wormclaude 1.0.161 → 1.0.162

package/dist/commands.js

@@ -57,6 +57,7 @@ export const COMMANDS = [
     { name: '/scan', desc: '[seviye 3+] yetkili hedefte genel tarama (keşif+başlıklar): /scan <alan>' },
     { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (kendi motorumuz): /xss <url>' },
     { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (kendi motorumuz): /sqli <url>' },
+    { name: '/fullscan', desc: '[seviye 3+] tam kapsamlı DETERMİNİSTİK tarama: recon+XSS+SQLi tek komutta: /fullscan <hedef>' },
     { name: '/exploit', desc: 'yetkili testte doğrulanmış PoC üret: /exploit <cve|açıklama>' },
     { name: '/harden', desc: 'savunma çıktısı üret (YARA/Sigma + yama önerisi): /harden <hedef|tehdit>' },
     { name: '/export', desc: 'sohbeti dosyaya kaydet' },
@@ -187,7 +188,7 @@ function formatFinding(x) {
 // FALSE-POZİTİF guard: ilk kelime tam komut adı + argüman var + soru DEĞİL ("recon nedir?" tetiklemez).
 // Yalnız hedef-alan komutları; ve hedef URL/domain GİBİ görünmeli ("xss ile tara" → komut DEĞİL,
 // model SecurityScan ile halleder). "?'li URL kabul edilir (parametreli xss/sqli hedefi).
-const _BARE_CMDS = new Set(['recon', 'scan', 'xss', 'sqli']);
+const _BARE_CMDS = new Set(['recon', 'scan', 'xss', 'sqli', 'fullscan']);
 const _TARGET_RE = /(^https?:\/\/)|(\.[a-z]{2,})|(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})/i;
 export function detectBareCommand(input) {
     const s = (input || '').trim();
@@ -269,6 +270,76 @@ async function pentestCmd(tool, arg, ctx) {
     }
     ctx.assistant(lines.join('\n'));
 }
+// /fullscan — DETERMİNİSTİK tam tarama. Modelin doğaçlamasına (nmap/sqlmap orkestrasyonu →
+// narration/uydurma/PATH derdi) GÜVENMEZ: recon → XSS → SQLi motorunu KOD sırayla, her hedefte
+// aynı şekilde koşar, gerçek bulguları tek raporda birleştirir. Tekrarlanabilir (red team/öğrenci).
+async function fullScanCmd(arg, ctx) {
+    const parts = (arg || '').trim().split(/\s+/).filter(Boolean);
+    let scopeAck = false;
+    if (parts.length && /^(run|onayla|çalıştır|calistir|--yes|-y|yes|evet)$/i.test(parts[parts.length - 1])) {
+        scopeAck = true;
+        parts.pop();
+    }
+    const cleaned = [];
+    for (let i = 0; i < parts.length; i++) {
+        if (parts[i].startsWith('-')) {
+            if (parts[i + 1] && !parts[i + 1].startsWith('-'))
+                i++;
+            continue;
+        }
+        cleaned.push(parts[i]);
+    }
+    const target = cleaned.join(' ').trim();
+    if (!target) {
+        ctx.note(tt('Full scan (deterministic: recon + XSS + SQLi)\nUsage: /fullscan <target>\nExample: /fullscan testphp.vulnweb.com', 'Tam tarama (deterministik: recon + XSS + SQLi)\nKullanım: /fullscan <hedef>\nÖrnek: /fullscan testphp.vulnweb.com'));
+        return;
+    }
+    if (!scopeAck) {
+        pendingPentest = `/fullscan ${target} run`;
+        ctx.note(tt(`⚠️  AUTHORIZATION REQUIRED — Full scan (recon + XSS + SQLi)\nTarget: ${target}\n\n` +
+            `Sends REAL requests from YOUR IP. Only on systems you own or have written authorization for.\n` +
+            `To confirm, type "run" (Enter)  ·  or: /fullscan ${target} run`, `⚠️  YETKİ ONAYI GEREKLİ — Tam tarama (recon + XSS + SQLi)\nHedef: ${target}\n\n` +
+            `Hedefe GERÇEK istekler SENİN IP'nden gider. Yalnız sahibi olduğun ya da yazılı izinli sistemlerde.\n` +
+            `Onaylamak için "run" yaz (Enter)  ·  ya da: /fullscan ${target} run`));
+        return;
+    }
+    pendingPentest = null;
+    ctx.note(tt(`Full scan starting — ${target}  (recon → XSS → SQLi, deterministic, repeatable)`, `Tam tarama başlıyor — ${target}  (recon → XSS → SQLi, deterministik, tekrarlanabilir)`));
+    const steps = [['recon', ptLabel('recon')], ['xss', ptLabel('xss')], ['sqli', ptLabel('sqli')]];
+    const all = [];
+    for (const [tool, label] of steps) {
+        ctx.note(`▶ ${label} …`);
+        const out = await runPentest(ctx.config, tool, target, true, (s) => ctx.note(s));
+        if (!out.ok) {
+            const r = out.reason || out.plan?.reason || 'error';
+            // Yetki/kota hatası tüm adımlarda aynı → dur. Diğer hatada o adımı atla, devam et.
+            if (r === 'trust_required' || r === 'quota_exceeded' || r === 'no_quota' || r === 'auth') {
+                ctx.note(`${tt('Full scan stopped', 'Tam tarama durdu')}: ${ptReason(r)}`);
+                return;
+            }
+            ctx.note(`  ${label}: ${ptReason(r)} — ${tt('skipped', 'atlandı')}`);
+            continue;
+        }
+        const f = (out.report?.findings || []).map((x) => ({ ...x, _step: tool }));
+        all.push(...f);
+        ctx.note(`  ${label}: ${f.length} ${tt('finding(s)', 'bulgu')}`);
+    }
+    const order = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
+    all.sort((a, b) => (order[a.severity] ?? 9) - (order[b.severity] ?? 9));
+    const lines = [`✓ ${tt('Full scan complete', 'Tam tarama tamamlandı')} — ${target}`];
+    if (!all.length) {
+        lines.push(tt('No findings on the tested surface (recon/XSS/SQLi). Target looks clean or was unreachable.', 'Test edilen yüzeyde bulgu yok (recon/XSS/SQLi). Hedef temiz görünüyor ya da erişilemedi.'));
+    }
+    else {
+        const sev = (s) => all.filter((x) => x.severity === s).length;
+        lines.push(`${all.length} ${tt('finding(s)', 'bulgu')} — high:${sev('high')} medium:${sev('medium')} low:${sev('low')} info:${sev('info')}`);
+        for (const x of all.slice(0, 60))
+            lines.push('  ' + formatFinding(x));
+        if (all.length > 60)
+            lines.push(`  … +${all.length - 60} ${tt('more', 'daha')}`);
+    }
+    ctx.assistant(lines.join('\n'));
+}
 // /exploit ve /harden — AKTİF tarama DEĞİL, model-üretim görevleri (PoC / YARA-Sigma yazar).
 // Güçlü, yetkili-kapsam çerçevesiyle modele gider (skill gibi). Çıktı kullanıcının dilinde.
 export function buildExploitPrompt(arg) {
@@ -894,6 +965,9 @@ export async function runSlashCommand(input, ctx) {
         case '/sqli':
             await pentestCmd(cmd.slice(1), arg, ctx);
             return true;
+        case '/fullscan':
+            await fullScanCmd(arg, ctx);
+            return true;
         case '/skill': {
             const m = (arg || '').trim().split(/\s+/).filter(Boolean);
             const sub = (m.shift() || '').toLowerCase();

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.161';
+export const VERSION = '1.0.162';

package/dist/tools.js

@@ -747,13 +747,11 @@ async function execOne(call, hooks) {
                 txt += 'Zafiyet bulunamadı (hedef temiz ya da yanıt vermedi).';
             else
                 txt += `${rep.found_count} bulgu:\n` + f.slice(0, 50).map((x) => '  ' + JSON.stringify(x)).join('\n');
-            // HYBRID: bu gömülü ilk-geçiştir. Modele, kullanıcıya derin taramayı TEKLİF ettir.
-            txt += '\n\n[hybrid-note] This was WormClaude\'s fast embedded first-pass scan. After reporting these'
-                + ' findings, OFFER the user (in their language) a deeper full scan with real tools'
-                + ' (nmap, nuclei, sqlmap, dalfox, ffuf), paired with the authorization reminder: for'
-                + ' educational/authorized use only — run it only if the user owns the target or holds a written'
-                + ' authorization document. Escalate ONLY if the user accepts AND has confirmed ownership/written'
-                + ' authorization (ask once if unstated).';
+            // HYBRID: bu gömülü ilk-geçiştir. Derin tarama = DETERMİNİSTİK /fullscan (model doğaçlamasın).
+            txt += `\n\n[hybrid-note] This was WormClaude's fast first-pass scan. For a COMPREHENSIVE scan, tell`
+                + ` the user to run the deterministic command "/fullscan ${target}" — it chains recon + XSS + SQLi`
+                + ` in one reliable, repeatable pass. Do NOT hand-orchestrate nmap/sqlmap yourself; recommend`
+                + ` /fullscan. Pair it with the authorization reminder (only on owned / written-authorized targets).`;
             return { ok: true, output: txt, args };
         }
         catch (e) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.161",
+  "version": "1.0.162",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {