dsh-pentest

项目详情摘要

dsh-pentest — DSH 渗透测试模式 **本仓库已归档，不再维护。** 自 2026-10-09 起进入 GitHub archive（只读）状态：不再受理 issue / PR，不再发布新版本， 也不再适配新版 DSH 或修复缺陷。已发布的 npm 包与 Release 资产保持原样，仍然可以安装使用； 但 DSH 后续版本可能破坏兼容性，请自行评估，或 fork 后自维护（MIT）。 本项目只用于**获得明确授权**的资产范围。作者不对任何未经授权的使用负责， 也不对因此造成的任何后果承担责任。 面向 DeepSeek Harness（dsh）的渗透测试模式： 在授权范围内记录目标、探索线索、验证结果、资产与漏洞，并在 Web 中以探索链路、漏洞和资产视图展示。 本目录是自包含 bundle 包（`@howmp/dsh-pentest`）：宿主插件、Web 界面和 sqlite 后端通过包内 `exports` 一同分发。npm 上的 `@howmp/dsh-pentest` 与 Release 资产内容一致，两者都可由 `dsh plugin add` 安装。 安装 三种方式装的是同一个 bundle，默认从 npm 安装。 从 npm 安装（推荐） 需要旧版本时钉版本号，例如 `@howmp/[email protected]`（见下文宿主版本要求）。 或从 Release URL 安装 或下载后从本地文件安装 重启 dsh 后，在新会话中选择自动注册的「渗透模式」。 预设注册兼容当前 DSH 的 `agentPresets.register()` 接口及旧版 `resolvedRoots` 接口。 当前接口通过宿主 include loader 加载包内配置，关闭组件时释放预设注册。 宿主版本要求：**DSH >= 0.1.6**。发布包的 peer 范围覆盖 DSH 0.1.x，以及从 `0.2.0-rc.1` 开始的 0.2.x； 预设是宿主 `standard` 预设的拷贝，其中的宿主包名逐字生效； DSH 0.1.6 把工作流引擎从 `@deepseek-ai/dsh-workflow-worker-thread` 改名为 `@deepseek-ai/dsh-workflow-ptc`，0.1.6 之前的宿主请钉 `@howmp/[email protected]` （bundle 的 peer 范围覆盖 0.1.x 和 0.2.x，但预设会显示「加载失败」）。 DSH 0.1.7 的 Web 页签使用 `retainedBy.mainView` 识别当前会话，并兼容旧版 `sessions.list.current`； 后台任务或侧栏打开的渗透会话不会让普通主会话显示渗透页签。 界面预览 模式选择 对话与执行 探索链路 漏洞视图 资产视图 测试报告 架构速览 **领域模型**（`src/dsh-pentest/src/spec.ts`）：storage domain `pentest`（version 2）——`goals` / `intents` / `facts` / `findings` / `assets` / `edges` 六张表。边即链路词汇：`spawns`(goal→intent)、`yields`(intent→fact)、 `derived_from`(fact→intent)、`proves`(intent→finding)，资产关系用 `parent`(asset→asset)。finding 必填 `reproducibleSteps`（至少一条）。 **确定性 id**（`store.ts`）：节点/边 id 为 ` - `（按会话计数，goal 重置后归零）——工具返回 id 供模型 跨调用引用，会话投影从日志纯重放同一张图。 **工具**（`tools.ts`）：`pentest_submit`（子 agent 直写指定父 intent）/ `pentest_add_goal`（重置整图）/ `pentest_add_intent`（恰好一个锚点）/ `pentest_add_fact` / `pentest_add_finding`（步骤必填，