wormclaude 1.0.87 → 1.0.89

package/dist/commands.js

@@ -45,10 +45,11 @@ export const COMMANDS = [
     { name: '/izinler', desc: 'onayli shell komutlarini yonet (list/add/remove/clear)' },
     { name: '/program', desc: 'Doğrulanmış Araştırmacı Programı — güven seviyeni göster' },
     { name: '/dogrula', desc: 'Doğrulanmış Araştırmacı başvurusu gönder: /dogrula <profil/şirket/gerekçe>' },
-    { name: '/recon', desc: '[seviye 3+] yetkili hedefte keşif (alt-alan/host/crawl): /recon <alan>' },
-    { name: '/scan', desc: '[seviye 3+] yetkili hedefte zafiyet taraması (nuclei): /scan <url>' },
-    { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (dalfox): /xss <url>' },
-    { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (sqlmap): /sqli <url>' },
+    { name: '/skill', desc: 'güvenlik tarama skill\'leri: /skill xss|sqli|recon <hedef> (seviye 3+)' },
+    { name: '/recon', desc: '[seviye 3+] yetkili hedefte keşif (alt-alan/host/başlık/ifşa): /recon <alan>' },
+    { name: '/scan', desc: '[seviye 3+] yetkili hedefte genel tarama (keşif+başlıklar): /scan <alan>' },
+    { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (kendi motorumuz): /xss <url>' },
+    { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (kendi motorumuz): /sqli <url>' },
     { name: '/export', desc: 'sohbeti dosyaya kaydet' },
     { name: '/resume', desc: 'en son kaydedilen oturumu yükle' },
     { name: '/quit', desc: 'çıkış' },
@@ -123,23 +124,33 @@ const PT_REASON = {
 };
 function formatFinding(x) {
     const sev = x.severity ? `[${String(x.severity).toUpperCase()}] ` : '';
-    if (x.type === 'vuln')
-        return `${sev}${x.name || ''} — ${x.url || ''}`;
     if (x.type === 'xss')
-        return `${sev}XSS ${x.param ? 'param ' + x.param : ''} — ${x.url || x.poc || ''}`;
+        return `${sev}XSS (${x.context || '?'}) · param ${x.param || '?'} — ${x.url || ''}`;
     if (x.type === 'sqli')
-        return `${sev}SQLi ${x.vulnerable ? 'ZAFİYETLİ' : ''} ${x.params ? '(' + x.params.join(',') + ')' : ''}`;
+        return `${sev}SQLi (${x.technique || '?'}) · param ${x.param || '?'} — ${x.evidence || ''}`;
+    if (x.type === 'subdomain')
+        return `alt-alan: ${x.value}`;
     if (x.type === 'host')
         return `${x.status || ''} ${x.url || ''}${x.title ? ' · ' + x.title : ''}${x.server ? ' · ' + x.server : ''}`;
+    if (x.type === 'tech')
+        return `teknoloji: ${x.value}`;
+    if (x.type === 'weak_headers')
+        return `${sev}eksik güvenlik başlıkları: ${(x.missing || []).join(', ')}`;
+    if (x.type === 'cors')
+        return `${sev}CORS yanlış yapılandırma: ${x.url || ''} — ${x.evidence || ''}`;
+    if (x.type === 'exposure')
+        return `${sev}ifşa: ${x.url || ''} — ${x.evidence || ''}`;
     if (x.value)
         return `${x.value}`;
     return JSON.stringify(x);
 }
 // /recon /scan /xss /sqli — ince runner'ı sürer. Zorunlu yetki onayı + trust 3+ teaser.
 async function pentestCmd(tool, arg, ctx) {
+    if (tool === 'scan')
+        tool = 'recon'; // genel tarama = keşif+başlıklar
     const parts = (arg || '').trim().split(/\s+/).filter(Boolean);
     let scopeAck = false;
-    if (parts.length && /^(onayla|--yes|-y|yes|evet)$/i.test(parts[parts.length - 1])) {
+    if (parts.length && /^(run|onayla|çalıştır|calistir|--yes|-y|yes|evet)$/i.test(parts[parts.length - 1])) {
         scopeAck = true;
         parts.pop();
     }
@@ -154,7 +165,7 @@ async function pentestCmd(tool, arg, ctx) {
             `Hedef: ${target}\n\n` +
             `Bu tarama hedefe GERÇEK istekler gönderir ve trafik SENİN IP'nden çıkar. Yalnız sahibi olduğun ya da\n` +
             `yazılı izin/angajman bulunan sistemlerde çalıştır. Yetkisiz tarama yasa dışıdır ve kayıt altına alınır.\n\n` +
-            `Onaylıyorsan tekrar çalıştır:  /${tool} ${target} onayla`);
+            `Çalıştırmak için sonuna "run" ekle:  /${tool} ${target} run`);
         return;
     }
     ctx.note(`${label} başlatılıyor — ${target}`);
@@ -169,9 +180,6 @@ async function pentestCmd(tool, arg, ctx) {
     }
     const rep = out.report || {};
     const lines = [`✓ ${label} tamamlandı — ${rep.target || target}`];
-    if (out.missing && out.missing.length) {
-        lines.push(`⚠ Kurulu olmayan araç(lar) atlandı: ${out.missing.join(', ')}`);
-    }
     const f = rep.findings || [];
     if (!f.length) {
         lines.push('Bulgu yok (hedef yanıt vermedi, temiz, ya da araç kurulu değil).');
@@ -732,6 +740,22 @@ export async function runSlashCommand(input, ctx) {
         case '/sqli':
             await pentestCmd(cmd.slice(1), arg, ctx);
             return true;
+        case '/skill': {
+            const m = (arg || '').trim().split(/\s+/).filter(Boolean);
+            const sub = (m.shift() || '').toLowerCase();
+            if (['xss', 'sqli', 'recon', 'scan'].includes(sub)) {
+                await pentestCmd(sub, m.join(' '), ctx);
+                return true;
+            }
+            ctx.note('Güvenlik tarama skill\'leri (seviye 3+ · ayrı kurulum gerekmez, motor sunucuda):\n' +
+                '  /skill xss <url>     reflected XSS\n' +
+                '  /skill sqli <url>    SQL injection (error/boolean/time)\n' +
+                '  /skill recon <alan>  alt-alan + başlık + ifşa\n' +
+                'Çalıştırmak için sonuna "run" ekle:\n' +
+                '  /skill xss https://site/p?id=1 run\n' +
+                '(kısa yol: /xss /sqli /recon)');
+            return true;
+        }
         case '/export': {
             fs.mkdirSync(SESSION_DIR, { recursive: true });
             const file = path.join(SESSION_DIR, `session-${tsStamp()}.json`);

package/dist/pentest.js

@@ -1,222 +1,4 @@
-// WormClaude güvenlik tarama — İSTEMCİ ince runner.
-//
-// Bu modül JENERİK bir çalıştırıcıdır: hiç payload/şablon/araç-seçimi içermez.
-// Sunucudan bir komut PLANI alır, komutları YEREL makinede çalıştırır (trafik kullanıcının
-// IP'sinden çıkar), ham çıktıyı sunucuya geri gönderir. Tüm zeka sunucuda kalır.
-//
-// Güvenlik: yalnız PT_ALLOWED'daki ikililer çalıştırılır (ele geçirilmiş/kötü sunucunun
-// istemcide rastgele komut çalıştırmasını engeller). Komutlar SHELL'siz spawn edilir (enjeksiyon yok).
-import { spawn, spawnSync } from 'node:child_process';
-import { statSync, mkdirSync, writeFileSync, readdirSync, renameSync, chmodSync, rmSync } from 'node:fs';
-import * as path from 'node:path';
-import * as os from 'node:os';
-// İstemci-tarafı allowlist (sunucudakiyle aynı; çift güvence).
-export const PT_ALLOWED = new Set(['httpx', 'nuclei', 'dalfox', 'sqlmap', 'subfinder', 'katana', 'nmap', 'ffuf']);
-const MAX_OUT = 200_000;
-// CLI'nin yönettiği araç dizini — PATH'e dokunmadan araçları burada tutarız.
-export function managedBinDir() {
-    return path.join(os.homedir(), '.wormclaude', 'bin');
-}
-// İkiliyi PATH üzerinde çöz. Windows'ta Node spawn(shell:false) PATHEXT aramaz →
-// 'dalfox' verilse 'dalfox.exe'yi bulamaz; bu yüzden elle çözüyoruz.
-// Döner: {path, viaCmd} — viaCmd ise .cmd/.bat olduğu için cmd.exe ile sarılır.
-export function resolveBin(bin) {
-    const isWin = process.platform === 'win32';
-    const exts = isWin ? (process.env.PATHEXT || '.EXE;.CMD;.BAT;.COM').split(';').filter(Boolean) : [''];
-    const isFile = (p) => { try {
-        return statSync(p).isFile();
-    }
-    catch {
-        return false;
-    } };
-    const classify = (p) => ({ path: p, viaCmd: /\.(cmd|bat)$/i.test(p) });
-    // Mutlak/parçalı yol verildiyse doğrudan dene.
-    if (bin.includes('/') || bin.includes('\\')) {
-        if (isFile(bin))
-            return classify(bin);
-        for (const e of exts)
-            if (e && isFile(bin + e))
-                return classify(bin + e);
-        return null;
-    }
-    // Önce CLI'nin yönettiği dizin, sonra sistem PATH.
-    const dirs = [managedBinDir(), ...(process.env.PATH || '').split(path.delimiter)].filter(Boolean);
-    for (const d of dirs) {
-        const base = path.join(d, bin);
-        if (!isWin && isFile(base))
-            return classify(base);
-        for (const e of exts) {
-            const cand = e ? base + e : base;
-            if (isFile(cand))
-                return classify(cand);
-        }
-    }
-    return null;
-}
-// ── Otomatik araç kurucu (tek-binary GitHub release'leri) ─────────────────────
-// sqlmap (python) ve nmap (installer) hariç — onlar elle/paketle kurulur.
-const TOOL_REPOS = {
-    dalfox: 'hahwul/dalfox',
-    nuclei: 'projectdiscovery/nuclei',
-    httpx: 'projectdiscovery/httpx',
-    subfinder: 'projectdiscovery/subfinder',
-    katana: 'projectdiscovery/katana',
-    ffuf: 'ffuf/ffuf',
-};
-function platTokens() {
-    const p = process.platform, a = process.arch;
-    const osSyn = p === 'win32' ? /windows|win/i : p === 'darwin' ? /darwin|macos|mac/i : /linux/i;
-    const archSyn = a === 'arm64' ? /arm64|aarch64/i : /amd64|x86_64|x64/i;
-    return { osSyn, archSyn };
-}
-async function ghLatestAsset(repo) {
-    try {
-        const r = await fetch(`https://api.github.com/repos/${repo}/releases/latest`, {
-            headers: { 'User-Agent': 'wormclaude', Accept: 'application/vnd.github+json' },
-            signal: AbortSignal.timeout(15000),
-        });
-        if (!r.ok)
-            return null;
-        const rel = await r.json();
-        const { osSyn, archSyn } = platTokens();
-        const assets = (rel.assets || []).filter((x) => {
-            const n = String(x.name);
-            if (!/\.(zip|tar\.gz|tgz)$/i.test(n))
-                return false;
-            if (/sha256|\.txt$|\.deb$|\.rpm$|checksum|cdx|musl/i.test(n))
-                return false;
-            return osSyn.test(n) && archSyn.test(n);
-        });
-        const pref = process.platform === 'win32' ? /\.zip$/i : /\.tar\.gz$|\.tgz$/i;
-        assets.sort((x, y) => (pref.test(y.name) ? 1 : 0) - (pref.test(x.name) ? 1 : 0));
-        const a0 = assets[0];
-        return a0 ? { name: a0.name, url: a0.browser_download_url } : null;
-    }
-    catch {
-        return null;
-    }
-}
-function spawnSyncOk(cmd, args) {
-    try {
-        const r = spawnSync(cmd, args, { stdio: 'ignore', windowsHide: true });
-        return !r.error && r.status === 0;
-    }
-    catch {
-        return false;
-    }
-}
-function extractArchive(archive, destDir) {
-    // tar (Windows 10+ bsdtar) zip'i de açar; unix'te de mevcut.
-    if (spawnSyncOk('tar', ['-xf', archive, '-C', destDir]))
-        return true;
-    if (process.platform === 'win32' && /\.zip$/i.test(archive)) {
-        return spawnSyncOk('powershell', ['-NoProfile', '-NonInteractive', '-Command',
-            `Expand-Archive -LiteralPath "${archive}" -DestinationPath "${destDir}" -Force`]);
-    }
-    return false;
-}
-function findFile(dir, name) {
-    const stack = [dir];
-    while (stack.length) {
-        const d = stack.pop();
-        let entries;
-        try {
-            entries = readdirSync(d, { withFileTypes: true });
-        }
-        catch {
-            continue;
-        }
-        for (const e of entries) {
-            const full = path.join(d, e.name);
-            if (e.isDirectory())
-                stack.push(full);
-            else if (e.name.toLowerCase() === name.toLowerCase())
-                return full;
-        }
-    }
-    return null;
-}
-// Eksik aracı yönetilen dizine indirir (PATH'e dokunmaz). Döner: kuruldu mu.
-export async function ensureTool(bin, log) {
-    if (resolveBin(bin))
-        return true;
-    const repo = TOOL_REPOS[bin];
-    if (!repo)
-        return false; // sqlmap/nmap otomatik kurulamaz
-    const dest = managedBinDir();
-    mkdirSync(dest, { recursive: true });
-    const asset = await ghLatestAsset(repo);
-    if (!asset) {
-        log(`  ${bin}: uygun sürüm bulunamadı (GitHub ${repo})`);
-        return false;
-    }
-    let buf;
-    try {
-        const r = await fetch(asset.url, { headers: { 'User-Agent': 'wormclaude' }, signal: AbortSignal.timeout(120000) });
-        if (!r.ok) {
-            log(`  ${bin}: indirme hatası ${r.status}`);
-            return false;
-        }
-        buf = Buffer.from(await r.arrayBuffer());
-    }
-    catch {
-        log(`  ${bin}: indirme zaman aşımı`);
-        return false;
-    }
-    // Arşiv uzantısını koru — Expand-Archive fallback'i .zip uzantısına bakar.
-    const ext = /\.tar\.gz$/i.test(asset.name) ? '.tar.gz' : /\.tgz$/i.test(asset.name) ? '.tgz' : '.zip';
-    const tmp = path.join(dest, `.dl_${bin}${ext}`);
-    const exDir = path.join(dest, `.ex_${bin}`);
-    try {
-        rmSync(exDir, { recursive: true, force: true });
-    }
-    catch { /* */ }
-    writeFileSync(tmp, buf);
-    mkdirSync(exDir, { recursive: true });
-    const ok = extractArchive(tmp, exDir);
-    try {
-        rmSync(tmp, { force: true });
-    }
-    catch { /* */ }
-    if (!ok) {
-        log(`  ${bin}: arşiv açılamadı`);
-        try {
-            rmSync(exDir, { recursive: true, force: true });
-        }
-        catch { /* */ }
-        return false;
-    }
-    const want = process.platform === 'win32' ? bin + '.exe' : bin;
-    const found = findFile(exDir, want);
-    if (!found) {
-        log(`  ${bin}: arşivde çalıştırılabilir yok`);
-        try {
-            rmSync(exDir, { recursive: true, force: true });
-        }
-        catch { /* */ }
-        return false;
-    }
-    const target = path.join(dest, want);
-    try {
-        try {
-            rmSync(target, { force: true });
-        }
-        catch { /* */ }
-        renameSync(found, target);
-        if (process.platform !== 'win32')
-            chmodSync(target, 0o755);
-    }
-    catch {
-        log(`  ${bin}: yerleştirme hatası`);
-        return false;
-    }
-    try {
-        rmSync(exDir, { recursive: true, force: true });
-    }
-    catch { /* */ }
-    log(`  ✓ ${bin} kuruldu → ${target}`);
-    return true;
-}
+const MAX_BODY = 262_144; // 256 KB cevap gövdesi üst sınırı
 async function postJson(config, p, body, timeoutMs) {
     try {
         const r = await fetch(`${config.baseUrl}${p}`, {
@@ -234,78 +16,69 @@ async function postJson(config, p, body, timeoutMs) {
         return { ok: false, reason: e?.name === 'TimeoutError' ? 'timeout' : 'upstream_error' };
     }
 }
-function runStep(step) {
-    return new Promise((resolve) => {
-        // İstemci allowlist zorlaması — sunucu ne derse desin, izinsiz ikili ÇALIŞMAZ.
-        if (!PT_ALLOWED.has(step.bin)) {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `engellendi: izinli olmayan ikili "${step.bin}"` });
-            return;
-        }
-        // Windows dahil PATH'te çöz (yoksa = kurulu değil).
-        const found = resolveBin(step.bin);
-        if (!found) {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `çalıştırılamadı (kurulu değil?): ${step.bin}` });
-            return;
-        }
-        let out = '', err = '', done = false;
-        let child;
+function hostOf(u) {
+    try {
+        return new URL(u).hostname.toLowerCase();
+    }
+    catch {
+        return '';
+    }
+}
+// Tek bir istek-spec'ini yerelde çalıştır. allowed dışı host → atlanır (SSRF koruması).
+async function execReq(req, allowed) {
+    const t0 = Date.now();
+    const h = hostOf(req.url);
+    if (!allowed.has(h)) {
+        return { id: req.id, ms: 0, error: `izin-dışı host: ${h}` };
+    }
+    try {
+        const r = await fetch(req.url, {
+            method: req.method || 'GET',
+            headers: req.headers,
+            body: req.body,
+            redirect: 'follow',
+            signal: AbortSignal.timeout(Math.max(3, req.timeout || 20) * 1000),
+        });
+        let body = '';
         try {
-            child = found.viaCmd
-                ? spawn('cmd.exe', ['/d', '/s', '/c', found.path, ...step.args], { shell: false, windowsHide: true })
-                : spawn(found.path, step.args, { shell: false, windowsHide: true });
-        }
-        catch {
-            resolve({ id: step.id, ran: false, exit: -1, stdout: '', stderr: `başlatılamadı (kurulu değil?): ${step.bin}` });
-            return;
+            const buf = await r.arrayBuffer();
+            body = Buffer.from(buf).toString('utf8').slice(0, MAX_BODY);
         }
-        const to = setTimeout(() => { try {
-            child.kill('SIGKILL');
-        }
-        catch { /* */ } }, Math.max(5, step.timeout) * 1000);
-        child.stdout?.on('data', (d) => { if (out.length < MAX_OUT)
-            out += d.toString(); });
-        child.stderr?.on('data', (d) => { if (err.length < 4000)
-            err += d.toString(); });
-        child.on('error', () => {
-            if (done)
-                return;
-            done = true;
-            clearTimeout(to);
-            resolve({ id: step.id, ran: false, exit: -1, stdout: out, stderr: `çalıştırılamadı (kurulu değil?): ${step.bin}` });
-        });
-        child.on('close', (code) => {
-            if (done)
-                return;
-            done = true;
-            clearTimeout(to);
-            resolve({ id: step.id, ran: true, exit: code ?? -1, stdout: out, stderr: err });
-        });
-    });
+        catch { /* gövde okunamadı */ }
+        const headers = {};
+        r.headers.forEach((v, k) => { headers[k] = v; });
+        return { id: req.id, status: r.status, headers, body, ms: Date.now() - t0, url: r.url };
+    }
+    catch (e) {
+        return { id: req.id, ms: Date.now() - t0, error: e?.name === 'TimeoutError' ? 'timeout' : (e?.message || 'fetch error').slice(0, 80) };
+    }
 }
-// Tam akış: plan al → yerelde çalıştır → rapor gönder. log() ile ilerleme bildirir.
+// Tam akış: plan al → her round'da istekleri yerelde at → /exec ile analiz ettir → done'a dek döngü.
 export async function runPentest(config, tool, target, scopeAck, log) {
     const plan = await postJson(config, '/pentest/plan', { tool, target, scope_ack: scopeAck }, 15000);
     if (!plan.ok)
         return { ok: false, reason: plan.reason, plan };
-    // Eksik araçları yönetilen dizine otomatik kur (PATH'e dokunmadan).
-    const needed = [...new Set(plan.steps.map((s) => s.bin))];
-    for (const b of needed) {
-        if (resolveBin(b))
-            continue;
-        log(`Araç eksik: ${b} — ${TOOL_REPOS[b] ? 'otomatik kuruluyor…' : 'otomatik kurulamaz (elle kur)'}`);
-        if (TOOL_REPOS[b])
-            await ensureTool(b, log);
-    }
-    log(`Plan alındı (${plan.steps.length} adım). Yerelde çalıştırılıyor — trafik senin IP'nden çıkıyor…`);
-    const results = [];
-    const missing = [];
-    for (const s of plan.steps) {
-        log(`  → ${s.bin} ${s.args.slice(0, 3).join(' ')}…`);
-        const r = await runStep(s);
-        if (!r.ran && /kurulu değil/.test(r.stderr))
-            missing.push(s.bin);
-        results.push(r);
-    }
-    const report = await postJson(config, '/pentest/report', { job_id: plan.job_id, results }, 30000);
-    return { ok: !!report.ok, plan, report, missing: [...new Set(missing)] };
+    const allowed = new Set((plan.allowed_hosts || [plan.host || '']).map((x) => x.toLowerCase()));
+    let requests = plan.requests || [];
+    let round = plan.round || 1;
+    let report = null;
+    for (let guard = 0; guard < 8 && requests.length; guard++) {
+        log(`Tur ${round}: ${requests.length} istek yerelde atılıyor — trafik senin IP'nden çıkıyor…`);
+        // İstekleri sınırlı eşzamanlılıkla çalıştır (hedefi yormamak için 6'şarlı)
+        const responses = [];
+        const CONC = 6;
+        for (let i = 0; i < requests.length; i += CONC) {
+            const batch = requests.slice(i, i + CONC);
+            const rs = await Promise.all(batch.map((req) => execReq(req, allowed)));
+            responses.push(...rs);
+        }
+        report = await postJson(config, '/pentest/exec', { job_id: plan.job_id, responses }, 30000);
+        if (!report.ok)
+            return { ok: false, reason: report.reason, plan, report };
+        if (report.done)
+            break;
+        requests = report.requests || [];
+        round = report.round || round + 1;
+    }
+    return { ok: true, plan, report };
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.87",
+  "version": "1.0.89",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {