 4: 报告
-生成结构化 Markdown 报告
-
-## 输出格式
-
-\`\`\`markdown
-# API 安全测试报告
-
-## 目标
-- URL: {target}
-- 日期: {date}
-
-## 执行摘要
-- 端点总数: {count}
-- 发现漏洞: {vuln_count}
-  - Critical: {n}
-  - High: {n}
-  - Medium: {n}
-  - Low: {n}
-
-## 漏洞详情
-### {vuln_name}
-- **严重程度**: {severity}
-- **端点**: {endpoint}
-- **PoC**: \`{poc}\`
-- **修复建议**: {fix}
-\`\`\`
-`;
-
-const PROBING_MINER_PROMPT = `你是**API漏洞挖掘专家**，专注于发现和验证安全漏洞。
-
-## 职责
-
-1. **针对性测试** - 根据端点特征选择最佳方法
-2. **快速验证** - 确认漏洞存在
-3. **PoC 生成** - 提供可执行的测试命令
-
-## 测试方法库
-
-### SQL 注入
-- 布尔盲注: ' OR 1=1 --
-- 联合查询: ' UNION SELECT NULL--
-- 错误注入: ' AND 1=CONVERT(int,...)--
-- 时间盲注: '; WAITFOR DELAY '00:00:05'--
-
-### IDOR
-- 替换 ID: /api/user/1 → /api/user/2
-- 水平越权测试
-- 垂直越权测试
-
-### JWT
-- 空算法: alg: none
-- 密钥混淆: HS256 → HS256
-- 无签名验证
-
-### 敏感数据
-- 响应中的密码/密钥
-- PII 信息泄露
-- 调试端点
-
-## 可用工具
-
-- sqli_test: SQL 注入测试
-- idor_test: IDOR 测试
-- vuln_verify: 漏洞验证
-- api_fuzz_test: 模糊测试
-
-## 输出格式
-
-\`\`\`
-## 发现漏洞
-
-### {type}
-- **端点**: {endpoint}
-- **方法**: {method}
-- **严重程度**: {severity}
-- **PoC**: \`{command}\`
-- **状态**: {status}
-\`\`\`
-`;
-
-const RESOURCE_SPECIALIST_PROMPT = `你是**API资源探测专家**，专注于发现和采集 API 端点。
-
-## 职责
-
-1. **全面发现** - 不遗漏任何端点
-2. **动态采集** - 拦截真实请求
-3. **静态分析** - 提取 API 模式
-
-## 采集技术
-
-### 1. 浏览器动态采集
-\`\`\`javascript
-browser_collect(url="https://target.com")
-// 拦截 XHR/Fetch
-// 触发交互
-\`\`\`
-
-### 2. JS 静态分析
-- 解析 JS 文件
-- 提取 API 路径
-- 识别参数模式
-
-### 3. 目录探测
-- /api/v1/*, /graphql
-- /swagger, /api-docs
-- /.well-known/*
-
-## 可用工具
-
-- browser_collect: 浏览器采集
-- js_parse: JS 文件解析
-- api_fuzz_test: 端点探测
-
-## 端点分类
-
-| 风险 | 类型 | 示例 |
-|------|------|------|
-| 高 | 认证 | /login, /oauth/* |
-| 高 | 数据 | /api/*/list, /search |
-| 中 | 用户 | /users, /profile |
-| 极高 | 管理 | /admin, /manage |
-
-## 输出格式
-
-\`\`\`
-## 端点发现报告
-
-- 总数: {count}
-- 高风险: {high}
-- 中风险: {medium}
-- 低风险: {low}
-
-### 高风险端点
-1. {method} {path} - {reason}
-\`\`\`
-`;
-
-const VULN_VERIFIER_PROMPT = `你是**漏洞验证专家**，专注于验证和确认安全漏洞。
-
-## 职责
-
-1. **快速验证** - 确认漏洞是否存在
-2. **风险评估** - 判断实际影响
-3. **PoC 生成** - 提供可执行的证明
-
-## 验证流程
-
-1. 构造 payload
-2. 发送测试请求
-3. 分析响应
-4. 判断结果
-5. 生成 PoC
-
-## 输出格式
-
-\`\`\`
-## 验证结果
-
-**漏洞类型**: {type}
-**端点**: {endpoint}
-**验证状态**: CONFIRMED / INVALID / UNCERTAIN
-**严重程度**: Critical / High / Medium / Low / Info
-
-### 测试步骤
-1. {step}
-
-### PoC
-\`\`\`bash
-{command}
-\`\`\`
-
-### 修复建议
-{fix}
-\`\`\`
-`;
-
-export function createApiSecurityAgent(
-  name: string,
-  description: string,
-  prompt: string,
-  mode: "primary" | "subagent" = "subagent",
-  color?: string
-): AgentConfig {
-  return {
-    description,
-    mode,
-    prompt,
-    color,
-    permission: {
-      bash: "*",
-      edit: "ask",
-      webfetch: "allow",
-    },
-  };
-}
-
 const ApiSecurityTestingPlugin: Plugin = async (ctx) => {
+  console.log("[api-security-testing] Plugin loaded");
+
   return {
     tool: {
       api_security_scan: tool({
@@ -320,7 +77,6 @@ print(results)
         args: {
           vuln_type: tool.schema.string(),
           endpoint: tool.schema.string(),
-          evidence: tool.schema.string().optional(),
         },
         async execute(args, ctx) {
           const deps = checkDeps(ctx);
@@ -330,7 +86,7 @@ import sys
 sys.path.insert(0, '${corePath}')
 from verifiers.vuln_verifier import VulnVerifier
 verifier = VulnVerifier()
-result = verifier.verify('${args.vuln_type}', '${args.endpoint}', '${args.evidence or ''}')
+result = verifier.verify('${args.vuln_type}', '${args.endpoint}')
 print(result)
 "`;
           const result = await ctx.$`${cmd}`;
@@ -342,7 +98,6 @@ print(result)
         description: "浏览器采集动态内容。参数: url(目标URL)",
         args: {
           url: tool.schema.string(),
-          wait_for: tool.schema.string().optional(),
         },
         async execute(args, ctx) {
           const deps = checkDeps(ctx);
@@ -389,7 +144,6 @@ for ep in endpoints:
         description: "GraphQL 安全测试。参数: endpoint(GraphQL端点)",
         args: {
           endpoint: tool.schema.string(),
-          introspection: tool.schema.boolean().optional(),
         },
         async execute(args, ctx) {
           const deps = checkDeps(ctx);
@@ -399,7 +153,7 @@ import sys
 sys.path.insert(0, '${corePath}')
 from smart_analyzer import SmartAnalyzer
 analyzer = SmartAnalyzer()
-result = analyzer.graphql_test('${args.endpoint}', introspection=${args.introspection ?? true})
+result = analyzer.graphql_test('${args.endpoint}')
 print(result)
 "`;
           const result = await ctx.$`${cmd}`;
@@ -433,7 +187,6 @@ print(result)
         args: {
           endpoint: tool.schema.string(),
           resource_id: tool.schema.string(),
-          target_user_id: tool.schema.string().optional(),
         },
         async execute(args, ctx) {
           const deps = checkDeps(ctx);
@@ -443,7 +196,7 @@ import sys
 sys.path.insert(0, '${corePath}')
 from testers.idor_tester import IDORTester
 tester = IDORTester()
-result = tester.test('${args.endpoint}', '${args.resource_id}', '${args.target_user_id or ''}')
+result = tester.test('${args.endpoint}', '${args.resource_id}')
 print(result)
 "`;
           const result = await ctx.$`${cmd}`;
@@ -494,43 +247,6 @@ print(result)
         },
       }),
     },
-
-    config: async (config) => {
-      const agentConfig = config.agent as Record<string, AgentConfig> | undefined;
-      
-      if (!agentConfig) {
-        config.agent = {};
-      }
-
-      (config.agent as Record<string, AgentConfig>)["api-cyber-supervisor"] = createApiSecurityAgent(
-        "api-cyber-supervisor",
-        "API安全测试编排者。协调完整扫描流程，永不停止。",
-        CYBER_SUPERVISOR_PROMPT,
-        "primary",
-        "#FF6B6B"
-      );
-
-      (config.agent as Record<string, AgentConfig>)["api-probing-miner"] = createApiSecurityAgent(
-        "api-probing-miner",
-        "漏洞挖掘专家。专注发现和验证 API 漏洞。",
-        PROBING_MINER_PROMPT,
-        "subagent"
-      );
-
-      (config.agent as Record<string, AgentConfig>)["api-resource-specialist"] = createApiSecurityAgent(
-        "api-resource-specialist",
-        "资源探测专家。专注采集和发现 API 端点。",
-        RESOURCE_SPECIALIST_PROMPT,
-        "subagent"
-      );
-
-      (config.agent as Record<string, AgentConfig>)["api-vuln-verifier"] = createApiSecurityAgent(
-        "api-vuln-verifier",
-        "漏洞验证专家。验证和确认安全漏洞。",
-        VULN_VERIFIER_PROMPT,
-        "subagent"
-      );
-    },
   };
 };
 

package/scripts/postinstall.js

@@ -1,46 +0,0 @@
-import { existsSync, mkdirSync, cpSync, rmSync, readdirSync, statSync } from "fs";
-import { join, dirname } from "path";
-import { fileURLToPath } from "url";
-
-const __filename = fileURLToPath(import.meta.url);
-const __dirname = dirname(__filename);
-const packageRoot = __dirname;
-
-const OPENCODE_DIR = process.env.OPENCODE_CONFIG_DIR || join(process.env.HOME || "/root", ".config/opencode");
-const SKILL_DIR = join(OPENCODE_DIR, "skills/api-security-testing");
-
-function copyRecursive(src, dest) {
-  if (!existsSync(src)) {
-    console.warn(`[api-security-testing] Warning: ${src} does not exist, skipping`);
-    return;
-  }
-  
-  const stat = statSync(src);
-  if (stat.isDirectory()) {
-    if (!existsSync(dest)) {
-      mkdirSync(dest, { recursive: true });
-    }
-    for (const entry of readdirSync(src)) {
-      copyRecursive(join(src, entry), join(dest, entry));
-    }
-  } else {
-    cpSync(src, dest, { force: true });
-  }
-}
-
-console.log("[api-security-testing] Setting up skill files...");
-
-try {
-  copyRecursive(join(packageRoot, "core"), join(SKILL_DIR, "core"));
-  copyRecursive(join(packageRoot, "references"), join(SKILL_DIR, "references"));
-  
-  const skillMdSrc = join(packageRoot, "SKILL.md");
-  if (existsSync(skillMdSrc)) {
-    cpSync(skillMdSrc, join(SKILL_DIR, "SKILL.md"), { force: true });
-  }
-  
-  console.log("[api-security-testing] Skill files installed to:", SKILL_DIR);
-} catch (error) {
-  console.error("[api-security-testing] Error during installation:", error.message);
-  process.exit(1);
-}