wormclaude 1.0.86 → 1.0.87

package/dist/pentest.js

@@ -6,12 +6,17 @@
 //
 // Güvenlik: yalnız PT_ALLOWED'daki ikililer çalıştırılır (ele geçirilmiş/kötü sunucunun
 // istemcide rastgele komut çalıştırmasını engeller). Komutlar SHELL'siz spawn edilir (enjeksiyon yok).
-import { spawn } from 'node:child_process';
-import { statSync } from 'node:fs';
+import { spawn, spawnSync } from 'node:child_process';
+import { statSync, mkdirSync, writeFileSync, readdirSync, renameSync, chmodSync, rmSync } from 'node:fs';
 import * as path from 'node:path';
+import * as os from 'node:os';
 // İstemci-tarafı allowlist (sunucudakiyle aynı; çift güvence).
 export const PT_ALLOWED = new Set(['httpx', 'nuclei', 'dalfox', 'sqlmap', 'subfinder', 'katana', 'nmap', 'ffuf']);
 const MAX_OUT = 200_000;
+// CLI'nin yönettiği araç dizini — PATH'e dokunmadan araçları burada tutarız.
+export function managedBinDir() {
+    return path.join(os.homedir(), '.wormclaude', 'bin');
+}
 // İkiliyi PATH üzerinde çöz. Windows'ta Node spawn(shell:false) PATHEXT aramaz →
 // 'dalfox' verilse 'dalfox.exe'yi bulamaz; bu yüzden elle çözüyoruz.
 // Döner: {path, viaCmd} — viaCmd ise .cmd/.bat olduğu için cmd.exe ile sarılır.
@@ -34,7 +39,8 @@ export function resolveBin(bin) {
                 return classify(bin + e);
         return null;
     }
-    const dirs = (process.env.PATH || '').split(path.delimiter).filter(Boolean);
+    // Önce CLI'nin yönettiği dizin, sonra sistem PATH.
+    const dirs = [managedBinDir(), ...(process.env.PATH || '').split(path.delimiter)].filter(Boolean);
     for (const d of dirs) {
         const base = path.join(d, bin);
         if (!isWin && isFile(base))
@@ -47,6 +53,170 @@ export function resolveBin(bin) {
     }
     return null;
 }
+// ── Otomatik araç kurucu (tek-binary GitHub release'leri) ─────────────────────
+// sqlmap (python) ve nmap (installer) hariç — onlar elle/paketle kurulur.
+const TOOL_REPOS = {
+    dalfox: 'hahwul/dalfox',
+    nuclei: 'projectdiscovery/nuclei',
+    httpx: 'projectdiscovery/httpx',
+    subfinder: 'projectdiscovery/subfinder',
+    katana: 'projectdiscovery/katana',
+    ffuf: 'ffuf/ffuf',
+};
+function platTokens() {
+    const p = process.platform, a = process.arch;
+    const osSyn = p === 'win32' ? /windows|win/i : p === 'darwin' ? /darwin|macos|mac/i : /linux/i;
+    const archSyn = a === 'arm64' ? /arm64|aarch64/i : /amd64|x86_64|x64/i;
+    return { osSyn, archSyn };
+}
+async function ghLatestAsset(repo) {
+    try {
+        const r = await fetch(`https://api.github.com/repos/${repo}/releases/latest`, {
+            headers: { 'User-Agent': 'wormclaude', Accept: 'application/vnd.github+json' },
+            signal: AbortSignal.timeout(15000),
+        });
+        if (!r.ok)
+            return null;
+        const rel = await r.json();
+        const { osSyn, archSyn } = platTokens();
+        const assets = (rel.assets || []).filter((x) => {
+            const n = String(x.name);
+            if (!/\.(zip|tar\.gz|tgz)$/i.test(n))
+                return false;
+            if (/sha256|\.txt$|\.deb$|\.rpm$|checksum|cdx|musl/i.test(n))
+                return false;
+            return osSyn.test(n) && archSyn.test(n);
+        });
+        const pref = process.platform === 'win32' ? /\.zip$/i : /\.tar\.gz$|\.tgz$/i;
+        assets.sort((x, y) => (pref.test(y.name) ? 1 : 0) - (pref.test(x.name) ? 1 : 0));
+        const a0 = assets[0];
+        return a0 ? { name: a0.name, url: a0.browser_download_url } : null;
+    }
+    catch {
+        return null;
+    }
+}
+function spawnSyncOk(cmd, args) {
+    try {
+        const r = spawnSync(cmd, args, { stdio: 'ignore', windowsHide: true });
+        return !r.error && r.status === 0;
+    }
+    catch {
+        return false;
+    }
+}
+function extractArchive(archive, destDir) {
+    // tar (Windows 10+ bsdtar) zip'i de açar; unix'te de mevcut.
+    if (spawnSyncOk('tar', ['-xf', archive, '-C', destDir]))
+        return true;
+    if (process.platform === 'win32' && /\.zip$/i.test(archive)) {
+        return spawnSyncOk('powershell', ['-NoProfile', '-NonInteractive', '-Command',
+            `Expand-Archive -LiteralPath "${archive}" -DestinationPath "${destDir}" -Force`]);
+    }
+    return false;
+}
+function findFile(dir, name) {
+    const stack = [dir];
+    while (stack.length) {
+        const d = stack.pop();
+        let entries;
+        try {
+            entries = readdirSync(d, { withFileTypes: true });
+        }
+        catch {
+            continue;
+        }
+        for (const e of entries) {
+            const full = path.join(d, e.name);
+            if (e.isDirectory())
+                stack.push(full);
+            else if (e.name.toLowerCase() === name.toLowerCase())
+                return full;
+        }
+    }
+    return null;
+}
+// Eksik aracı yönetilen dizine indirir (PATH'e dokunmaz). Döner: kuruldu mu.
+export async function ensureTool(bin, log) {
+    if (resolveBin(bin))
+        return true;
+    const repo = TOOL_REPOS[bin];
+    if (!repo)
+        return false; // sqlmap/nmap otomatik kurulamaz
+    const dest = managedBinDir();
+    mkdirSync(dest, { recursive: true });
+    const asset = await ghLatestAsset(repo);
+    if (!asset) {
+        log(`  ${bin}: uygun sürüm bulunamadı (GitHub ${repo})`);
+        return false;
+    }
+    let buf;
+    try {
+        const r = await fetch(asset.url, { headers: { 'User-Agent': 'wormclaude' }, signal: AbortSignal.timeout(120000) });
+        if (!r.ok) {
+            log(`  ${bin}: indirme hatası ${r.status}`);
+            return false;
+        }
+        buf = Buffer.from(await r.arrayBuffer());
+    }
+    catch {
+        log(`  ${bin}: indirme zaman aşımı`);
+        return false;
+    }
+    // Arşiv uzantısını koru — Expand-Archive fallback'i .zip uzantısına bakar.
+    const ext = /\.tar\.gz$/i.test(asset.name) ? '.tar.gz' : /\.tgz$/i.test(asset.name) ? '.tgz' : '.zip';
+    const tmp = path.join(dest, `.dl_${bin}${ext}`);
+    const exDir = path.join(dest, `.ex_${bin}`);
+    try {
+        rmSync(exDir, { recursive: true, force: true });
+    }
+    catch { /* */ }
+    writeFileSync(tmp, buf);
+    mkdirSync(exDir, { recursive: true });
+    const ok = extractArchive(tmp, exDir);
+    try {
+        rmSync(tmp, { force: true });
+    }
+    catch { /* */ }
+    if (!ok) {
+        log(`  ${bin}: arşiv açılamadı`);
+        try {
+            rmSync(exDir, { recursive: true, force: true });
+        }
+        catch { /* */ }
+        return false;
+    }
+    const want = process.platform === 'win32' ? bin + '.exe' : bin;
+    const found = findFile(exDir, want);
+    if (!found) {
+        log(`  ${bin}: arşivde çalıştırılabilir yok`);
+        try {
+            rmSync(exDir, { recursive: true, force: true });
+        }
+        catch { /* */ }
+        return false;
+    }
+    const target = path.join(dest, want);
+    try {
+        try {
+            rmSync(target, { force: true });
+        }
+        catch { /* */ }
+        renameSync(found, target);
+        if (process.platform !== 'win32')
+            chmodSync(target, 0o755);
+    }
+    catch {
+        log(`  ${bin}: yerleştirme hatası`);
+        return false;
+    }
+    try {
+        rmSync(exDir, { recursive: true, force: true });
+    }
+    catch { /* */ }
+    log(`  ✓ ${bin} kuruldu → ${target}`);
+    return true;
+}
 async function postJson(config, p, body, timeoutMs) {
     try {
         const r = await fetch(`${config.baseUrl}${p}`, {
@@ -117,6 +287,15 @@ export async function runPentest(config, tool, target, scopeAck, log) {
     const plan = await postJson(config, '/pentest/plan', { tool, target, scope_ack: scopeAck }, 15000);
     if (!plan.ok)
         return { ok: false, reason: plan.reason, plan };
+    // Eksik araçları yönetilen dizine otomatik kur (PATH'e dokunmadan).
+    const needed = [...new Set(plan.steps.map((s) => s.bin))];
+    for (const b of needed) {
+        if (resolveBin(b))
+            continue;
+        log(`Araç eksik: ${b} — ${TOOL_REPOS[b] ? 'otomatik kuruluyor…' : 'otomatik kurulamaz (elle kur)'}`);
+        if (TOOL_REPOS[b])
+            await ensureTool(b, log);
+    }
     log(`Plan alındı (${plan.steps.length} adım). Yerelde çalıştırılıyor — trafik senin IP'nden çıkıyor…`);
     const results = [];
     const missing = [];

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.86",
+  "version": "1.0.87",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {