wormclaude 1.0.182 → 1.0.184

package/dist/pentest.js

@@ -41,6 +41,106 @@ function hostOf(u) {
         return '';
     }
 }
+// ── FAZ 4c: LOGIN OTOMASYONU (cred → session cookie; tamamen istemci-tarafı, sır sunucuya gitmez) ──
+function _setCookies(res) {
+    // Node 18.14+ getSetCookie() tüm Set-Cookie satırlarını verir; yoksa tek başlığa düş.
+    try {
+        const f = res.headers.getSetCookie;
+        if (typeof f === 'function')
+            return f.call(res.headers) || [];
+    }
+    catch { }
+    const one = res.headers.get('set-cookie');
+    return one ? [one] : [];
+}
+function _mergeJar(jar, setCookies) {
+    for (const sc of setCookies) {
+        const kv = sc.split(';', 1)[0];
+        const eq = kv.indexOf('=');
+        if (eq > 0)
+            jar[kv.slice(0, eq).trim()] = kv.slice(eq + 1).trim();
+    }
+    return jar;
+}
+function _cookieHeader(jar) {
+    return Object.entries(jar).map(([k, v]) => `${k}=${v}`).join('; ');
+}
+function _attrOf(s, key) {
+    const m = new RegExp(key + '\\s*=\\s*["\']([^"\']*)', 'i').exec(s);
+    return m ? m[1] : '';
+}
+// Login formunu bul: type=password içeren <form>. userField = ilk görünür text/email input; passField =
+// password input; hidden/csrf alanları gerçek değeriyle korunur.
+function _findLoginForm(html, baseUrl) {
+    for (const m of html.matchAll(/<form\b([^>]*)>([\s\S]*?)<\/form>/gi)) {
+        const attrs = m[1], inner = m[2];
+        if (!/<input\b[^>]*type\s*=\s*["']?password/i.test(inner))
+            continue;
+        let passField = '', userField = '', hidden = {};
+        for (const t of inner.matchAll(/<(?:input|select|textarea)\b([^>]*)>/gi)) {
+            const ia = t[1];
+            const name = _attrOf(ia, 'name');
+            if (!name)
+                continue;
+            const typ = (_attrOf(ia, 'type') || 'text').toLowerCase();
+            if (typ === 'password')
+                passField = name;
+            else if (typ === 'hidden')
+                hidden[name] = _attrOf(ia, 'value');
+            else if (!userField && ['text', 'email', 'tel', 'username'].includes(typ))
+                userField = name;
+        }
+        if (!passField)
+            continue;
+        if (!userField)
+            userField = 'username';
+        let action = baseUrl;
+        try {
+            action = new URL(_attrOf(attrs, 'action') || baseUrl, baseUrl).toString();
+        }
+        catch { }
+        const method = (_attrOf(attrs, 'method') || 'post').toLowerCase();
+        return { action, method, userField, passField, hidden };
+    }
+    return null;
+}
+/** Otomatik login: login sayfasını çek → formu bul (CSRF korunur) → cred ile POST → Set-Cookie yakala
+ *  → session cookie string döndür. Trafik kullanıcı IP'sinden; cookie/cred SUNUCUYA GİTMEZ. */
+export async function autoLogin(loginUrl, username, password, extra) {
+    let jar = {};
+    try {
+        const r0 = await fetch(loginUrl, { headers: { 'User-Agent': 'Mozilla/5.0' }, redirect: 'follow', signal: AbortSignal.timeout(20000) });
+        _mergeJar(jar, _setCookies(r0));
+        const html = await r0.text();
+        const form = _findLoginForm(html, r0.url || loginUrl);
+        if (!form)
+            return { ok: false, cookie: '', note: 'Login formu bulunamadı (password alanı yok). login_url doğru mu?' };
+        const data = { ...form.hidden, [form.userField]: username, [form.passField]: password, ...(extra || {}) };
+        const r1 = await fetch(form.action, {
+            method: 'POST',
+            headers: { 'Content-Type': 'application/x-www-form-urlencoded', 'User-Agent': 'Mozilla/5.0', ...(Object.keys(jar).length ? { Cookie: _cookieHeader(jar) } : {}) },
+            body: new URLSearchParams(data).toString(),
+            redirect: 'manual', signal: AbortSignal.timeout(20000),
+        });
+        _mergeJar(jar, _setCookies(r1));
+        // login sonrası 30x yönlendirme genelde asıl session cookie'sini set eder → bir adım takip et
+        const loc = r1.headers.get('location');
+        if (loc && [301, 302, 303, 307, 308].includes(r1.status)) {
+            try {
+                const nu = new URL(loc, form.action).toString();
+                const r2 = await fetch(nu, { headers: { 'User-Agent': 'Mozilla/5.0', ...(Object.keys(jar).length ? { Cookie: _cookieHeader(jar) } : {}) }, redirect: 'manual', signal: AbortSignal.timeout(15000) });
+                _mergeJar(jar, _setCookies(r2));
+            }
+            catch { }
+        }
+        if (!Object.keys(jar).length)
+            return { ok: false, cookie: '', note: 'Login denendi ama Set-Cookie gelmedi (kimlik hatalı ya da JS/token tabanlı login olabilir).' };
+        return { ok: true, cookie: _cookieHeader(jar), note: `Login OK — ${Object.keys(jar).length} cookie alındı (oturumlu tarama).` };
+    }
+    catch (e) {
+        return { ok: false, cookie: '', note: 'Login hatası: ' + (e?.name === 'TimeoutError' ? 'zaman aşımı' : (e?.message || e)) };
+    }
+}
 // İstek başlıklarına kullanıcı oturumunu (auth) birleştir. Sunucunun spec'i temel; auth ÜSTE biner
 // (Cookie + Authorization), böylece her istek login-arkası koşar. Sunucu zaten Cookie/Authorization
 // koyduysa kullanıcınınki kazanır (gerçek oturum). allowed-host SSRF guard'ı değişmez.

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.182';
+export const VERSION = '1.0.184';

package/dist/tools.js

@@ -234,6 +234,9 @@ export const toolSchemas = [
                     target: { type: 'string', description: 'Domain for recon/scan/dirscan (example.com) OR parameterized URL for xss/sqli (https://example.com/p?id=1)' },
                     cookie: { type: 'string', description: 'Optional. Session cookie for AUTHENTICATED / behind-login scanning, e.g. "sessionid=abc123; csrftoken=xyz". The user copies it from their logged-in browser (DevTools → Application → Cookies, or the Cookie request header). Sent only to the target from the user IP — never stored on the server. Provide it whenever the user wants to scan pages behind a login.' },
                     auth_header: { type: 'string', description: 'Optional. Authorization header value for token-based authenticated scanning, e.g. "Bearer eyJhbGci..." or "Basic dXNlcjpwYXNz". Use instead of / together with cookie when the site authenticates via a token header.' },
+                    login_url: { type: 'string', description: 'Optional. URL of the login PAGE for AUTO-LOGIN. When the user gives credentials instead of a cookie, set this + username + password; the scanner fetches the login form, submits the credentials (preserving CSRF), captures the session cookie, and scans logged-in. Login happens from the user IP; credentials/cookie never reach the server.' },
+                    username: { type: 'string', description: 'Optional. Username/email for auto-login (use with login_url + password).' },
+                    password: { type: 'string', description: 'Optional. Password for auto-login (use with login_url + username).' },
                 },
                 required: ['tool', 'target'],
             },
@@ -742,8 +745,26 @@ async function execOne(call, hooks) {
         // AUTHENTICATED / login-arkası: kullanıcı session cookie / auth header verdiyse her isteğe enjekte
         // edilir (sır SUNUCUYA gitmez, sadece hedefe kullanıcı IP'sinden). Cache key'e auth-parmakizi ekle ki
         // anonim tarama sonucu authenticated tarama için (veya tersi) yeniden kullanılmasın.
-        const _cookie = String(args?.cookie || '').trim();
+        let _cookie = String(args?.cookie || '').trim();
         const _authHeader = String(args?.auth_header || '').trim();
+        // FAZ 4c: login_url + username + password verildiyse OTOMATİK login ol → session cookie'yi al
+        // (manuel cookie kopyalamaya gerek yok). İstemci-tarafı; cred/cookie sunucuya gitmez.
+        const _loginUrl = String(args?.login_url || '').trim();
+        const _username = String(args?.username || '').trim();
+        const _password = String(args?.password || '');
+        let _loginNote = '';
+        if (_loginUrl && _username && _password && !_cookie) {
+            try {
+                const { autoLogin } = await import('./pentest.js');
+                const lr = await autoLogin(_loginUrl, _username, _password);
+                _loginNote = `\n[login] ${lr.note}`;
+                if (lr.ok && lr.cookie)
+                    _cookie = lr.cookie;
+            }
+            catch (e) {
+                _loginNote = `\n[login] hata: ${e?.message || e}`;
+            }
+        }
         const _auth = (_cookie || _authHeader) ? { cookie: _cookie || undefined, authHeader: _authHeader || undefined } : undefined;
         const _authTag = _auth ? '|auth' : '';
         // FULL: tam kapsamlı tarama TEK ÇAĞRIDA — model orkestrasyona girmesin (döngü olur). Kod
@@ -755,10 +776,22 @@ async function execOne(call, hooks) {
                 return { ok: false, args, output: `[ALREADY-SCANNED] full scan "${target}" already ran — findings are above. Do NOT call SecurityScan again; summarize the results in text.` };
             }
             try {
-                const { runPentest } = await import('./pentest.js');
+                const { runPentest, fetchPtTools } = await import('./pentest.js');
                 const all = [];
-                let rpt = `Tam kapsamlı tarama — ${target}${_auth ? ' (authenticated / login-arkası — oturum enjekte edildi)' : ''}\n`;
-                for (const _t of ['recon', 'xss', 'sqli']) {
+                // PROFESYONEL KAPSAM: çekirdek (recon+dirscan+xss+sqli) + sunucudaki TÜM şablon tarayıcıları
+                // (SSRF/XXE/SSTI/LFI/LDAP/open-redirect/CRLF/graphql/exposed-files/waf-detect …). /fullscan ile aynı.
+                const _steps = ['recon', 'dirscan', 'xss', 'sqli'];
+                try {
+                    const _pt = await fetchPtTools(cfg());
+                    for (const tm of ((_pt && _pt.templates) || [])) {
+                        if (tm && tm.id && !_steps.includes(String(tm.id)))
+                            _steps.push(String(tm.id));
+                    }
+                }
+                catch { }
+                let rpt = `Tam kapsamlı tarama — ${target}${_auth ? ' (authenticated / login-arkası — oturum enjekte edildi)' : ''}${_loginNote}\n${_steps.length} tarayıcı koşuluyor (recon+dirscan+xss+sqli + şablonlar).\n`;
+                let _wafSeen = false;
+                for (const _t of _steps) {
                     if (hooks?.signal?.aborted) {
                         rpt += `\n[STOPPED] kullanıcı durdurdu (Esc) — kalan taramalar atlandı.`;
                         break;
@@ -768,29 +801,43 @@ async function execOne(call, hooks) {
                         if (o?.ok) {
                             const ff = o.report?.findings || [];
                             all.push(...ff.map((x) => ({ ...x, scan: _t })));
-                            rpt += `\n[${_t}] ${ff.length ? ff.length + ' bulgu' : 'temiz'}` + (o.report?.target ? ` (${o.report.target})` : '');
+                            if (ff.some((x) => /waf|firewall|cloudflare|akamai|imperva/i.test(JSON.stringify(x))))
+                                _wafSeen = true;
+                            rpt += `\n[${_t}] ${ff.length ? ff.length + ' bulgu' : 'temiz'}`;
                         }
                         else {
                             const rsn = o?.reason || o?.plan?.reason || 'error';
-                            rpt += `\n[${_t}] çalışmadı: ${rsn}`;
                             if (rsn === 'trust_required') {
-                                rpt += ' — Doğrulanmış Araştırmacı (seviye 3+) gerekir.';
+                                rpt += `\n[${_t}] çalışmadı: ${rsn} — Doğrulanmış Araştırmacı (seviye 3+) gerekir.`;
                                 break;
                             }
+                            rpt += `\n[${_t}] ${rsn === 'invalid_target' ? 'atlandı (param yok)' : 'çalışmadı: ' + rsn}`;
                         }
                     }
                     catch (e) {
                         rpt += `\n[${_t}] hata: ${e?.message || e}`;
                     }
                 }
-                rpt += `\n\nToplam ${all.length} bulgu.`;
+                // no_params spam'ini tekille (her inject tarayıcı bir tane ekliyor)
+                const _np = all.filter((f) => f.note === 'no_params');
+                for (let i = all.length - 1; i >= 0; i--)
+                    if (all[i].note === 'no_params')
+                        all.splice(i, 1);
+                if (_np.length)
+                    all.push({ type: 'info', severity: 'info', url: target, note: 'no_params',
+                        evidence: `${_np.length} enjeksiyon tarayıcısı test edilebilir GET parametresi bulamadı — girdiler POST form/login-arkası/JS-üretimli olabilir.` });
+                const _sev = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
+                all.sort((a, b) => (_sev[a.severity] ?? 9) - (_sev[b.severity] ?? 9));
+                if (_wafSeen || /cloudflare|akamai|imperva/i.test(rpt)) {
+                    rpt += `\n\n⚠️ WAF/CDN tespit edildi — payload'lar filtrelenmiş olabilir; "temiz" sonuçlar KESİN değil. Kesin sonuç için origin sunucuya (CDN arkası) doğrudan tara.`;
+                }
+                rpt += `\n\nToplam ${all.length} bulgu (${_steps.length} tarayıcı).`;
                 if (all.length)
-                    rpt += '\n' + all.slice(0, 60).map((x) => '  ' + JSON.stringify(x)).join('\n');
-                rpt += `\n[full-done] recon+xss+sqli all ran. Do NOT call SecurityScan again — report the findings to the user in text (summary + prioritized fixes), in their language.`;
+                    rpt += '\n' + all.slice(0, 80).map((x) => '  ' + JSON.stringify(x)).join('\n');
+                rpt += `\n[full-done] comprehensive scan (${_steps.length} scanners) ran. Do NOT call SecurityScan again — report the findings to the user in text (severity-ordered summary + prioritized fixes), in their language.`;
                 const _now = Date.now();
                 _scanCache.set(_fk, { out: rpt, t: _now });
-                // Alt tarama tiplerini de cache'le → full sonrası model tek tek recon/xss/sqli çağıramaz (gereksiz tekrar).
-                for (const _t of ['recon', 'xss', 'sqli'])
+                for (const _t of ['recon', 'xss', 'sqli', 'dirscan'])
                     _scanCache.set(_t + '|' + target.toLowerCase() + _authTag, { out: rpt, t: _now });
                 return { ok: true, output: rpt, args };
             }
@@ -816,7 +863,7 @@ async function execOne(call, hooks) {
             }
             const rep = out.report || {};
             const f = rep.findings || [];
-            let txt = `Tarama tamam (${tool}) — ${rep.target || target}\n`;
+            let txt = `Tarama tamam (${tool}) — ${rep.target || target}${_loginNote}\n`;
             if (!f.length)
                 txt += 'Zafiyet bulunamadı (hedef temiz ya da yanıt vermedi).';
             else

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.182",
+  "version": "1.0.184",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {