noir v1.2.1

اصطاد كل نقطة نهاية في كودك، اكشف عن واجهات برمجة التطبيقات المخفية، وحدد سطح الهجوم.

الوثائق • التثبيت • الاستخدام • المساهمة • سجل التغييرات

Noir هي أداة SAST تقرأ الكود المصدري وتستخرج نقاط النهاية التي يعرضها التطبيق — المسارات، الطرق، المعاملات، الرؤوس، ملفات تعريف الارتباط، والملفات المصدرية التي تقف وراءها. واجهات برمجة التطبيقات المخفية، المسارات المهملة، والمعالجات غير الموثقة تظهر كجزء من نفس الجرد؛ ليست وضعًا منفصلاً.

يغذي الجرد ثلاثة جماهير:

• المراجعون البشريون. يحصل مهندسو الأمان ومدققو الكود على قائمة مركزة من نقاط الدخول القابلة للوصول من قبل المهاجم — المسارات، المعاملات، الملفات المصدرية، الوسوم — بدلاً من تصفح المستودع بأكمله.
• مدققو الذكاء الاصطناعي. تحصل عوامل SAST القائمة على LLM على نفس القائمة المركزة، بالإضافة إلى سياق المراجعة لكل نقطة نهاية (--include callee للوظائف المستدعاة بخطوة واحدة، --ai-context للحراس، المصارف، المدققات، والإشارات).
• أدوات DAST. تحصل ZAP و Burp Suite و Caido و Gori على قائمة مسارات حقيقية للمسح، بما في ذلك المسارات التي لم تكن لتصل إليها أبدًا عن طريق الزحف.

ما يفعله Noir

• استخراج نقاط النهاية. تحليل ثابت عبر أكثر من 50 إطار عمل. يُرجع نقاط النهاية، المعاملات، الرؤوس، ملفات تعريف الارتباط، والملفات المصدرية التي جاءت منها.
• الاستعانة بـ LLM. تعامل الأطر غير المدعومة (أو التوجيه المخصص لمرة واحدة) إلى OpenAI / Ollama / إلخ عندما لا تنطبق القواعد الثابتة.
• مخرجات للمرحلة التالية. JSON، YAML، OpenAPI، SARIF، cURL، Postman، HTML — أي تنسيق تقرأه الأداة التالية في خط الأنابيب.
• تكامل DAST. التوصيل المباشر إلى ZAP، Burp Suite، Caido أو Gori كهدف وكيل، أو تصدير OpenAPI لاستيرادها.
• سياق SAST للذكاء الاصطناعي. جرد نقاط النهاية (ومع --include callee، الوظائف بخطوة واحدة التي يستدعيها كل معالج) هو السياق المركز الذي يحتاجه مدقق LLM للعثور على الأخطاء القابلة للوصول من قبل المهاجم. يذهب --ai-context أبعد من ذلك ويرفق سياق مراجعة مجمع لكل نقطة نهاية — الحراس، المستدعون، المصارف، المدققات، والإشارات — بحيث لا يضطر LLM إلى إعادة اكتشافها.
• CI/CD. إجراء GitHub، مخرجات SARIF، رموز الخروج — يناسب خط الأنابيب الذي لديك بالفعل.

الاستخدام

noir -h

مثال

noir -b <source_dir>

إذا كنت تستخدمه مع GitHub Action، يرجى الرجوع إلى هذه الوثيقة.

لمزيد من التفاصيل، يرجى زيارة صفحة الوثائق.

خارطة الطريق

بدأ Noir كأداة مساعدة لاختبار الصندوق الأبيض: استخراج نقاط النهاية من الكود المصدر ليتمكن DAST من مسحها بدقة أكبر. نما العمل — نفس الجرد يغذي الآن المدققين البشريين وعوامل SAST للذكاء الاصطناعي أيضًا. الهدف من هنا هو خدمة جميع المستهلكين الثلاثة بشكل متساوٍ: البشر الذين يراجعون الكود، و LLMs التي تدققه، وأدوات DAST التي تمسحه.

من هنا:

• توسيع نطاق التغطية للغات والأطر؛ الحفاظ على الدقة من خلال اختبارات ثابتة لكل إطار.
• الاعتماد أكثر على LLMs للحالات التي لا يستطيع التحليل الثابت الوصول إليها.
• إثراء سياق المراجعة لكل نقطة نهاية (الحراس، المستدعون، المصارف، المدققات، الإشارات) بحيث يتشارك المراجعون البشريون ومدققو الذكاء الاصطناعي نفس النظرة المركزة لكل معالج.
• الحفاظ على تكامل DAST من الدرجة الأولى — OpenAPI، أهداف الوكيل، والتسليم المباشر إلى ZAP / Burp / Caido.

مشروع OWASP

انضم OWASP Noir إلى مؤسسة OWASP في يونيو 2024.

• صفحة المشروع الرسمية: https://owasp.org/www-project-noir/
• OWASP Nest: https://nest.owasp.org/projects/noir

الأخبار والتحديثات

• مايو 2026: إصدار v1.0.0 — تقديم خط 1.x ثابت عبر جميع المحللات، والوسوم، والمسح السلبي، وهيكل CLI جديد يركز على الأفعال.
• مايو 2026: تحديث خارطة الطريق — هدف Noir الآن هو خدمة البشر ومدققي الذكاء الاصطناعي وأدوات DAST بشكل متساوٍ كمستهلكين لنفس جرد نقاط النهاية.
• أغسطس 2025: عرض في لقاء OWASP سيول. (زراعة المصادر المفتوحة)
• نوفمبر 2024: نشر مقال ضيف "Powering Up DAST with ZAP and Noir" على مدونة ZAP.
• يونيو 2024: الانضمام إلى OWASP باسم OWASP Noir
  • إعادة تسمية منظمة GitHub من noir-cr إلى owasp-noir
  • الانتقال إلى القيادة المشتركة مع @ksg97031
• نوفمبر 2023: نقل مستودع Noir إلى منظمة noir-cr على GitHub.
• أغسطس 2023: بدأ كمشروع شخصي لـ @hahwul.

المساهمة

Noir هو مشروع مفتوح المصدر مصنوع بـ ❤️. إذا كنت ترغب في المساهمة، يرجى مراجعة CONTRIBUTING.md وتقديم طلب سحب.

التميمة

	تميمتنا هي Hak (학)، طائر الكركي الذي يرمز إلى الأناقة والدقة في كشف العيوب المخفية. في اللغة الكورية، "학" تعني "كركي"، ويمثل حليفًا حادًا يغوص عميقًا لكشف الثغرات وأسطح الهجوم في كودك. لمزيد من الأعمال الفنية والموارد المتعلقة بـ Hak، تحقق من مستودع noir-artwork.