wormclaude 1.0.88 → 1.0.90

package/dist/commands.js

@@ -45,10 +45,11 @@ export const COMMANDS = [
     { name: '/izinler', desc: 'onayli shell komutlarini yonet (list/add/remove/clear)' },
     { name: '/program', desc: 'Doğrulanmış Araştırmacı Programı — güven seviyeni göster' },
     { name: '/dogrula', desc: 'Doğrulanmış Araştırmacı başvurusu gönder: /dogrula <profil/şirket/gerekçe>' },
-    { name: '/recon', desc: '[seviye 3+] yetkili hedefte keşif (alt-alan/host/crawl): /recon <alan>' },
-    { name: '/scan', desc: '[seviye 3+] yetkili hedefte zafiyet taraması (nuclei): /scan <url>' },
-    { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (dalfox): /xss <url>' },
-    { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (sqlmap): /sqli <url>' },
+    { name: '/skill', desc: 'güvenlik tarama skill\'leri: /skill xss|sqli|recon <hedef> (seviye 3+)' },
+    { name: '/recon', desc: '[seviye 3+] yetkili hedefte keşif (alt-alan/host/başlık/ifşa): /recon <alan>' },
+    { name: '/scan', desc: '[seviye 3+] yetkili hedefte genel tarama (keşif+başlıklar): /scan <alan>' },
+    { name: '/xss', desc: '[seviye 3+] yetkili hedefte XSS taraması (kendi motorumuz): /xss <url>' },
+    { name: '/sqli', desc: '[seviye 3+] yetkili hedefte SQLi taraması (kendi motorumuz): /sqli <url>' },
     { name: '/export', desc: 'sohbeti dosyaya kaydet' },
     { name: '/resume', desc: 'en son kaydedilen oturumu yükle' },
     { name: '/quit', desc: 'çıkış' },
@@ -124,15 +125,19 @@ const PT_REASON = {
 function formatFinding(x) {
     const sev = x.severity ? `[${String(x.severity).toUpperCase()}] ` : '';
     if (x.type === 'xss')
-        return `${sev}XSS · param ${x.param || '?'} — ${x.url || ''}`;
+        return `${sev}XSS (${x.context || '?'}) · param ${x.param || '?'} — ${x.url || ''}`;
     if (x.type === 'sqli')
         return `${sev}SQLi (${x.technique || '?'}) · param ${x.param || '?'} — ${x.evidence || ''}`;
     if (x.type === 'subdomain')
         return `alt-alan: ${x.value}`;
     if (x.type === 'host')
         return `${x.status || ''} ${x.url || ''}${x.title ? ' · ' + x.title : ''}${x.server ? ' · ' + x.server : ''}`;
+    if (x.type === 'tech')
+        return `teknoloji: ${x.value}`;
     if (x.type === 'weak_headers')
         return `${sev}eksik güvenlik başlıkları: ${(x.missing || []).join(', ')}`;
+    if (x.type === 'cors')
+        return `${sev}CORS yanlış yapılandırma: ${x.url || ''} — ${x.evidence || ''}`;
     if (x.type === 'exposure')
         return `${sev}ifşa: ${x.url || ''} — ${x.evidence || ''}`;
     if (x.value)
@@ -141,9 +146,11 @@ function formatFinding(x) {
 }
 // /recon /scan /xss /sqli — ince runner'ı sürer. Zorunlu yetki onayı + trust 3+ teaser.
 async function pentestCmd(tool, arg, ctx) {
+    if (tool === 'scan')
+        tool = 'recon'; // genel tarama = keşif+başlıklar
     const parts = (arg || '').trim().split(/\s+/).filter(Boolean);
     let scopeAck = false;
-    if (parts.length && /^(onayla|--yes|-y|yes|evet)$/i.test(parts[parts.length - 1])) {
+    if (parts.length && /^(run|onayla|çalıştır|calistir|--yes|-y|yes|evet)$/i.test(parts[parts.length - 1])) {
         scopeAck = true;
         parts.pop();
     }
@@ -158,7 +165,7 @@ async function pentestCmd(tool, arg, ctx) {
             `Hedef: ${target}\n\n` +
             `Bu tarama hedefe GERÇEK istekler gönderir ve trafik SENİN IP'nden çıkar. Yalnız sahibi olduğun ya da\n` +
             `yazılı izin/angajman bulunan sistemlerde çalıştır. Yetkisiz tarama yasa dışıdır ve kayıt altına alınır.\n\n` +
-            `Onaylıyorsan tekrar çalıştır:  /${tool} ${target} onayla`);
+            `Çalıştırmak için sonuna "run" ekle:  /${tool} ${target} run`);
         return;
     }
     ctx.note(`${label} başlatılıyor — ${target}`);
@@ -733,6 +740,24 @@ export async function runSlashCommand(input, ctx) {
         case '/sqli':
             await pentestCmd(cmd.slice(1), arg, ctx);
             return true;
+        case '/skill': {
+            const m = (arg || '').trim().split(/\s+/).filter(Boolean);
+            const sub = (m.shift() || '').toLowerCase();
+            // dahili (xss/sqli/recon) VEYA sunucudaki şablon id'si — sunucu doğrular
+            if (sub && !['list', 'help', 'ls', ''].includes(sub)) {
+                await pentestCmd(sub, m.join(' '), ctx);
+                return true;
+            }
+            ctx.note('Güvenlik tarama skill\'leri (seviye 3+ · motor sunucuda gizli):\n' +
+                '  /skill xss <url>          reflected XSS\n' +
+                '  /skill sqli <url>         SQL injection (error/boolean/time)\n' +
+                '  /skill recon <alan>       alt-alan + başlık + ifşa\n' +
+                '  /skill <şablon-id> <hedef>  sunucudaki özel şablonlar (.md)\n' +
+                'Çalıştırmak için sonuna "run" ekle:\n' +
+                '  /skill xss https://site/p?id=1 run\n' +
+                '(kısa yol: /xss /sqli /recon)');
+            return true;
+        }
         case '/export': {
             fs.mkdirSync(SESSION_DIR, { recursive: true });
             const file = path.join(SESSION_DIR, `session-${tsStamp()}.json`);

package/dist/pentest.js

@@ -36,7 +36,7 @@ async function execReq(req, allowed) {
             method: req.method || 'GET',
             headers: req.headers,
             body: req.body,
-            redirect: 'follow',
+            redirect: req.follow === false ? 'manual' : 'follow', // open-redirect vb. için Location'ı görmek
             signal: AbortSignal.timeout(Math.max(3, req.timeout || 20) * 1000),
         });
         let body = '';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.88",
+  "version": "1.0.90",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {