wormclaude 1.0.192 → 1.0.194

package/dist/commands.js

@@ -61,6 +61,9 @@ export const COMMANDS = [
     { name: '/report', desc: 'son taramadan profesyonel pentest raporu üret (CVSS/etki/çözüm, dosyaya yazar)' },
     { name: '/fullscan', desc: '[seviye 3+] tam kapsamlı DETERMİNİSTİK tarama: recon+XSS+SQLi tek komutta: /fullscan <hedef>' },
     { name: '/audit', desc: 'kaynak kod güvenlik denetimi (SAST — sır/açık/CVE, yerel): /audit [klasör]' },
+    { name: '/jwt', desc: 'JWT token güvenlik analizi (alg=none/zayıf-secret/expiry/claim, yerel): /jwt <token>' },
+    { name: '/spray', desc: 'login formuna parola-spray (yetkili test, trust 3+): /spray <login-url> [kullanıcı]' },
+    { name: '/defaultcreds', desc: 'login\'e varsayılan kimlik denemesi (admin/admin vb, trust 3+): /defaultcreds <login-url>' },
     { name: '/exploit', desc: 'yetkili testte doğrulanmış PoC üret: /exploit <cve|açıklama>' },
     { name: '/harden', desc: 'savunma çıktısı üret (YARA/Sigma + yama önerisi): /harden <hedef|tehdit>' },
     { name: '/phish', desc: '[yetkili] phishing simülasyonu: pretext + e-posta şablonu: /phish <hedef|senaryo>' },

package/dist/jwt.js

@@ -0,0 +1,102 @@
+// JWT güvenlik analizi — token decode + zafiyet tespiti. YEREL (ağ yok, deterministik).
+// alg=none bypass, zayıf HMAC secret (sözlük denemesi), expiry, hassas claim, alg-confusion.
+import crypto from 'node:crypto';
+// Yaygın/varsayılan JWT secret'ları (zayıf imza tespiti için — gerçek kırma değil, hızlı kontrol)
+const COMMON_SECRETS = [
+    'secret', 'password', '123456', 'changeme', 'jwt_secret', 'jwtsecret', 'your-256-bit-secret',
+    'your_jwt_secret', 'key', 'admin', 'test', 'supersecret', 'super_secret', 'secretkey', 'secret_key',
+    'privatekey', 'private_key', 'token', 'qwerty', 'letmein', 'mysecret', 'mysecretkey', 's3cr3t',
+    'P@ssw0rd', 'default', 'dev', 'development', 'prod', 'production', 'shhhh', 'access_secret',
+    'refresh_secret', 'auth_secret', 'app_secret', 'jwtkey', 'HS256', 'null', '0', 'password123',
+];
+function _b64urlToBuf(s) {
+    s = s.replace(/-/g, '+').replace(/_/g, '/');
+    while (s.length % 4)
+        s += '=';
+    return Buffer.from(s, 'base64');
+}
+function _b64urlJson(s) { return JSON.parse(_b64urlToBuf(s).toString('utf8')); }
+const HMAC_ALG = { HS256: 'sha256', HS384: 'sha384', HS512: 'sha512' };
+function _tryCrack(alg, signingInput, sigB64url) {
+    const h = HMAC_ALG[alg.toUpperCase()];
+    if (!h)
+        return null;
+    for (const sec of COMMON_SECRETS) {
+        const mac = crypto.createHmac(h, sec).update(signingInput).digest('base64')
+            .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
+        if (mac === sigB64url)
+            return sec;
+    }
+    return null;
+}
+const SENSITIVE_CLAIM = /(pass|pwd|şifre|sifre|secret|ssn|credit|card|cvv|api[_-]?key|private)/i;
+export function analyzeJwt(token) {
+    const findings = [];
+    const t = (token || '').trim().replace(/^Bearer\s+/i, '');
+    const parts = t.split('.');
+    if (parts.length < 2)
+        return { ok: false, findings: [], error: 'Geçerli bir JWT değil (nokta-ayrımlı 2-3 parça bekleniyor).' };
+    let header, payload;
+    try {
+        header = _b64urlJson(parts[0]);
+    }
+    catch {
+        return { ok: false, findings: [], error: 'JWT header decode edilemedi.' };
+    }
+    try {
+        payload = _b64urlJson(parts[1]);
+    }
+    catch {
+        return { ok: false, findings: [], error: 'JWT payload decode edilemedi.' };
+    }
+    const alg = String(header?.alg || '').trim();
+    const sig = parts[2] || '';
+    // 1) alg=none → imza yok = tam bypass
+    if (/^none$/i.test(alg) || (!sig && parts.length === 3)) {
+        findings.push({ severity: 'critical', title: 'alg=none / imza yok', cwe: 'CWE-347',
+            detail: 'Token imzasız kabul ediliyorsa saldırgan payload\'ı (rol/kullanıcı) serbestçe değiştirir. Sunucu alg=none\'ı REDDETMELİ; izin verilen algoritmalar allow-list olmalı.' });
+    }
+    // 2) HMAC zayıf secret denemesi
+    if (HMAC_ALG[alg.toUpperCase()] && sig) {
+        const cracked = _tryCrack(alg, parts[0] + '.' + parts[1], sig);
+        if (cracked != null) {
+            findings.push({ severity: 'critical', title: `Zayıf HMAC secret KIRILDI: "${cracked}"`, cwe: 'CWE-326',
+                detail: 'İmza zayıf/varsayılan bir secret ile üretilmiş. Saldırgan bu secret ile GEÇERLI token forge eder (herhangi bir kullanıcı/rol). Güçlü, rastgele 256-bit+ secret kullan ve rotate et.' });
+            // crackedSecret döndür
+            findings._cracked = cracked;
+        }
+    }
+    // 3) RS/ES → alg-confusion notu
+    if (/^(RS|ES|PS)/i.test(alg)) {
+        findings.push({ severity: 'info', title: `Asimetrik imza (${alg}) — alg-confusion riski`, cwe: 'CWE-347',
+            detail: 'Sunucu algoritmayı sabitlemiyorsa, public key\'i HMAC secret\'ı olarak kullanan alg-confusion (RS256→HS256) saldırısı denenebilir. Sunucu beklenen algoritmayı KATI doğrulamalı.' });
+    }
+    // 4) expiry / nbf
+    const now = Math.floor(Date.now() / 1000);
+    if (payload?.exp == null) {
+        findings.push({ severity: 'low', title: 'exp (son kullanma) yok', cwe: 'CWE-613',
+            detail: 'Token süresiz geçerli → çalınırsa kalıcı erişim. Kısa exp + refresh token kullan.' });
+    }
+    else if (Number(payload.exp) < now) {
+        findings.push({ severity: 'info', title: 'Token süresi DOLMUŞ', detail: `exp=${new Date(Number(payload.exp) * 1000).toISOString()} (geçmiş). Sunucu expired token\'ı reddetmeli.` });
+    }
+    // 5) hassas claim'ler
+    for (const k of Object.keys(payload || {})) {
+        if (SENSITIVE_CLAIM.test(k)) {
+            findings.push({ severity: 'medium', title: `Hassas claim payload'da: "${k}"`, cwe: 'CWE-522',
+                detail: 'JWT payload base64\'tür, ŞIFRELI DEĞIL — herkes okuyabilir. Parola/sır/PII token içine konmamalı.' });
+        }
+    }
+    // 6) privilege claim notu (tampering hedefi)
+    const privKeys = Object.keys(payload || {}).filter((k) => /^(role|roles|admin|is_admin|scope|scopes|permissions|priv|group)$/i.test(k));
+    if (privKeys.length) {
+        findings.push({ severity: 'info', title: `Yetki claim'leri: ${privKeys.join(', ')}`,
+            detail: 'Sunucu imzayı düzgün doğrulamıyorsa bu alanlar yetki yükseltme için manipüle edilir (alg=none / zayıf-secret ile birlikte kritik).' });
+    }
+    if (!findings.length)
+        findings.push({ severity: 'info', title: 'Belirgin JWT zafiyeti yok', detail: 'alg sağlam, secret yaygın listede değil, exp var, hassas claim yok. (Derin secret-kırma için hashcat -m 16500 öner.)' });
+    const order = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
+    findings.sort((a, b) => order[a.severity] - order[b.severity]);
+    const cracked = findings._cracked;
+    return { ok: true, header, payload, findings, crackedSecret: cracked };
+}

package/dist/pentest.js

@@ -243,10 +243,10 @@ async function execReq(req, allowed, auth) {
     }
 }
 // Tam akış: plan al → her round'da istekleri yerelde at → /exec ile analiz ettir → done'a dek döngü.
-export async function runPentest(config, tool, target, scopeAck, log, auth) {
+export async function runPentest(config, tool, target, scopeAck, log, auth, extra) {
     const _authed = !!(auth && (auth.cookie || auth.authHeader || auth.headers));
     // authenticated: SUNUCUYA SADECE BAYRAK gider (login-arkası crawl/POST planlasın diye) — sır/cookie DEĞİL.
-    const plan = await postJson(config, '/pentest/plan', { tool, target, scope_ack: scopeAck, authenticated: _authed }, 15000);
+    const plan = await postJson(config, '/pentest/plan', { tool, target, scope_ack: scopeAck, authenticated: _authed, extra: extra || undefined }, 15000);
     if (!plan.ok)
         return { ok: false, reason: plan.reason, plan };
     const allowed = new Set((plan.allowed_hosts || [plan.host || '']).map((x) => x.toLowerCase()));

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.192';
+export const VERSION = '1.0.194';

package/dist/tools.js

@@ -230,7 +230,7 @@ export const toolSchemas = [
             parameters: {
                 type: 'object',
                 properties: {
-                    tool: { type: 'string', enum: ['full', 'recon', 'scan', 'xss', 'sqli', 'dirscan', 'idor', 'portscan', 'osint', 'cloudscan'], description: 'full → tam kapsamlı web taraması; recon/scan/dirscan/portscan/osint/cloudscan → domain/host/şirket; xss/sqli/idor → parameterized URL. portscan = TCP port/servis. osint = DNS + e-posta güvenliği (SPF/DMARC). cloudscan = açık bulut bucket keşfi (S3/GCP/Azure — şirket/domain adından aday üretip public erişim test eder; "bucket tara"/"s3 tara"/"açık depolama"/"cloud" denince)' },
+                    tool: { type: 'string', enum: ['full', 'recon', 'scan', 'xss', 'sqli', 'dirscan', 'idor', 'portscan', 'osint', 'cloudscan', 'spray', 'defaultcreds'], description: 'full → tam kapsamlı web taraması; recon/scan/dirscan/portscan/osint/cloudscan → domain/host/şirket; xss/sqli/idor → parameterized URL. portscan = TCP port/servis. osint = DNS + e-posta güvenliği (SPF/DMARC). cloudscan = açık bulut bucket keşfi (S3/GCP/Azure). spray = login formuna parola-spray (target = login URL, username param ile; "parola dene"/"spray"/"brute" denince, trust 3+). defaultcreds = login\'e varsayılan kimlikler (admin/admin vb.) dene (target = login URL, trust 3+)' },
                     target: { type: 'string', description: 'Domain for recon/scan/dirscan (example.com) OR parameterized URL for xss/sqli (https://example.com/p?id=1)' },
                     cookie: { type: 'string', description: 'Optional. Session cookie for AUTHENTICATED / behind-login scanning, e.g. "sessionid=abc123; csrftoken=xyz". The user copies it from their logged-in browser (DevTools → Application → Cookies, or the Cookie request header). Sent only to the target from the user IP — never stored on the server. Provide it whenever the user wants to scan pages behind a login.' },
                     auth_header: { type: 'string', description: 'Optional. Authorization header value for token-based authenticated scanning, e.g. "Bearer eyJhbGci..." or "Basic dXNlcjpwYXNz". Use instead of / together with cookie when the site authenticates via a token header.' },
@@ -256,6 +256,20 @@ export const toolSchemas = [
             },
         },
     },
+    {
+        type: 'function',
+        function: {
+            name: 'JwtAudit',
+            description: "Analyze a JWT (JSON Web Token) for security weaknesses, locally. Use when the user pastes/asks about a token (\"bu jwt güvenli mi\", \"token analiz et\", \"jwt incele\", \"bu token'da açık var mı\"). Decodes header+payload and checks: alg=none bypass, weak/default HMAC secret (dictionary test), missing/expired exp, sensitive claims in payload, alg-confusion (RS256→HS256), privilege claims. Fully LOCAL — token never leaves the machine. Returns decoded claims + findings.",
+            parameters: {
+                type: 'object',
+                properties: {
+                    token: { type: 'string', description: 'The JWT string (eyJ...eyJ...sig). "Bearer " prefix is stripped automatically.' },
+                },
+                required: ['token'],
+            },
+        },
+    },
     {
         type: 'function',
         function: {
@@ -640,7 +654,7 @@ const computerToolSchemas = [
 // çağırıp işi yapar, planı ekrana basmaz. (Gerekirse buraya yeni araç eklenir.)
 const CORE_TOOLS = new Set([
     'Bash', 'PowerShell', 'Read', 'Write', 'Edit', 'Glob', 'Grep',
-    'WebFetch', 'WebSearch', 'Sleep', 'SecurityScan', 'CodeAudit',
+    'WebFetch', 'WebSearch', 'Sleep', 'SecurityScan', 'CodeAudit', 'JwtAudit',
     'TaskOutput', // uzun komutları arka planda çalıştırıp bitişini yoklamak için (run_in_background)
     'AskUserQuestion', // GERİ EKLENDİ: FLAT şema (options: string[]) ile 32B temiz çağrı üretiyor
     // (test edildi). Eski degenere NESTED şemadandı ([{label,description}]). Handler string→{label}
@@ -669,6 +683,7 @@ const TOOL_META = {
     Scroll: { needsPermission: true, validate: (a) => (a && a.direction ? null : 'direction gerekli') },
     WebSearch: { readOnly: true, validate: (a) => (a && a.query ? null : 'query gerekli') },
     CodeAudit: { readOnly: true, concurrencySafe: true },
+    JwtAudit: { readOnly: true, concurrencySafe: true, validate: (a) => (a && a.token ? null : 'token gerekli') },
     TodoWrite: { readOnly: true, validate: (a) => (a && Array.isArray(a.todos) ? null : 'todos dizisi gerekli') },
     SaveMemory: { validate: (a) => (a && a.fact && String(a.fact).trim() ? null : 'fact gerekli') },
     PowerShell: { needsPermission: true, validate: (a) => (a && a.command ? null : 'command gerekli') },
@@ -752,7 +767,7 @@ async function execOne(call, hooks) {
     if (call.name === 'SecurityScan') {
         let tool = String(args?.tool || '').toLowerCase().trim();
         const target = String(args?.target || '').trim();
-        if (!['recon', 'scan', 'xss', 'sqli', 'dirscan', 'idor', 'portscan', 'osint', 'cloud', 'cloudscan', 'full', 'fullscan'].includes(tool) || !target) {
+        if (!['recon', 'scan', 'xss', 'sqli', 'dirscan', 'idor', 'portscan', 'osint', 'cloud', 'cloudscan', 'spray', 'credspray', 'defaultcreds', 'full', 'fullscan'].includes(tool) || !target) {
             return { ok: false, output: 'SecurityScan: tool (recon|scan|xss|sqli|dirscan|full) ve target gerekli.', args };
         }
         if (tool === 'scan')
@@ -906,7 +921,8 @@ async function execOne(call, hooks) {
         }
         try {
             const { runPentest } = await import('./pentest.js');
-            const out = await runPentest(cfg(), tool, target, true, () => { }, _auth);
+            const _extra = ['spray', 'credspray', 'defaultcreds'].includes(tool) ? { username: _username || 'admin' } : undefined;
+            const out = await runPentest(cfg(), tool, target, true, () => { }, _auth, _extra);
             if (!out?.ok) {
                 const reason = out?.reason || out?.plan?.reason || 'error';
                 const tip = reason === 'trust_required' ? ' (Doğrulanmış Araştırmacı / seviye 3+ gerekir: /dogrula)'
@@ -965,6 +981,27 @@ async function execOne(call, hooks) {
             return { ok: false, output: 'Kod denetimi hatası: ' + (e?.message || e), args };
         }
     }
+    // 3.46) JWT güvenlik analizi (YEREL; token sunucuya gitmez)
+    if (call.name === 'JwtAudit') {
+        try {
+            const { analyzeJwt } = await import('./jwt.js');
+            const r = analyzeJwt(String(args?.token || ''));
+            if (!r.ok)
+                return { ok: false, output: 'JWT analizi: ' + (r.error || 'çözümlenemedi'), args };
+            let out = 'JWT analizi\n';
+            out += 'header: ' + JSON.stringify(r.header) + '\n';
+            out += 'payload: ' + JSON.stringify(r.payload) + '\n';
+            if (r.crackedSecret != null)
+                out += `⚠ HMAC secret KIRILDI: "${r.crackedSecret}"\n`;
+            out += `${r.findings.length} bulgu:\n`;
+            out += r.findings.map((f) => `[${f.severity.toUpperCase()}]${f.cwe ? ' ' + f.cwe : ''} ${f.title}\n   ${f.detail}`).join('\n');
+            out += '\n[jwt-done] JWT analizi bitti. Bulguları severity-sıralı özetle; payload base64\'tür (şifreli değil), bunu kullanıcıya hatırlat.';
+            return { ok: true, output: out, args };
+        }
+        catch (e) {
+            return { ok: false, output: 'JWT analizi hatası: ' + (e?.message || e), args };
+        }
+    }
     // 3.5) Komut güvenliği (Bash/PowerShell) — cmdsec: deny→blokla, allow→izinsiz, confirm→izin akışı
     if ((call.name === 'Bash' || call.name === 'PowerShell') && args && args.command) {
         const chk = checkCommand(String(args.command), { shell: call.name === 'PowerShell' ? 'powershell' : 'bash' });
@@ -1117,6 +1154,8 @@ export function toolLabel(name, args) {
             return `🔍 Web arandı: ${String(args.query).slice(0, 50)}`;
         if (name === 'CodeAudit')
             return `🛡️ Kod denetimi (SAST): ${String(args.path || '.').slice(0, 50)}`;
+        if (name === 'JwtAudit')
+            return `🎫 JWT analizi`;
         if (name === 'TodoWrite')
             return `TodoWrite(${(args.todos || []).length} öğe)`;
         if (name === 'PowerShell')

package/dist/tui.js

@@ -842,6 +842,38 @@ export async function runTui() {
                     runTurn(`CodeAudit aracıyla şu yolu kaynak kod güvenliği için tara (SAST): ${a}. Bulguları severity-sıralı özetle + öncelikli düzeltmeler.`, v);
                     return;
                 }
+                // /jwt — JWT token güvenlik analizi (yerel); modele JwtAudit çağırt
+                if (tok === '/jwt') {
+                    const a = v.slice(tok.length).trim();
+                    if (!a) {
+                        printItem({ kind: 'note', text: 'Kullanım: /jwt <token>' });
+                        return;
+                    }
+                    runTurn(`JwtAudit aracıyla şu JWT'yi güvenlik için analiz et: ${a}. Bulguları severity-sıralı özetle.`, v);
+                    return;
+                }
+                // /spray — login formuna parola-spray (yetkili test); modele SecurityScan tool=spray çağırt
+                if (tok === '/spray') {
+                    const rest = v.slice(tok.length).trim().split(/\s+/);
+                    const url = rest[0] || '';
+                    const usr = rest[1] || 'admin';
+                    if (!url) {
+                        printItem({ kind: 'note', text: 'Kullanım: /spray <login-url> [kullanıcı]' });
+                        return;
+                    }
+                    runTurn(`SecurityScan aracıyla tool=spray, target=${url}, username=${usr} çalıştır (yetkili parola-spray testi). Sonucu özetle.`, v);
+                    return;
+                }
+                // /defaultcreds — login'e varsayılan kimlik denemesi
+                if (tok === '/defaultcreds') {
+                    const a = v.slice(tok.length).trim();
+                    if (!a) {
+                        printItem({ kind: 'note', text: 'Kullanım: /defaultcreds <login-url>' });
+                        return;
+                    }
+                    runTurn(`SecurityScan aracıyla tool=defaultcreds, target=${a} çalıştır (varsayılan kimlik denemesi). Sonucu özetle.`, v);
+                    return;
+                }
                 // /exploit · /harden — aktif tarama değil, model-üretim (PoC / YARA-Sigma) → çerçeveli istemle modele
                 if (tok === '/exploit') {
                     const a = v.slice(tok.length).trim();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.192",
+  "version": "1.0.194",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {