⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

USO AUTORIZADO APENAS: Use esta habilidade apenas para avaliações de segurança autorizadas, validação defensiva ou ambientes educacionais controlados.

Execuções de Pentest Darkmoon

Visão Geral

Darkmoon é uma plataforma autônoma de testes de penetração com IA: um LLM orquestra agentes especializados e ferramentas ofensivas e prova cada descoberta com um exploit real. O motor e a CLI do Darkmoon são de código aberto (GPL-3.0). Esta habilidade controla uma instância autônoma do Darkmoon Pro por meio do servidor MCP @darkmoon_ai/mcp-server, que se comunica com a API do Painel Pro (DARKMOON_BASE_URL). O servidor MCP não funciona apenas com a CLI de código aberto.

A habilidade abrange as quatro ferramentas MCP que o servidor expõe: run_pentest, get_run_status, list_campaigns e get_findings.

Quando Usar Esta Habilidade

• Use quando o usuário quiser iniciar um teste de penetração autônomo contra um alvo que ele possui ou está autorizado por escrito para testar, usando sua própria instância do Darkmoon Pro.
• Use quando o usuário solicitar o status de uma execução do Darkmoon.
• Use quando o usuário quiser listar campanhas do Darkmoon.
• Use quando o usuário quiser ler, agrupar e triar as descobertas de uma campanha do Darkmoon.
• Não use se nenhuma instância do Darkmoon Pro estiver disponível ou se o servidor MCP darkmoon não estiver configurado.

Como Funciona

Etapa 0: Confirmar autorização e configuração

Comece uma execução apenas contra um host, URL ou escopo que o usuário possua ou esteja explicitamente autorizado por escrito para testar. Se a autorização não for declarada, pergunte antes de chamar run_pentest. Nunca amplie o alvo além do que o usuário nomeou.

O servidor MCP lê DARKMOON_BASE_URL, DARKMOON_USERNAME e DARKMOON_PASSWORD de seu ambiente. Nunca peça ao usuário para colar credenciais na conversa.

Etapa 1: Iniciar uma execução

Chame run_pentest com target e, opcionalmente, program, focus e severity. Ele retorna um run_id; a execução continua em segundo plano e pode levar muito tempo.

Etapa 2: Acompanhar a execução

Chame get_run_status com o run_id. Ele retorna running, completed, error ou unknown, mais os cinco eventos mais recentes. Consulte esporadicamente e não faça um loop apertado.

Etapa 3: Encontrar a campanha

Chame list_campaigns para encontrar o ID da campanha assim que a execução produzir um.

Etapa 4: Ler e triar descobertas

Chame get_findings com o campaign_id. Cada descoberta carrega um título, gravidade, pontuação CVSS, categoria, status (exploited, confirmed ou unconfirmed), endpoint e orientação de remediação, além de estatísticas de gravidade.

Exemplos

Exemplo 1: Instalar o servidor MCP

{
  "mcpServers": {
    "darkmoon": {
      "command": "npx",
      "args": ["-y", "@darkmoon_ai/mcp-server"],
      "env": {
        "DARKMOON_BASE_URL": "${DARKMOON_BASE_URL}",
        "DARKMOON_USERNAME": "${DARKMOON_USERNAME}",
        "DARKMOON_PASSWORD": "${DARKMOON_PASSWORD}"
      }
    }
  }
}

Exemplo 2: Uma solicitação típica

Usuário: "Execute um pentest em staging.example.com, que possuímos, e resuma o que foi explorado."

1. Confirme que staging.example.com está no escopo e autorizado.
2. run_pentest com target: "staging.example.com", guarde o run_id retornado.
3. Consulte get_run_status até que o status seja completed.
4. list_campaigns, então get_findings para a nova campanha.
5. Relate as descobertas exploited e confirmed primeiro, agrupadas por gravidade.

Melhores Práticas

• Relate as descobertas agrupadas por gravidade e status; destaque exploited e confirmed primeiro.
• Trate as descobertas unconfirmed como pistas e diga que as descobertas podem incluir falsos positivos e devem ser revisadas por um humano qualificado antes que alguém aja sobre elas.

…