wormclaude 1.0.156 → 1.0.158

package/dist/commands.js

@@ -185,22 +185,24 @@ function formatFinding(x) {
 // /recon /scan /xss /sqli — ince runner'ı sürer. Zorunlu yetki onayı + trust 3+ teaser.
 // Slash'sız komut tespiti: kullanıcı "recon target.com" (slash'sız) yazınca "/recon target.com" öner.
 // FALSE-POZİTİF guard: ilk kelime tam komut adı + argüman var + soru DEĞİL ("recon nedir?" tetiklemez).
-const _BARE_CMDS = new Set(['recon', 'scan', 'xss', 'sqli', 'exploit', 'harden', 'agent', 'agents']);
-const _QUESTION_WORDS = new Set(['nedir', 'ne', 'nasıl', 'nasil', 'neden', 'mi', 'mu', 'mı', 'mü', 'what', 'how', 'why', 'is', 'are', 'about', 'açıkla', 'acikla', 'explain', 'hakkında', 'hakkinda', 'anlat']);
+// Yalnız hedef-alan komutları; ve hedef URL/domain GİBİ görünmeli ("xss ile tara" → komut DEĞİL,
+// model SecurityScan ile halleder). "?'li URL kabul edilir (parametreli xss/sqli hedefi).
+const _BARE_CMDS = new Set(['recon', 'scan', 'xss', 'sqli']);
+const _TARGET_RE = /(^https?:\/\/)|(\.[a-z]{2,})|(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})/i;
 export function detectBareCommand(input) {
     const s = (input || '').trim();
-    if (!s || s.startsWith('/') || s.includes('?') || s.includes('\n'))
+    if (!s || s.startsWith('/') || s.includes('\n'))
         return null;
     const parts = s.split(/\s+/);
     if (parts.length < 2)
-        return null; // tek kelime → düz mesaj olabilir
+        return null;
     const first = parts[0].toLowerCase();
     if (!_BARE_CMDS.has(first))
         return null;
-    if (_QUESTION_WORDS.has(parts[1].toLowerCase()))
-        return null; // "recon nedir" → komut değil
-    const cmd = first === 'agents' ? 'agent' : (first === 'scan' ? 'scan' : first);
-    return '/' + cmd + ' ' + parts.slice(1).join(' ');
+    const arg = parts.slice(1).join(' ');
+    if (!_TARGET_RE.test(arg))
+        return null; // hedef URL/domain/IP değil → komut değil
+    return '/' + first + ' ' + arg;
 }
 async function pentestCmd(tool, arg, ctx) {
     if (tool === 'scan')

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.156';
+export const VERSION = '1.0.158';

package/dist/tools.js

@@ -208,6 +208,21 @@ export const toolSchemas = [
             },
         },
     },
+    {
+        type: 'function',
+        function: {
+            name: 'SecurityScan',
+            description: "Run an AUTHORIZED security scan with WormClaude's own server-side engine (no external tools, no manual payloads). Use THIS — never shell/curl/Invoke-WebRequest — whenever the user asks to scan/test a target for vulnerabilities (\"tara\", \"scan\", \"xss tara\", \"sqli\", \"recon\", \"açık bul\", \"zafiyet tara\"). The engine runs payloads + detection server-side and returns findings. For xss/sqli give a PARAMETERIZED url (e.g. https://site/page?id=1); for recon/scan give a domain. Requires authorized-researcher level (3+); traffic exits the user's IP — only authorized targets.",
+            parameters: {
+                type: 'object',
+                properties: {
+                    tool: { type: 'string', enum: ['recon', 'scan', 'xss', 'sqli'], description: 'recon/scan → domain; xss/sqli → parameterized URL' },
+                    target: { type: 'string', description: 'Domain for recon/scan (example.com) OR parameterized URL for xss/sqli (https://example.com/p?id=1)' },
+                },
+                required: ['tool', 'target'],
+            },
+        },
+    },
     {
         type: 'function',
         function: {
@@ -592,7 +607,7 @@ const computerToolSchemas = [
 // çağırıp işi yapar, planı ekrana basmaz. (Gerekirse buraya yeni araç eklenir.)
 const CORE_TOOLS = new Set([
     'Bash', 'PowerShell', 'Read', 'Write', 'Edit', 'Glob', 'Grep',
-    'WebFetch', 'WebSearch', 'Sleep',
+    'WebFetch', 'WebSearch', 'Sleep', 'SecurityScan',
     'TaskOutput', // uzun komutları arka planda çalıştırıp bitişini yoklamak için (run_in_background)
     'AskUserQuestion', // GERİ EKLENDİ: FLAT şema (options: string[]) ile 32B temiz çağrı üretiyor
     // (test edildi). Eski degenere NESTED şemadandı ([{label,description}]). Handler string→{label}
@@ -698,6 +713,41 @@ async function execOne(call, hooks) {
             return { ok: false, output: 'Plan modunda — yazma/komut engellendi (yalnız okuma/araştırma). Planı yaz; uygulamak için kullanıcı /plan off demeli.', args };
         }
     }
+    // 3.4) Güvenlik taraması — kullanıcı "tara/scan/xss/sqli/recon" deyince model bu aracı çağırır;
+    //       elle PowerShell payload yazmak YERİNE sunucu motorunu (runPentest) çalıştırır.
+    if (call.name === 'SecurityScan') {
+        const tool = String(args?.tool || '').toLowerCase().trim();
+        const target = String(args?.target || '').trim();
+        if (!['recon', 'scan', 'xss', 'sqli'].includes(tool) || !target) {
+            return { ok: false, output: 'SecurityScan: tool (recon|scan|xss|sqli) ve target gerekli.', args };
+        }
+        try {
+            const { runPentest } = await import('./pentest.js');
+            const out = await runPentest(cfg(), tool, target, true, () => { });
+            if (!out?.ok) {
+                const reason = out?.reason || out?.plan?.reason || 'error';
+                const tip = reason === 'trust_required' ? ' (Doğrulanmış Araştırmacı / seviye 3+ gerekir: /dogrula)'
+                    : reason === 'invalid_target' ? ' (xss/sqli için parametreli URL ver: https://site/p?id=1)' : '';
+                return { ok: false, output: `Tarama yapılamadı: ${reason}${tip}`, args };
+            }
+            const rep = out.report || {};
+            const f = rep.findings || [];
+            let txt = `Tarama tamam (${tool}) — ${rep.target || target}\n`;
+            if (!f.length)
+                txt += 'Zafiyet bulunamadı (hedef temiz ya da yanıt vermedi).';
+            else
+                txt += `${rep.found_count} bulgu:\n` + f.slice(0, 50).map((x) => '  ' + JSON.stringify(x)).join('\n');
+            // HYBRID: bu gömülü ilk-geçiştir. Modele, kullanıcıya derin taramayı TEKLİF ettir.
+            txt += '\n\n[hybrid-note] This was WormClaude\'s fast embedded first-pass scan. After reporting these'
+                + ' findings, OFFER the user (in their language) a deeper full scan with real tools'
+                + ' (nmap, nuclei, sqlmap, dalfox, ffuf). Run that deeper pass ONLY if the user accepts AND the'
+                + ' target is in authorized scope.';
+            return { ok: true, output: txt, args };
+        }
+        catch (e) {
+            return { ok: false, output: 'Tarama hatası: ' + (e?.message || e), args };
+        }
+    }
     // 3.5) Komut güvenliği (Bash/PowerShell) — cmdsec: deny→blokla, allow→izinsiz, confirm→izin akışı
     if ((call.name === 'Bash' || call.name === 'PowerShell') && args && args.command) {
         const chk = checkCommand(String(args.command), { shell: call.name === 'PowerShell' ? 'powershell' : 'bash' });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.156",
+  "version": "1.0.158",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {