wormclaude 1.0.86 → 1.0.88

package/dist/commands.js

@@ -123,14 +123,18 @@ const PT_REASON = {
 };
 function formatFinding(x) {
     const sev = x.severity ? `[${String(x.severity).toUpperCase()}] ` : '';
-    if (x.type === 'vuln')
-        return `${sev}${x.name || ''} — ${x.url || ''}`;
     if (x.type === 'xss')
-        return `${sev}XSS ${x.param ? 'param ' + x.param : ''} — ${x.url || x.poc || ''}`;
+        return `${sev}XSS · param ${x.param || '?'} — ${x.url || ''}`;
     if (x.type === 'sqli')
-        return `${sev}SQLi ${x.vulnerable ? 'ZAFİYETLİ' : ''} ${x.params ? '(' + x.params.join(',') + ')' : ''}`;
+        return `${sev}SQLi (${x.technique || '?'}) · param ${x.param || '?'} — ${x.evidence || ''}`;
+    if (x.type === 'subdomain')
+        return `alt-alan: ${x.value}`;
     if (x.type === 'host')
         return `${x.status || ''} ${x.url || ''}${x.title ? ' · ' + x.title : ''}${x.server ? ' · ' + x.server : ''}`;
+    if (x.type === 'weak_headers')
+        return `${sev}eksik güvenlik başlıkları: ${(x.missing || []).join(', ')}`;
+    if (x.type === 'exposure')
+        return `${sev}ifşa: ${x.url || ''} — ${x.evidence || ''}`;
     if (x.value)
         return `${x.value}`;
     return JSON.stringify(x);
@@ -169,9 +173,6 @@ async function pentestCmd(tool, arg, ctx) {
     }
     const rep = out.report || {};
     const lines = [`✓ ${label} tamamlandı — ${rep.target || target}`];
-    if (out.missing && out.missing.length) {
-        lines.push(`⚠ Kurulu olmayan araç(lar) atlandı: ${out.missing.join(', ')}`);
-    }
     const f = rep.findings || [];
     if (!f.length) {
         lines.push('Bulgu yok (hedef yanıt vermedi, temiz, ya da araç kurulu değil).');

package/dist/pentest.js

@@ -1,52 +1,4 @@
-// WormClaude güvenlik tarama — İSTEMCİ ince runner.
-//
-// Bu modül JENERİK bir çalıştırıcıdır: hiç payload/şablon/araç-seçimi içermez.
-// Sunucudan bir komut PLANI alır, komutları YEREL makinede çalıştırır (trafik kullanıcının
-// IP'sinden çıkar), ham çıktıyı sunucuya geri gönderir. Tüm zeka sunucuda kalır.
-//
-// Güvenlik: yalnız PT_ALLOWED'daki ikililer çalıştırılır (ele geçirilmiş/kötü sunucunun
-// istemcide rastgele komut çalıştırmasını engeller). Komutlar SHELL'siz spawn edilir (enjeksiyon yok).
-import { spawn } from 'node:child_process';
-import { statSync } from 'node:fs';
-import * as path from 'node:path';
-// İstemci-tarafı allowlist (sunucudakiyle aynı; çift güvence).
-export const PT_ALLOWED = new Set(['httpx', 'nuclei', 'dalfox', 'sqlmap', 'subfinder', 'katana', 'nmap', 'ffuf']);
-const MAX_OUT = 200_000;
-// İkiliyi PATH üzerinde çöz. Windows'ta Node spawn(shell:false) PATHEXT aramaz →
-// 'dalfox' verilse 'dalfox.exe'yi bulamaz; bu yüzden elle çözüyoruz.
-// Döner: {path, viaCmd} — viaCmd ise .cmd/.bat olduğu için cmd.exe ile sarılır.
-export function resolveBin(bin) {
-    const isWin = process.platform === 'win32';
-    const exts = isWin ? (process.env.PATHEXT || '.EXE;.CMD;.BAT;.COM').split(';').filter(Boolean) : [''];
-    const isFile = (p) => { try {
-        return statSync(p).isFile();
-    }
-    catch {
-        return false;
-    } };
-    const classify = (p) => ({ path: p, viaCmd: /\.(cmd|bat)$/i.test(p) });
-    // Mutlak/parçalı yol verildiyse doğrudan dene.
-    if (bin.includes('/') || bin.includes('\\')) {
-        if (isFile(bin))
-            return classify(bin);
-        for (const e of exts)
-            if (e && isFile(bin + e))
-                return classify(bin + e);
-        return null;
-    }
-    const dirs = (process.env.PATH || '').split(path.delimiter).filter(Boolean);
-    for (const d of dirs) {
-        const base = path.join(d, bin);
-        if (!isWin && isFile(base))
-            return classify(base);
-        for (const e of exts) {
-            const cand = e ? base + e : base;
-            if (isFile(cand))
-                return classify(cand);
-        }
-    }
-    return null;
-}
+const MAX_BODY = 262_144; // 256 KB cevap gövdesi üst sınırı
 async function postJson(config, p, body, timeoutMs) {
     try {
         const r = await fetch(`${config.baseUrl}${p}`, {
@@ -64,69 +16,69 @@ async function postJson(config, p, body, timeoutMs) {
         return { ok: false, reason: e?.name === 'TimeoutError' ? 'timeout' : 'upstream_error' };
     }
 }
-function runStep(step) {
-    return new Promise((resolve) => {
-        // İstemci allowlist zorlaması — sunucu ne derse desin, izinsiz ikili ÇALIŞMAZ.
-        if (!PT_ALLOWED.has(step.bin)) {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `engellendi: izinli olmayan ikili "${step.bin}"` });
-            return;
-        }
-        // Windows dahil PATH'te çöz (yoksa = kurulu değil).
-        const found = resolveBin(step.bin);
-        if (!found) {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `çalıştırılamadı (kurulu değil?): ${step.bin}` });
-            return;
-        }
-        let out = '', err = '', done = false;
-        let child;
+function hostOf(u) {
+    try {
+        return new URL(u).hostname.toLowerCase();
+    }
+    catch {
+        return '';
+    }
+}
+// Tek bir istek-spec'ini yerelde çalıştır. allowed dışı host → atlanır (SSRF koruması).
+async function execReq(req, allowed) {
+    const t0 = Date.now();
+    const h = hostOf(req.url);
+    if (!allowed.has(h)) {
+        return { id: req.id, ms: 0, error: `izin-dışı host: ${h}` };
+    }
+    try {
+        const r = await fetch(req.url, {
+            method: req.method || 'GET',
+            headers: req.headers,
+            body: req.body,
+            redirect: 'follow',
+            signal: AbortSignal.timeout(Math.max(3, req.timeout || 20) * 1000),
+        });
+        let body = '';
         try {
-            child = found.viaCmd
-                ? spawn('cmd.exe', ['/d', '/s', '/c', found.path, ...step.args], { shell: false, windowsHide: true })
-                : spawn(found.path, step.args, { shell: false, windowsHide: true });
-        }
-        catch {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `başlatılamadı (kurulu değil?): ${step.bin}` });
-            return;
-        }
-        const to = setTimeout(() => { try {
-            child.kill('SIGKILL');
+            const buf = await r.arrayBuffer();
+            body = Buffer.from(buf).toString('utf8').slice(0, MAX_BODY);
         }
-        catch { /* */ } }, Math.max(5, step.timeout) * 1000);
-        child.stdout?.on('data', (d) => { if (out.length < MAX_OUT)
-            out += d.toString(); });
-        child.stderr?.on('data', (d) => { if (err.length < 4000)
-            err += d.toString(); });
-        child.on('error', () => {
-            if (done)
-                return;
-            done = true;
-            clearTimeout(to);
-            resolve({ id: step.id, ran: false, exit: -1, stdout: out, stderr: `çalıştırılamadı (kurulu değil?): ${step.bin}` });
-        });
-        child.on('close', (code) => {
-            if (done)
-                return;
-            done = true;
-            clearTimeout(to);
-            resolve({ id: step.id, ran: true, exit: code ?? -1, stdout: out, stderr: err });
-        });
-    });
+        catch { /* gövde okunamadı */ }
+        const headers = {};
+        r.headers.forEach((v, k) => { headers[k] = v; });
+        return { id: req.id, status: r.status, headers, body, ms: Date.now() - t0, url: r.url };
+    }
+    catch (e) {
+        return { id: req.id, ms: Date.now() - t0, error: e?.name === 'TimeoutError' ? 'timeout' : (e?.message || 'fetch error').slice(0, 80) };
+    }
 }
-// Tam akış: plan al → yerelde çalıştır → rapor gönder. log() ile ilerleme bildirir.
+// Tam akış: plan al → her round'da istekleri yerelde at → /exec ile analiz ettir → done'a dek döngü.
 export async function runPentest(config, tool, target, scopeAck, log) {
     const plan = await postJson(config, '/pentest/plan', { tool, target, scope_ack: scopeAck }, 15000);
     if (!plan.ok)
         return { ok: false, reason: plan.reason, plan };
-    log(`Plan alındı (${plan.steps.length} adım). Yerelde çalıştırılıyor — trafik senin IP'nden çıkıyor…`);
-    const results = [];
-    const missing = [];
-    for (const s of plan.steps) {
-        log(`  → ${s.bin} ${s.args.slice(0, 3).join(' ')}…`);
-        const r = await runStep(s);
-        if (!r.ran && /kurulu değil/.test(r.stderr))
-            missing.push(s.bin);
-        results.push(r);
+    const allowed = new Set((plan.allowed_hosts || [plan.host || '']).map((x) => x.toLowerCase()));
+    let requests = plan.requests || [];
+    let round = plan.round || 1;
+    let report = null;
+    for (let guard = 0; guard < 8 && requests.length; guard++) {
+        log(`Tur ${round}: ${requests.length} istek yerelde atılıyor — trafik senin IP'nden çıkıyor…`);
+        // İstekleri sınırlı eşzamanlılıkla çalıştır (hedefi yormamak için 6'şarlı)
+        const responses = [];
+        const CONC = 6;
+        for (let i = 0; i < requests.length; i += CONC) {
+            const batch = requests.slice(i, i + CONC);
+            const rs = await Promise.all(batch.map((req) => execReq(req, allowed)));
+            responses.push(...rs);
+        }
+        report = await postJson(config, '/pentest/exec', { job_id: plan.job_id, responses }, 30000);
+        if (!report.ok)
+            return { ok: false, reason: report.reason, plan, report };
+        if (report.done)
+            break;
+        requests = report.requests || [];
+        round = report.round || round + 1;
     }
-    const report = await postJson(config, '/pentest/report', { job_id: plan.job_id, results }, 30000);
-    return { ok: !!report.ok, plan, report, missing: [...new Set(missing)] };
+    return { ok: true, plan, report };
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.86",
+  "version": "1.0.88",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {