dsh-pentester

dsh-pentester

面向 DeepSeek Harness 的最小化 Root-Orchestrator PTES 渗透测试插件。

内置 1011 个渗透测试 Skill（7 个 bundle + 16 个 standalone），覆盖 Kali 工具、PTES 全阶段、CTF、逆向、白盒审计、漏洞知识库与报告生成。

19 个内置专家 Agent 按 PTES 阶段编排；MCP 集成支持 STDIO / Streamable HTTP / Legacy SSE 三种 transport（Legacy SSE 可直连 PortSwigger Burp MCP Server，无需代理中转）。PTES 阶段可为该阶段所有 Worker 共享 Skills / MCP server，也可配置跨阶段的 Global Worker 共享能力。

唯一事实来源是 docs/plan.md；架构视图见 docs/architecture.md，磁盘布局见 docs/workspace.md，领域术语见 CONTEXT.md。Skill 能力运行时见 docs/skill-runtime-v4.md（Native DSH Skill 集成）。

渗透会话里的探索链路、资产图与报告视图，参考并融合了 howmp/dsh-pentest 的界面与链路呈现（Goal / Intent / Fact / Asset）。漏洞视图是本仓库自己的实现。编排、持久化与工具面仍以本仓库的 PTES Root-Orchestrator 为准（run.json + Delegation，不引入对方的 sqlite 存储或 pentest_* 工具面）。 ⚠️ 免责声明

本项目是网络安全测试工具，仅可用于以下场景： 已获得目标系统所有者明确书面授权的渗透测试、红队演练与安全评估； CTF 竞赛、靶场、实验室环境与自有资产的测试； 安全教学、研究与工具开发。

使用者必须自行确认测试范围与授权边界。未经授权对第三方系统进行扫描、探测、入侵或任何形式的攻击，在多数国家和地区均属违法行为，由此产生的一切后果由使用者自行承担。

本插件按 "AS IS" 现状提供，不附带任何明示或暗示的担保（包括但不限于适销性、特定用途适用性与不侵权）。作者与贡献者对因使用或滥用本插件而导致的任何直接或间接损失、数据破坏、服务中断、法律纠纷或第三方索赔不承担任何责任。

请特别注意：插件内置的 ask_user 预授权门、RoE / Scope prompt 注入、镜像白名单与容器硬化，是协作约定与风险降低措施，不构成技术防护措施，也不代表任何法律授权；它无法阻止有意的滥用。使用者还需自行遵守所在地法律法规，以及 DeepSeek Harness、Kali 工具集、Burp Suite、第三方 MCP Server 等各组件的许可与使用条款。

下载、安装或使用本插件即表示你已阅读、理解并同意上述条款；若不同意，请勿使用。 Disclaimer (English summary): This project is a security testing tool intended only for authorized penetration testing, red teaming, CTFs, lab environments, education and research. You must obtain explicit written permission from the owner of any system you test. Unauthorized scanning or attacking of third-party systems is illegal in most jurisdictions, and you alone are responsible for your actions. The software is provided "AS IS", without warranty of any kind; the authors and contributors accept no liability for any damage or legal consequence arising from its use or misuse. The built-in pre-authorization gate, RoE/Scope prompts, image allow-list and container hardening are collaborative risk-reduction measures, not a technical safeguard or a legal authorization. Builtin Skill Pack 独立分发：上述 Builtin Skills 作为独立 GitHub Release Asset 分发，不随 npm package 安装。首次使用时在 Settings → Pentester → Skills → 初始化 Builtin Skills 点击下载安装。Custom Skills 放在 $DSH_HOME/dsh-pentester/skills/，与 Builtin Skill Pack 完全隔离。 Skill Runtime V4：Worker 的 Skill 加载已完全融入 DeepSeek Harness 原生 Skill 生态 —— Delegation 创建时冻结 grant（Host-private snapshot + manifest），Worker 以官方 ski

欢迎提交issues和PR。

详细英文文档见 docs/README.md。 心智模型 docker based toolbox 设置界面

仅通过dockerode与docker daemon交互，定期文件同步，允许远程docker server，可降低本机资源占用。