富江破甲ʼni o‘rnatish va ishlatish qo‘llanmasi: DeepSeek Harness uchun xavfsizlik ko‘nikmalari, bilimlar bazasi va vazifalar zanjirini sozlash

Loyiha haqida

Fujiang PoJia — DeepSeek Harness uchun mo‘ljallangan maxsus promptlar va xavfsizlikni baholashga yordam beruvchi plagin. Joriy README’da ko‘rsatilgan versiya 0.20.12. Loyiha @deepseek-ai/dsh-prompt-custom paketini Harness konfiguratsiya katalogiga o‘rnatadi, plagin dasturi va prompt-custom.json prompt konfiguratsiyasini esa alohida saqlaydi.

Plagin maxsus promptlar, ko‘nikmalar kutubxonasi, ichki CVE/PoC bilimlar bazasi, zaifliklar hisobotlari va penetratsion test ish zanjiri kabi funksiyalarni taqdim etadi. U aniq ruxsat olingan muhitlarda aktivlarni tartibga solish, ehtimoliy zaifliklarni moslashtirish, tekshirish bosqichlarini qayd etish va hisobotlar yaratish uchun mos. Bilimlar bazasidagi ehtimoliy yozuvlar yoki avtomatlashtirilgan jarayon holatini tasdiqlangan zaiflik deb qabul qilmaslik kerak.

Loyiha nomi va DeepSeek haqidagi eslatmalar rasmiy qo‘llab-quvvatlashni anglatmaydi. Foydalanishni boshlashdan oldin repozitoriydagi rad etish bayonotini o‘qing hamda test maqsadi, doirasi va amallariga ruxsat berilganiga ishonch hosil qiling.

Asosiy funksiyalar

• Prompt injeksiyasi: kiritish maydoni yonida “Fujiang PoJia” holat tugmasi va sozlamalar kirish nuqtasi mavjud. Injeksiyani o‘chirganingizda rasmiy boshlang‘ich qism tiklanadi, foydalanuvchining o‘z prompt matni esa saqlanib qoladi.
• Zaifliklar hisoboti: sun’iy intellekt yozgan zaiflik yozuvlarini doimiy saqlaydi va ularni kritik, yuqori, o‘rta, past hamda axborot darajalari bo‘yicha ko‘rish imkonini beradi.
• Ko‘nikmalar kutubxonasi: REA va AboutSecurity’ni talabga ko‘ra yuklab olish, yoqish yoki o‘chirish hamda sun’iy intellektga ro‘yxatdan o‘tgan ko‘nikmalar mazmunini aniqlash imkonini beradi.
• Ichki bilimlar bazasi: plagin bilan birga to‘qqiz turdagi CVE/PoC bilimlari taqdim etiladi, ularni yoqish uchun qo‘shimcha yuklab olish talab qilinmaydi.
• Penetratsion test ish zanjiri: vazifalar, aktivlar, tekshirish bosqichlari, urinishlar qaydlari, bosqichlar va keyingi tavsiyalarni boshqaradi.
• Mahalliy fingerprint moslashtirish: port, xizmat identifikatori yoki mahsulot nomi asosida bilimlar bazasidagi ehtimoliy yozuvlarni tartiblaydi va moslik sabablarini ko‘rsatadi.

Maxsus promptlar interfeysi

Maxsus prompt konfiguratsiyasi prompt-custom.json faylida alohida saqlanadi va unda shaxsiy sozlamalar bo‘lishi mumkin. Qayta o‘rnatish, zaxiralash yoki tarqatishdan oldin fayl mazmuni ulashish uchun mos ekanini tekshiring.

Ko‘nikmalar va bilimlar bazasi

Ko‘nikmalar kutubxonasi ikkita upstream loyihani qo‘llab-quvvatlaydi: REA reverse-tahlil vositasi va AboutSecurity xavfsizlikni baholash ko‘nikmalari kutubxonasi. Uchinchi tomon loyihalariga o‘z litsenziya shartlari tatbiq etiladi.

Ichki bilimlar bazasi Java deserializatsiyasi, Java Web, chegara qurilmalari, Exchange va domen muhiti, Web va CMS, Linux imtiyozlarini oshirish, bulut va konteynerlar, biznes interfeyslari xatarlari hamda zaifliklarni saralash kabi toifalarni qamrab oladi. Yozuvlarda mahsulot, versiya, port, kalit so‘zlar, jiddiylik darajasi, old shartlar, tuzatish tavsiyalari va manbalar qayd etiladi.

O‘rnatishdan oldingi tayyorgarlik

1. Qo‘llab-quvvatlanadigan DeepSeek Harness versiyasidan foydalanayotganingizni tasdiqlang. Plagin DeepSeek Harness va dsh-system-prompt uchun >=0.2.1-rc.5 <0.3.0 versiyalariga mosligini bildiradi.
2. Cordis versiyasi >=4.0.5 <5 oralig‘ida ekanini tasdiqlang.
3. Rasmiy DeepSeek Harness Desktop’ni kamida bir marta ishga tushiring, shunda dastur desktop konfiguratsiyasini boshlang‘ich holatga keltiradi.
4. O‘rnatishdan oldin Harness’dan to‘liq chiqing, jumladan Windows’ning o‘ng pastki burchagidagi tray belgisidan “Chiqish”ni tanlang.
5. Repozitoriyni ishonchli manbadan yuklab oling va skriptni ishga tushirishdan oldin fayl mazmunini tekshiring.

O‘rnatish skriptidan foydalanish

Repozitoriy sahifasida Code → Download ZIP bandini tanlab arxivni oching yoki Git orqali repozitoriyni klonlang. Harness’dan to‘liq chiqqach, ochilgan katalogdagi 点我执行脚本.cmd faylini ikki marta bosing.

# Harness’dan to‘liq chiqqach o‘rnatishni ishga tushirish
.\点我执行脚本.cmd

# O‘rnatish rejasini ko‘rish, fayllarni o‘zgartirmaslik
.\install.ps1 -DryRun

-DryRun rasmiy o‘rnatishdan oldin skript bajarishga tayyorlayotgan amallarni tekshirish uchun mos. O‘rnatuvchi sukut bo‘yicha desktop konfiguratsiyasidan foydalanadi va avvalo Desktop tarkibidagi DSH buyruqlar qatori vositasini chaqiradi. Muhitni moslashtirish kerak bo‘lsa, konfiguratsiya nomi, buyruqlar qatori vositasi va ma’lumotlar katalogini -Profile, -DshCommand hamda -DshHome orqali ko‘rsatish mumkin.

Agar DSH_HOME o‘rnatilmagan bo‘lsa, sukutdagi ma’lumotlar katalogi $env:USERPROFILE\.dsh bo‘ladi. O‘rnatish skripti plaginni $DSH_HOME\local-plugins\dsh-prompt-custom katalogiga nusxalaydi, DSH plagin menejeri orqali ro‘yxatdan o‘tkazadi, so‘ng birga berilgan prompt-custom.json faylini nusxalaydi.

Agar mavjud prompt konfiguratsiyasi yangi konfiguratsiyadan farq qilsa, o‘rnatuvchi avval eski fayl yonida zaxira nusxa yaratadi. Ro‘yxatdan o‘tkazish muvaffaqiyatsiz bo‘lsa va zaxira mavjud bo‘lsa, skript eski prompt konfiguratsiyasini tiklaydi. O‘rnatish muvaffaqiyatli tugagach, skript qo‘shni katalogga install.log yozishga ham urinadi, biroq bu fayl to‘liq ish jurnali emas.

Agar o‘rnatuvchi Harness hali ishlayotganini aniqlasa, undan chiqishni so‘raydi va to‘xtaydi; bu safar fayllar o‘zgartirilmaydi. O‘rnatuvchi Harness’ni avtomatik yopmaydi yoki qayta ishga tushirmaydi, shuningdek -NoRestart parametri qo‘llab-quvvatlanmaydi.

Skript Windows tomonidan bloklanganda

O‘rnatuvchi o‘qish mumkin bo‘lgan PowerShell skripti bo‘lib, asosan fayllarni nusxalash va DSH buyruqlarini chaqirishni bajaradi. README’da unda yashirin oyna ishga tushirish, jarayonni majburan tugatish, rejalashtirilgan vazifa yaratish yoki WMI orqali jarayon yaratish amallari yo‘qligi ko‘rsatilgan, biroq bu har qanday xavfsizlik dasturining aniqlash xulosasini anglatmaydi.

Agar Windows yuklab olish manbasi belgisi sabab skriptni bloklasa, avval yuklab olish manbasini tekshiring va skript mazmunini ko‘rib chiqing. Shuningdek, SHA256 nazorat qiymatini hisoblab, uni nashriyotchi taqdim etgan qiymat bilan solishtirish mumkin:

Get-FileHash .\install.ps1 -Algorithm SHA256

Fayl ishonchli ekanini tasdiqlagach, yuklab olish manbasi belgisini Windows fayl “Xususiyatlar”idagi “Blokdan chiqarish” orqali olib tashlash mumkin.

Qo‘lda o‘rnatish usuli

Avtomatik o‘rnatish skriptini ishga tushirishni istamasangiz, Harness’dan to‘liq chiqqach plaginni qo‘lda nusxalab, ro‘yxatdan o‘tkazishingiz mumkin. Quyidagi buyruqlar sukutdagi ma’lumotlar katalogi va Desktop tarkibidagi DSH buyruqlar qatori vositasidan foydalanadi:

$pluginTarget = Join-Path $env:USERPROFILE '.dsh\local-plugins\dsh-prompt-custom'
New-Item -ItemType Directory -Force -Path $pluginTarget | Out-Null
Get-ChildItem -LiteralPath .\plugin -Force | ForEach-Object {
  Copy-Item -LiteralPath $_.FullName -Destination $pluginTarget -Recurse -Force
}

& "$env:LOCALAPPDATA\Programs\DeepSeek Harness\resources\runtime\cli\bin\dsh.cmd" plugin --profile desktop add $pluginTarget

Repozitoriy bilan birga berilgan prompt konfiguratsiyasidan ham foydalanmoqchi bo‘lsangiz, avval mavjud $env:USERPROFILE\.dsh\prompt-custom.json faylini zaxiralang, so‘ng yangi faylni nusxalang. O‘rnatish tugagach, Harness’ni o‘zingiz qayta ishga tushirishingiz kerak.

Asosiy foydalanish jarayoni

1-qadam: Prompt injeksiyasini yoqish

Harness’ni qayta ishga tushirgach, kiritish maydoni yonidan “Fujiang PoJia” holat kirish nuqtasini toping. Yoqilganda plagin rasmiy harness:identity boshlang‘ich qismini bo‘sh paragraf bilan almashtiradi; o‘chirilganda rasmiy boshlang‘ich qism tiklanadi. Maxsus prompt matningiz o‘chirilmaydi.

2-qadam: Ko‘nikmalar kutubxonasini sozlash

Sozlamalar panelidagi “Ko‘nikmalar kutubxonasi”ni oching va kerak bo‘lsa REA yoki AboutSecurity’ni yuklab olib yoqing. AboutSecurity GitHub’dan joriy master tarmog‘i arxivini yuklab oladi va undan faqat skills/ katalogini ajratib oladi. Yuklab olish jarayoni progressni ko‘rsatish va bekor qilishni qo‘llab-quvvatlaydi.

REA uchun mos Node.js versiyalari: ^22.23.4 || ^24.22.1 || >=26.12.1. Plagin REA’ni npm orqali o‘rnatganda lifecycle skriptlarini o‘chiradi, shu sababli bunday o‘rnatish usulida Frida’ning ixtiyoriy native binding’lari qurilmaydi. Muayyan vosita ishlashi mahalliy muhit va tahlil mexanizmiga bog‘liq.

AboutSecurity asosan Markdown formatidagi ko‘nikma hujjatlaridan iborat va qo‘shimcha native ishga tushirish komponentlarini talab qilmaydi. Ko‘nikmalar muvaffaqiyatli yuklangan bo‘lsa, bu faqat fayllar olingani va ro‘yxatdan o‘tkazilganini bildiradi, har bir vosita ishlashi tekshirilganini emas.

3-qadam: Bilimlar bazasi yordamida moslashtirish

Bilimlar bazasi sukut bo‘yicha yoqilgan, uning holati $DSH_HOME/fujiang-skills/knowledge-state.json faylida saqlanadi. Uni o‘chirganingizda plagin tegishli bilimlarni sun’iy intellektga taqdim etmaydi, biroq asl fayllar mahalliy kompyuterda saqlanib qoladi.

Ruxsat berilgan testlarda avval sun’iy intellektga maqsad mahsuloti, versiyasi, porti, xizmat identifikatori va test doirasini tushuntiring, so‘ng tegishli bilim yozuvlarini qidirishni so‘rang. Masalan:

Bu ruxsat berilgan test muhiti. Tasdiqlangan mahsulot nomi, versiyasi va ochiq portlar asosida bilimlar bazasidagi ehtimoliy yozuvlarni qidiring, moslik sabablarini, tegishli old shartlarni, hali tekshirilishi kerak bo‘lgan dalillarni va tuzatish tavsiyalarini sanab bering. Ehtimoliy yozuvlarni tasdiqlangan zaiflik sifatida ifodalamang.

Bilim yozuvlari ochiq materiallarning jamlanmasi bo‘lib, odatda tekshiruv holati va manbalarni verified: false hamda sources: kabi metama’lumotlar bilan belgilaydi. Amalda ular maqsad versiyasi, konfiguratsiyasi va old shartlari bilan birgalikda qayta tekshirilishi shart.

4-qadam: Penetratsion test ish zanjirini yaratish

Joriy amalga oshirishda foydalanuvchi avval plagin panelida vazifa yaratishi kerak, shundan keyingina sun’iy intellekt mavjud vazifa orqali aktivlar, bosqichlar va natijalardan foydalana oladi. Ish zanjiri quyidagi bosqichlar asosida tashkil etiladi:

1. Axborot yig‘ish
2. Fingerprintni aniqlash
3. Zaifliklarni moslashtirish
4. Amalga oshirish mumkinligini tekshirish
5. Zaiflikdan foydalanish
6. Yonlama harakat
7. Hisobot chiqarish

Har bir vazifaga bitta sessiya biriktirilishi mumkin, bitta sessiyaga esa ko‘pi bilan bitta vazifa biriktiriladi. Plagin campaign:context orqali biriktirilgan sun’iy intellektga vazifa, bosqich, aktivlar soni va keyingi tavsiyalarni taqdim etadi.

Vazifa yaratishda ruxsat berilgan maqsadlar, bajarishga ruxsat etilgan doira, taqiqlangan amallar, test vaqti va to‘xtatish shartlarini aniq kiriting. Vazifa jarayoni va bosqichlari faqat ma’lumotni tartibga soladi, ular zaiflikni tasdiqlovchi dalillar o‘rnini bosa olmaydi.

5-qadam: Zaifliklar hisobotini qayd etish

Tekshiruv natijalari xulosani qo‘llab-quvvatlash uchun yetarli bo‘lgandan keyingina sun’iy intellektdan zaiflik yozuvini kiritishni so‘rang. Hisobotda ta’sirlangan aktivlar, qayta tiklash shartlari, dalillar, ta’sir bahosi, jiddiylik darajasi, tuzatish tavsiyalari va manbalar bo‘lishi kerak. Tekshirilmagan ehtimoliy yozuvlar to‘g‘ridan-to‘g‘ri zaiflik deb belgilanmasdan, “Tekshiruv kutilmoqda” holatida qoldirilishi kerak.

Mahalliy interfeys va native vositalar

Plagin mahalliy fingerprint moslashtirish va vazifalar reyestri interfeyslarini taqdim etadi. Moslashtirish hisob-kitoblari va reyestrga yozish mahalliy kompyuterda bajariladi, biroq ko‘nikmalarni yuklab olish, tarmoqqa ulangan model chaqiruvlari va haqiqiy maqsadni tekshirish tarmoq so‘rovlarini yuzaga keltirishi mumkin.

• POST /api/dsh-prompt-custom/match: port, xizmat identifikatori yoki mahsulot nomi asosida tartiblangan bilimlar bazasi ehtimoliy yozuvlari va moslik sabablarini qaytaradi. Og‘irliklar: port 40, mahsulot 30, CVE 20, kalit so‘zlar 20, jiddiylik darajasi 5.
• /api/dsh-prompt-custom/campaigns: test doirasi, aktiv fingerprintlari, bajarish bosqichlari, urinishlar qaydlari va vazifa bosqichlarini boshqaradi. Reyestr $DSH_HOME/vuln-report/campaigns.json faylida saqlanadi.
• GET ?id=: ko‘rsatilgan vazifa va keyingi tavsiyalarni o‘qiydi.

Vazifalar interfeysi bind, unbind va kick kabi amallarni ham taqdim etadi. O‘rnatilgan vositalarga kb_match, campaign_upsert, finding_upsert va pipeline_next kiradi; ko‘nikmalarni qidirish uchun skill_search va skill_read ishlatiladi. O‘rnatilgan vositalarni ro‘yxatdan o‘tkazish uchun tahlil qilinadigan DSH vosita xizmati talab etiladi.

Ilg‘or foydalanish bo‘yicha tavsiyalar

Avval o‘rnatish rejasini DryRun orqali tekshiring

Ilk o‘rnatishda yoki konfiguratsiya katalogini o‘zgartirishda avval .\install.ps1 -DryRun buyrug‘ini ishga tushiring. Bu maqsad yo‘li, konfiguratsiya nomi va kutilayotgan amallarni tasdiqlashga yordam beradi, shu bilan birga fayllarning darhol o‘zgartirilishining oldini oladi.

Plagin va shaxsiy promptlarni alohida zaxiralang

prompt-custom.json plagin dasturidan alohida bo‘lib, shaxsiy konfiguratsiyalarni o‘z ichiga olishi mumkin. Yangilash yoki qayta tarqatishdan oldin ushbu faylni alohida zaxiralab, tekshirib chiqing. Bu moslashtirilgan tarkibning ustiga yozilishiga yoki maxfiy ma’lumotlarning tasodifan ulashilishiga yo‘l qo‘ymaydi.

Nomzod mosliklari va haqiqiy zaifliklarni farqlang

Barmoq izi bo‘yicha moslashtirish faqat port, mahsulot, CVE, kalit so‘zlar va jiddiylik darajasiga asoslanib nomzodlarni tartiblaydi. Yuqori reyting nishon albatta ta’sirlanganini anglatmaydi. Versiya, joylashtirish usuli, tuzatish holati, old shartlar va amaliy dalillarni qo‘shimcha ravishda tekshirish kerak.

Avtomatik davom ettirishdan ehtiyotkorlik bilan foydalaning

Avtomatik davom ettirish sukut bo‘yicha ko‘pi bilan 8 raund ishlaydi hamda to‘xtab qolishni aniqlash va keyingi qadam bo‘yicha tavsiyalarni o‘z ichiga oladi. Undan foydalanishda aniq ruxsat chegaralari va to‘xtatish shartlarini belgilang, shuningdek, inson tomonidan doimiy tekshiruvni saqlang. Bu modelning kontekst yetishmasligi sababli nomaqbul keyingi amallarni bajarishining oldini oladi.

Bilimlar bazasi qanday yangilanishini tushuning

Bilim yozuvlari plugin/knowledge/ katalogida joylashgan. Har safar yozuv yuklanganda fayl qayta o‘qiladi, shuning uchun tarkibdagi yangilanishlar keyingi chaqiruvlarda kuchga kirishi mumkin. Kategoriyalar ta’rifi lib/knowledge.js faylida joylashgan; kategoriyalarni o‘zgartirsangiz, plaginni qayta yuklashingiz kerak.

Kiritish tezkor tugmalari muammolarini aniqlang

README’da ma’lum bir holat qayd etilgan: rad etish oynasi yopilgandan keyin Enter yoki Esc tinglovchisi kiritish va tezkor tugmalarga ta’sir qilishda davom etishi mumkin. G‘ayritabiiy holat yuz berganda, avval uning ushbu ma’lum muammo bilan bog‘liqligini tekshiring, so‘ng plaginni qayta yuklang yoki Harness’ni qayta ishga tushiring.

Moslik va tekshirish chegaralari

Plagin ochiq systemPrompt, skills, tools, agent hayotiy sikli va webServer xizmatlari orqali ishlaydi; u Harness dastur fayllarini o‘zgartirish orqali o‘rnatilmaydi. O‘rnatilgandan so‘ng Harness’dan to‘liq chiqib, uni qayta ishga tushirish shart.

README’da joriy versiyada fayl tuzilmasi va o‘rnatish mantig‘i tekshirilgani, ammo barcha funksiyalar amalda qayta ishga tushirib tekshirilmagani aytilgan. Shuning uchun barcha ko‘nikmalar, CVE yozuvlari yoki avtomatlashtirilgan jarayonlar ishlashiga kafolat berib bo‘lmaydi. Ishlab chiqarish muhitiga joylashtirishdan oldin ularni izolyatsiya qilingan va ruxsat berilgan sinov muhitida birma-bir tekshirish kerak.

Xulosa

Fujiang zaifliklarni buzib kirish, promptlarni boshqarish, ichki bilimlar bazasi, zaifliklar hisobotlari va vazifalar hisobini DeepSeek Harness tarkibida birlashtiradi. To‘g‘ri foydalanish usuli: avval moslik va o‘rnatish rejasini tekshirish, keyin ko‘nikmalar va bilimlar bazasini sozlash, nihoyat aniq ruxsat doirasida vazifalar yaratish, nomzodlarni tekshirish va dalillarni saqlash. Har doim inson tekshiruvi, minimal huquqlar va ishonchli dalillarni avtomatlashtirilgan jarayonlardan ustun qo‘ying.