wormclaude 1.0.165 → 1.0.167

package/dist/commands.js

@@ -10,7 +10,7 @@ import * as usage from './usage.js';
 import { runCompact, contextPercent, autoCompactThreshold } from './compact.js';
 import { cmdDesc, setLang, saveLang, getLang } from './i18n.js';
 import { listCheckpoints, rewindLast, rewindTo, rewindAll } from './checkpoint.js';
-import { setPlanMode } from './tools.js';
+import { setPlanMode, getBashCwd } from './tools.js';
 import { loadSkills, getSkills, getSkillsDir, installSkill, updateSkill, removeSkill, getRegistry } from './skills.js';
 import { getApprovedCommands, approveCommands, unapproveCommands, clearApproved } from './cmdsec.js';
 import { isLearnEnabled, setLearnEnabled, getLearnFile, getLearnCount } from './learn.js';
@@ -58,6 +58,7 @@ export const COMMANDS = [
     { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (kendi motorumuz): /xss <url>' },
     { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (kendi motorumuz): /sqli <url>' },
     { name: '/dirscan', desc: '[seviye 3+] dizin/içerik keşfi (yönetim/api/yedek/sızıntı yolları): /dirscan <alan>' },
+    { name: '/report', desc: 'son taramadan profesyonel pentest raporu üret (CVSS/etki/çözüm, dosyaya yazar)' },
     { name: '/fullscan', desc: '[seviye 3+] tam kapsamlı DETERMİNİSTİK tarama: recon+XSS+SQLi tek komutta: /fullscan <hedef>' },
     { name: '/exploit', desc: 'yetkili testte doğrulanmış PoC üret: /exploit <cve|açıklama>' },
     { name: '/harden', desc: 'savunma çıktısı üret (YARA/Sigma + yama önerisi): /harden <hedef|tehdit>' },
@@ -152,6 +153,98 @@ const PT_REASON_TR = {
     upstream_error: 'Sunucuya ulaşılamadı.',
 };
 const ptReason = (r) => (getLang() === 'tr' ? PT_REASON_TR : PT_REASON_EN)[r] || r;
+// ── Pentest RAPORU (Tier 3) — son taramanın GERÇEK bulgularından profesyonel rapor üretir.
+// Uydurma YOK: bulgular motordan gelir; aşağıdaki harita yalnız etki/çözüm bilgisini ekler (statik, küratörlü).
+let _lastScan = null;
+export function setLastScan(target, findings) {
+    if (findings && findings.length)
+        _lastScan = { target, findings, ts: Date.now() };
+}
+// type → {başlık, CWE, etki, çözüm} (CWE-temelli küratörlü bilgi)
+const _REMED = {
+    xss: { t: 'Cross-Site Scripting (XSS)', cwe: 'CWE-79', impact: 'Saldırgan kurbanın tarayıcısında script çalıştırır — oturum çalma, hesap ele geçirme, sayfa tahrifi.', fix: 'Çıktıyı bağlama göre encode et (HTML/JS/URL), CSP uygula, girdiyi doğrula; framework auto-escaping kullan.' },
+    sqli: { t: 'SQL Injection', cwe: 'CWE-89', impact: 'Veritabanı okuma/yazma, kimlik doğrulama atlama, tüm verinin sızması.', fix: 'Parametreli sorgu (prepared statement) kullan; ORM; girdi doğrulama; en-az-yetki DB kullanıcısı.' },
+    ssti: { t: 'Server-Side Template Injection', cwe: 'CWE-1336', impact: 'Şablon motorunda kod çalıştırma → çoğu zaman RCE.', fix: 'Kullanıcı girdisini şablona koyma; sandbox’lı motor; logicless şablon (Mustache).' },
+    lfi: { t: 'Local File Inclusion / Path Traversal', cwe: 'CWE-22', impact: 'Sunucu dosyalarını okuma (config, /etc/passwd), zincirle RCE.', fix: 'Dosya yolunu allowlist’le; ../ temizle; kullanıcı girdisini dosya yoluna koyma.' },
+    ssrf: { t: 'Server-Side Request Forgery', cwe: 'CWE-918', impact: 'İç servislere/metadata’ya (cloud) erişim, iç ağ tarama.', fix: 'Hedef host’u allowlist’le; iç IP’leri (169.254, 10.x, localhost) reddet; redirect takip etme.' },
+    'cmd-injection': { t: 'Komut Enjeksiyonu', cwe: 'CWE-78', impact: 'Sunucuda işletim sistemi komutu çalıştırma → tam sistem ele geçirme.', fix: 'Shell çağırma; dil-içi API kullan; argümanları allowlist’le; kullanıcı girdisini komuta koyma.' },
+    'nosql-injection': { t: 'NoSQL Injection', cwe: 'CWE-943', impact: 'Sorgu manipülasyonu, kimlik doğrulama atlama, veri sızması.', fix: 'Girdiyi tip-doğrula; operatör ($ne/$gt) enjeksiyonunu engelle; ODM güvenli bağlama.' },
+    'open-redirect': { t: 'Açık Yönlendirme', cwe: 'CWE-601', impact: 'Oltalama/phishing — kullanıcı güvenilen alandan kötücül siteye yönlenir.', fix: 'Yönlendirme hedefini allowlist’le; harici URL’e doğrudan yönlendirme yapma.' },
+    crlf: { t: 'CRLF / HTTP Başlık Enjeksiyonu', cwe: 'CWE-113', impact: 'Başlık enjeksiyonu, önbellek zehirleme, oturum sabitleme.', fix: 'Yanıt başlığına giren girdiden CR/LF (%0d%0a) temizle.' },
+    'graphql-introspection': { t: 'GraphQL Introspection Açık', cwe: 'CWE-200', impact: 'Tüm API şeması/gizli uçlar ifşa → saldırı yüzeyi haritalanır.', fix: 'Üretimde introspection’ı kapat; şema ifşasını sınırla.' },
+    path: { t: 'Açıkta Dizin/Dosya', cwe: 'CWE-538', impact: 'Hassas dosya/uç ifşası (kaynak, yedek, yönetim) → bilgi sızması.', fix: 'Hassas yolları kaldır/kısıtla; .git/.env vb. web kökünden çıkar; erişim kontrolü.' },
+    weak_headers: { t: 'Eksik Güvenlik Başlıkları', cwe: 'CWE-693', impact: 'Clickjacking/MIME-sniffing/MITM riskini artırır.', fix: 'CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ekle.' },
+    cors: { t: 'CORS Yanlış Yapılandırması', cwe: 'CWE-942', impact: 'Kötücül site kullanıcı adına yetkili istek yapabilir, veri çalar.', fix: 'Origin’i allowlist’le; ACAO:* + credentials birlikte kullanma.' },
+    exposure: { t: 'Hassas Dosya İfşası', cwe: 'CWE-538', impact: 'Sır/yapılandırma sızması (.git/.env/yedek).', fix: 'Dosyaları web kökünden kaldır; erişimi engelle; sızan sırları rotate et.' },
+    subdomain_takeover: { t: 'Subdomain Takeover', cwe: 'CWE-350', impact: 'Saldırgan sahipsiz alt-alanı ele geçirir → phishing/çerez çalma.', fix: 'Kullanılmayan DNS kayıtlarını (CNAME) sil; 3.parti servisi geri talep et.' },
+};
+export function buildReport(scan) {
+    const sevRank = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
+    const fs2 = [...scan.findings].sort((a, b) => (sevRank[a.severity] ?? 9) - (sevRank[b.severity] ?? 9));
+    const cnt = (s) => scan.findings.filter((f) => f.severity === s).length;
+    const d = new Date(scan.ts);
+    const date = `${d.getFullYear()}-${String(d.getMonth() + 1).padStart(2, '0')}-${String(d.getDate()).padStart(2, '0')}`;
+    const L = getLang() === 'tr';
+    const out = [];
+    out.push(`# ${L ? 'Güvenlik Değerlendirme Raporu' : 'Security Assessment Report'} — ${scan.target}`);
+    out.push(`\n**${L ? 'Tarih' : 'Date'}:** ${date}  ·  **${L ? 'Araç' : 'Tool'}:** WormClaude v2  ·  **${L ? 'Kapsam' : 'Scope'}:** ${scan.target} (${L ? 'yetkili' : 'authorized'})\n`);
+    out.push(`## ${L ? 'Yönetici Özeti' : 'Executive Summary'}`);
+    out.push(`${scan.findings.length} ${L ? 'bulgu' : 'findings'} — **High: ${cnt('high')}**, Medium: ${cnt('medium')}, Low: ${cnt('low')}, Info: ${cnt('info')}.`);
+    const top = fs2.filter((f) => ['high', 'medium'].includes(f.severity)).slice(0, 5).map((f) => (_REMED[f.type]?.t || f.type));
+    if (top.length)
+        out.push(`${L ? 'Öne çıkan riskler' : 'Key risks'}: ${[...new Set(top)].join(', ')}.`);
+    else
+        out.push(L ? 'Yüksek/orta seviye doğrulanmış bulgu yok; yüzey büyük ölçüde temiz görünüyor.' : 'No high/medium confirmed findings; surface appears largely clean.');
+    out.push(`\n## ${L ? 'Bulgular' : 'Findings'}`);
+    let n = 0;
+    for (const f of fs2) {
+        if (f.type === 'reflection')
+            continue;
+        n++;
+        const r = _REMED[f.type];
+        const sev = (f.severity || 'info').toUpperCase();
+        out.push(`\n### ${n}. [${sev}] ${r?.t || f.type}${(r?.cwe || f.cwe) ? '  (' + (r?.cwe || f.cwe) + ')' : ''}`);
+        if (f.url)
+            out.push(`- **${L ? 'Uç' : 'Endpoint'}:** ${f.url}${f.param ? `  (param: \`${f.param}\`)` : ''}`);
+        if (f.evidence)
+            out.push(`- **${L ? 'Kanıt' : 'Evidence'}:** ${f.evidence}`);
+        else if (f.missing)
+            out.push(`- **${L ? 'Eksik' : 'Missing'}:** ${(f.missing || []).join(', ')}`);
+        if (r) {
+            out.push(`- **${L ? 'Etki' : 'Impact'}:** ${r.impact}`);
+            out.push(`- **${L ? 'Çözüm' : 'Remediation'}:** ${r.fix}`);
+        }
+    }
+    if (!n)
+        out.push(L ? '_Raporlanacak bulgu yok._' : '_No findings to report._');
+    out.push(`\n## ${L ? 'Metodoloji' : 'Methodology'}`);
+    out.push(L
+        ? 'WormClaude deterministik motoru: keşif (alt-alan/başlık/ifşa) + dizin/içerik keşfi + XSS/SQLi/SSTI/LFI/SSRF/komut-enjeksiyonu/NoSQL/açık-yönlendirme/CRLF + subdomain-takeover. Crawl-tabanlı param keşfi; trafik yetkili kapsamda kullanıcı IP’sinden çıktı.'
+        : 'WormClaude deterministic engine: recon (subdomains/headers/exposure) + content discovery + XSS/SQLi/SSTI/LFI/SSRF/cmd-injection/NoSQL/open-redirect/CRLF + subdomain-takeover. Crawl-based param discovery; traffic from the operator IP within authorized scope.');
+    out.push(`\n## ${L ? 'Sınırlar' : 'Limitations'}`);
+    out.push(L
+        ? 'Stored/DOM XSS, kimlik-doğrulama arkası akışlar, iş-mantığı ve post-exploitation kapsam dışıdır; bunlar için manuel test / tam araç (Burp Pro, sqlmap) önerilir. "Bulgu yok" = "güvenli" anlamına gelmez.'
+        : 'Stored/DOM XSS, authenticated flows, business logic and post-exploitation are out of scope; manual testing / full tooling (Burp Pro, sqlmap) recommended. "No findings" does not mean "secure".');
+    return out.join('\n');
+}
+async function reportCmd(ctx) {
+    if (!_lastScan) {
+        ctx.note(tt('No scan yet. Run /fullscan <target> (or /recon /xss /sqli) first, then /report.', 'Henüz tarama yok. Önce /fullscan <hedef> (ya da /recon /xss /sqli) çalıştır, sonra /report.'));
+        return;
+    }
+    const md = buildReport(_lastScan);
+    const host = (_lastScan.target.replace(/^https?:\/\//, '').replace(/[^\w.-]/g, '_')).slice(0, 40);
+    const fname = `wormclaude-report-${host}.md`;
+    const fpath = path.resolve(getBashCwd(), fname);
+    try {
+        fs.writeFileSync(fpath, md, 'utf8');
+        ctx.assistant(tt(`Report written: ${fpath}\n(${_lastScan.findings.length} findings from the last scan of ${_lastScan.target})`, `Rapor yazıldı: ${fpath}\n(${_lastScan.target} son taramasından ${_lastScan.findings.length} bulgu)`));
+    }
+    catch (e) {
+        // Yazılamazsa ekrana bas
+        ctx.assistant(md);
+    }
+}
 // Bekleyen tarama onayı — kullanıcı uyarıdan sonra sadece "run"/"onayla" yazınca çalıştırmak için.
 const PT_BUILTIN = new Set(['recon', 'scan', 'xss', 'sqli', 'dirscan']);
 let pendingPentest = null;
@@ -170,19 +263,71 @@ function formatFinding(x) {
         return `${sev}SQLi (${x.technique || '?'}) · param ${x.param || '?'} — ${x.evidence || ''}`;
     if (x.type === 'subdomain')
         return `${tt('subdomain', 'alt-alan')}: ${x.value}`;
+    if (x.type === 'subdomain_takeover')
+        return `${sev}${tt('subdomain takeover', 'subdomain takeover')}: ${x.url || ''}${x.service ? ' (' + x.service + ')' : ''}`;
     if (x.type === 'host')
         return `${x.status || ''} ${x.url || ''}${x.title ? ' · ' + x.title : ''}${x.server ? ' · ' + x.server : ''}`;
     if (x.type === 'tech')
         return `${tt('tech', 'teknoloji')}: ${x.value}`;
     if (x.type === 'weak_headers')
         return `${sev}${tt('missing security headers', 'eksik güvenlik başlıkları')}: ${(x.missing || []).join(', ')}`;
-    if (x.type === 'cors')
-        return `${sev}${tt('CORS misconfiguration', 'CORS yanlış yapılandırma')}: ${x.url || ''} — ${x.evidence || ''}`;
-    if (x.type === 'exposure')
-        return `${sev}${tt('exposure', 'ifşa')}: ${x.url || ''} — ${x.evidence || ''}`;
+    if (x.type === 'path')
+        return `${sev}${tt('path', 'yol')} ${x.url || ''} → ${x.status || ''}`;
     if (x.value)
         return `${x.value}`;
-    return JSON.stringify(x);
+    // GENEL: şablon bulguları (ssrf/ssti/lfi/ldap/cmd-injection/nosql/open-redirect/crlf/graphql/cors/exposure…)
+    const r = _REMED[x.type];
+    const label = (r && r.t) || x.name || x.type;
+    let s = `${sev}${label}`;
+    if (x.param)
+        s += ` · param ${x.param}`;
+    if (x.url)
+        s += ` — ${x.url}`;
+    return s;
+}
+// Tarama sonrası YORUMLU özet — ne ciddi, ne minör, ne yapmalı (deterministik, _REMED'den; uydurma yok).
+export function summarizeScan(target, findings) {
+    const L = getLang() === 'tr';
+    const bySev = (s) => findings.filter((f) => f.severity === s && f.type !== 'reflection');
+    const high = bySev('high'), med = bySev('medium'), low = bySev('low'), info = bySev('info');
+    // tip bazında grupla → "XSS ×4 (searchTerm) — <etki>"
+    const grp = (list, withImpact) => {
+        const byType = {};
+        for (const f of list)
+            (byType[f.type] = byType[f.type] || []).push(f);
+        return Object.entries(byType).map(([t, fs]) => {
+            const r = _REMED[t];
+            const label = (r && r.t) || (fs[0] && fs[0].name) || t;
+            const params = [...new Set(fs.map((f) => f.param).filter(Boolean))];
+            const where = params.length ? ` (${params.join(', ')})` : '';
+            const head = `${label}${fs.length > 1 ? ` ×${fs.length}` : ''}${where}`;
+            return withImpact && r ? `  • ${head} — ${r.impact}` : `  • ${head}`;
+        });
+    };
+    const out = [];
+    out.push(L ? `📋 ÖZET — ${target}` : `📋 SUMMARY — ${target}`);
+    if (high.length) {
+        out.push(L ? `🔴 ${high.length} YÜKSEK risk (acil, sömürülebilir):` : `🔴 ${high.length} HIGH (urgent, exploitable):`);
+        out.push(...grp(high, true));
+    }
+    if (med.length) {
+        out.push(L ? `🟠 ${med.length} ORTA:` : `🟠 ${med.length} MEDIUM:`);
+        out.push(...grp(med, true));
+    }
+    if (low.length)
+        out.push((L ? `🔵 ${low.length} düşük (minör): ` : `🔵 ${low.length} low (minor): `) + grp(low, false).map((s) => s.replace(/^ {2}• /, '')).join('; '));
+    if (info.length)
+        out.push((L ? `⚪ ${info.length} bilgi (korumalı/bilgilendirme): ` : `⚪ ${info.length} info: `) + grp(info, false).map((s) => s.replace(/^ {2}• /, '')).join('; '));
+    // verdict
+    if (high.length)
+        out.push(L ? `\n➤ Sonuç: ${high.length} GERÇEK yüksek-risk açık — acil düzeltilmeli. Detaylı rapor için: /report`
+            : `\n➤ Verdict: ${high.length} REAL high-risk issues — fix urgently. Full report: /report`);
+    else if (med.length)
+        out.push(L ? `\n➤ Sonuç: orta-risk bulgu(lar) var, gözden geçir. Rapor: /report` : `\n➤ Verdict: medium-risk findings, review. Report: /report`);
+    else
+        out.push(L ? `\n➤ Sonuç: yüksek/orta açık yok; test edilen yüzey büyük ölçüde temiz. (Stored/DOM/auth-arkası kapsam dışı — "temiz" ≠ "%100 güvenli")`
+            : `\n➤ Verdict: no high/medium issues; tested surface largely clean. (Stored/DOM/behind-auth out of scope)`);
+    return out;
 }
 // /recon /scan /xss /sqli — ince runner'ı sürer. Zorunlu yetki onayı + trust 3+ teaser.
 // Slash'sız komut tespiti: kullanıcı "recon target.com" (slash'sız) yazınca "/recon target.com" öner.
@@ -259,6 +404,7 @@ async function pentestCmd(tool, arg, ctx) {
     const rep = out.report || {};
     const lines = [`✓ ${label} ${tt('complete', 'tamamlandı')} — ${rep.target || target}`];
     const f = rep.findings || [];
+    setLastScan(rep.target || target, f); // /report için sakla
     if (!f.length) {
         lines.push(tt('No vulnerabilities found — the target looks clean, OR it did not respond/was unreachable (down, redirect, blocking). Try again on a live, genuinely vulnerable target.', 'Zafiyet bulunamadı — hedef temiz görünüyor YA DA yanıt vermedi/erişilemiyor (down, yönlendirme, bloklama). Ayakta + gerçekten zafiyetli bir hedefte tekrar dene.'));
     }
@@ -334,13 +480,17 @@ async function fullScanCmd(arg, ctx) {
     }
     const order = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
     all.sort((a, b) => (order[a.severity] ?? 9) - (order[b.severity] ?? 9));
-    const lines = [`✓ ${tt('Full scan complete', 'Tam tarama tamamlandı')} — ${target}`];
+    setLastScan(target, all); // /report için sakla
+    const lines = [];
     if (!all.length) {
-        lines.push(tt('No findings across all scanners. Target looks clean or was unreachable.', 'Tüm tarayıcılarda bulgu yok. Hedef temiz görünüyor ya da erişilemedi.'));
+        lines.push(`✓ ${tt('Full scan complete', 'Tam tarama tamamlandı')} — ${target}`);
+        lines.push(tt('No findings across all scanners. Target looks clean or was unreachable. ("clean" ≠ "100% secure")', 'Tüm tarayıcılarda bulgu yok. Hedef temiz görünüyor ya da erişilemedi. ("temiz" ≠ "%100 güvenli")'));
     }
     else {
-        const sev = (s) => all.filter((x) => x.severity === s).length;
-        lines.push(`${all.length} ${tt('finding(s)', 'bulgu')} — high:${sev('high')} medium:${sev('medium')} low:${sev('low')} info:${sev('info')}`);
+        // ÖNCE yorumlu özet (ne ciddi/ne minör/ne yapmalı), SONRA detay liste.
+        lines.push(...summarizeScan(target, all));
+        lines.push('');
+        lines.push(`— ${tt('details', 'detay')} (${all.length} ${tt('finding(s)', 'bulgu')}) —`);
         for (const x of all.slice(0, 60))
             lines.push('  ' + formatFinding(x));
         if (all.length > 60)
@@ -977,6 +1127,9 @@ export async function runSlashCommand(input, ctx) {
         case '/fullscan':
             await fullScanCmd(arg, ctx);
             return true;
+        case '/report':
+            await reportCmd(ctx);
+            return true;
         case '/skill': {
             const m = (arg || '').trim().split(/\s+/).filter(Boolean);
             const sub = (m.shift() || '').toLowerCase();

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.165';
+export const VERSION = '1.0.167';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.165",
+  "version": "1.0.167",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {