xray

<h1 align="center">مرحبًا بك في xray 👋</h1>
<p align="center">
  <img src="https://img.shields.io/github/release/chaitin/xray.svg" />
  <img src="https://img.shields.io/github/release-date/chaitin/xray.svg?color=blue&amp;label=update" />
  <img src="https://img.shields.io/badge/go%20report-A+-brightgreen.svg" />
  <a href="https://docs.xray.cool/">
    <img alt="Documentation" src="https://img.shields.io/badge/documentation-yes-brightgreen.svg" target="_blank" />
  </a>
</p>

<h3 align="center">أداة تقييم أمان قوية</h3>

<p align="center">
  <a href="https://docs.xray.cool">🏠وثائق الاستخدام</a> •
  <a href="https://github.com/chaitin/xray/releases">⬇️تحميل xray</a> •
  <a href="https://github.com/chaitin/xpoc">⬇️تحميل xpoc</a> •
  <a href="https://github.com/chaitin/xapp">⬇️تحميل xapp</a> •
  <a href="https://github.com/chaitin/xray-plugins">📖مستودع الإضافات</a>
</p>

[**النسخة الإنجليزية**](https://github.com/chaitin/xray/blob/master/README_EN.md)

> ملاحظة: سلسلة xray ليست مفتوحة المصدر، ما عليك سوى تنزيل الملفات الثنائية المُجمَّعة مباشرةً. المستودع يحتوي بشكل أساسي على PoCs التي ساهم بها المجتمع، ويتم تعبئتها تلقائيًا مع كل إصدار من xray.

## ✨ xray2.0

لحل مشكلة تعقيد وضخامة xray 1.0 أثناء إضافة الميزات، أطلقنا xray 2.0.

يهدف هذا الإصدار الجديد إلى تحسين سلاسة استخدام الميزات، وخفض حاجز الدخول، ومساعدة المزيد من العاملين في مجال الأمن على تحقيق تجربة أفضل بطريقة أكثر كفاءة. سيقوم xray 2.0 بدمج مجموعة من أدوات الأمان الجديدة لتشكيل مجموعة أدوات أمان شاملة.

**الأداة الثانية من سلسلة xray2.0، xapp، أصبحت متاحة الآن، نرحب بتجربتها!**

### XPOC

xpoc هي الأداة الأولى من سلسلة xray2.0، وهي أداة استجابة سريعة للطوارئ مصممة لفحص الثغرات في سلسلة التوريد.

رابط المشروع: https://github.com/chaitin/xpoc

### XAPP

xapp هي أداة تركز على التعرف على بصمات الويب. يمكنك استخدام xapp للتعرف على التقنيات المستخدمة من قبل أهداف الويب، استعدادًا لاختبار الأمان.

رابط المشروع: https://github.com/chaitin/xapp

### مستودع الإضافات

أنشأنا مستودعًا مخصصًا لمختلف الإضافات، بهدف تسهيل مشاركة واستخدام الإضافات المختلفة للجميع.

هنا نقوم بشكل أساسي بتجميع البرامج النصية مفتوحة المصدر والمحولة إلى تنسيق xray لاستخدام الجميع.

سنقوم بدفع إضافات جديدة هنا من وقت لآخر، ونأمل أيضًا أن يقوم الجميع بتحسين أو تقديم إضافات بنشاط، لإثراء هذا المستودع معًا.

رابط المشروع: https://github.com/chaitin/xray-plugins

## 🚀 البدء السريع

**قبل الاستخدام، يرجى قراءة والموافقة على شروط [الترخيص](https://github.com/chaitin/xray/blob/master/LICENSE.md)، وإلا فلا تقم بتثبيت أو استخدام هذه الأداة.**

1. استخدام الزاحف الأساسي للزحف وفحص الروابط التي تم الزحف إليها بحثًا عن الثغرات.
    
    ```bash
    xray webscan --basic-crawler http://example.com --html-output vuln.html
    ```

2. استخدام وكيل HTTP للمسح السلبي.
    
    ```bash
    xray webscan --listen 127.0.0.1:7777 --html-output proxy.html
    ```
    قم بتعيين وكيل http للمتصفح إلى `http://127.0.0.1:7777`، وسيتم تحليل حركة مرور الوكيل وفحصها تلقائيًا.
   
   > لفحص حركة مرور https، يرجى قراءة قسم `التقاط حركة مرور https` في الوثائق أدناه.

3. فحص عنوان URL واحد فقط، بدون استخدام الزاحف.
    
    ```bash
    xray webscan --url http://example.com/?a=b --html-output single-url.html
    ```

4. تحديد الإضافات المراد تشغيلها يدويًا.
   
   بشكل افتراضي، سيتم تمكين جميع الإضافات المضمنة. يمكنك استخدام الأمر التالي لتحديد الإضافات التي سيتم تمكينها في الفحص.
   
   ```bash
   xray webscan --plugins cmd-injection,sqldet --url http://example.com
   xray webscan --plugins cmd-injection,sqldet --listen 127.0.0.1:7777
   ```
      
5. تحديد مخرجات الإضافات.

    يمكنك تحديد إخراج معلومات الثغرات في هذا الفحص إلى ملف معين:
    
    ```bash
    xray webscan --url http://example.com/?a=b \
    --text-output result.txt --json-output result.json --html-output report.html
    ```
    
    [نموذج تقرير](https://docs.xray.cool/assets/report_example.html)

للاستخدامات الأخرى، يرجى قراءة الوثائق: https://docs.xray.cool

## 🪟 وحدات الكشف

سيتم إضافة وحدات كشف جديدة باستمرار.

| الاسم             | المفتاح              | الإصدار  | الوصف                                                                              |
|----------------|------------------|-----|---------------------------------------------------------------------------------|
| كشف ثغرات XSS        | `xss`            | إصدار المجتمع | كشف ثغرات XSS باستخدام التحليل الدلالي                                                                |
| كشف حقن SQL       | `sqldet`         | إصدار المجتمع | يدعم حقن الأخطاء، والحقن المنطقي، والحقن الأعمى الزمني وغيرها                                                               |
| كشف حقن الأوامر/الكود      | `cmd-injection`  | إصدار المجتمع | يدعم حقن أوامر shell، وتنفيذ كود PHP، وحقن القوالب وغيرها                                                    |
| تعداد الدلائل           | `dirscan`        | إصدار المجتمع | يكتشف أكثر من 10 أنواع من المسارات والملفات الحساسة مثل ملفات النسخ الاحتياطي، والملفات المؤقتة، وصفحات التصحيح، وملفات التكوين                                           |
| كشف اجتياز المسار         | `path-traversal` | إصدار المجتمع | يدعم المنصات والتشفيرات الشائعة                                                                       |
| كشف حقن كيانات XML     | `xxe`            | إصدار المجتمع | يدعم الكشف مع إظهار النتائج ومنصة إعادة الاتصال                                                                    |
| إدارة PoC         | `phantasm`       | إصدار المجتمع | يتضمن افتراضيًا بعض PoCs الشائعة الاستخدام، يمكن للمستخدمين بناء PoCs الخاصة بهم وتشغيلها حسب الحاجة. الوثائق: [POC](https://docs.xray.cool/#/guide/poc) |
| كشف رفع الملفات         | `upload`         | إصدار المجتمع | يدعم لغات الخلفية الشائعة                                                                       |
| كشف كلمات المرور الضعيفة          | `brute-force`    | إصدار المجتمع | يدعم إصدار المجتمع كشف المصادقة الأساسية HTTP وكلمات المرور الضعيفة للنماذج البسيطة، ويتضمن قاموسًا مدمجًا لأسماء المستخدمين وكلمات المرور الشائعة                                          |
| كشف jsonp       | `jsonp`          | إصدار المجتمع | يكتشف واجهات jsonp التي تحتوي على معلومات حساسة يمكن قراءتها عبر النطاقات                                                       |
| كشف ssrf        | `ssrf`           | إصدار المجتمع | وحدة كشف ssrf، تدعم تقنيات التجاوز الشائعة ومنصة إعادة الاتصال                                                      |
| فحص الأساسيات           | `baseline`       | إصدار المجتمع | يكتشف إصدارات SSL المنخفضة، ورؤوس http المفقودة أو المضافة بشكل خاطئ وغيرها                                                    |
| كشف إعادة التوجيه التعسفي         | `redirect`       | إصدار المجتمع | يدعم إعادة توجيه HTML meta، وإعادة التوجيه 30x وغيرها                                                         |
| حقن CRLF        | `crlf-injection` | إصدار المجتمع | يكتشف حقن رؤوس HTTP، ويدعم المعلمات في مواضع query و body وغيرها                                                |
| كشف ثغرات XStream    | `xstream`        | إصدار المجتمع | يكتشف ثغرات سلسلة XStream                                                                   |
| كشف ثغرات سلسلة Struts2 | `struts`         | الإصدار المتقدم | يكتشف ما إذا كان الموقع المستهدف يحتوي على ثغرات سلسلة Struts2، بما في ذلك الثغرات الشائعة مثل s2-016 و s2-032 و s2-045 و s2-059 و s2-061                 |
| كشف ثغرات سلسلة Thinkphp | `thinkphp`       | الإصدار المتقدم | يكتشف الثغرات ذات الصلة بالمواقع المطورة باستخدام ThinkPHP                                                            |
| كشف ثغرة إلغاء التسلسل Shiro  | `shiro`          | الإصدار المتقدم | يكتشف ثغرة إلغاء تسلسل Shiro                                                                   |
| كشف سلسلة fastjson   | `fastjson`       | الإصدار المتقدم | يكتشف ثغرات سلسلة fastjson                                                                  |


## ⚡️ الاستخدام المتقدم

يرجى الاطلاع على https://docs.xray.cool/ لاستخدام الميزات المتقدمة التالية.

 - تعديل ملف التكوين
 - التقاط حركة مرور https
 - تعديل تكوين إرسال حزم http
 - استخدام منصة إعادة الاتصال
 - ...

## 😘 المساهمة بـ PoC

تقدم xray لا يمكن أن يتحقق بدون دعم各位师傅 (الخبراء). بروح التعاون المتبادل، ومن أجل التقدم المشترك، فتحت xray قناة "جمع PoC"! هنا ستحصل على:

### عملية التقديم

1. يقوم المساهم بتقديم طلب سحب (PR) إلى مستودع مجتمع xray على GitHub. موقع تقديم PoC: https://github.com/chaitin/xray/tree/master/pocs، موقع تقديم نصوص التعرف على البصمات: https://github.com/chaitin/xray/tree/master/fingerprints
2. املأ معلومات PoC في PR وفقًا لقالب Pull Request.
3. مراجعة PR داخليًا لتحديد ما إذا كان سيتم دمجه في المستودع.
4. لكن انتبه، إذا كنت ترغب في الحصول على مكافأة PoC، يجب تقديم PoC الخاص بك إلى CT stack للحصول على المكافأة.

### مكافآت سخية

- المساهمة بـ PoC ستحصل على **مكافآت金币 قيمة**، شعور بالإنجاز الكبير؛
- **منطقة استبدال الهدايا الغنية**، أكثر من 50 نوعًا من الهدايا التذكارية للاختيار؛
- بانتظام تتوفر بطاقات JD.com للاستبدال، لتقترب من **الحرية المالية** خطوة أخرى؛
- فرصة الانضمام إلى المجموعة الأساسية، والحصول على مهام خاصة، وكسب **مكافآت عالية**؛

### دروس تعليمية شاملة

- **دروس وإرشادات كتابة PoC شاملة**، لتبدأ بسرعة وتتجنب المتاعب؛

### التعلم والتبادل

- **فرص التعلم والتبادل وجهًا لوجه مع المساهمين والمطورين**، لتحسين القدرات بشكل شامل؛
- **فرص مقابلة مباشرة بدون امتحان كتابي**، وظيفة جيدة ليست حلماً؛

إذا كنت قد ساهمت بـ PoC بنجاح ولكنك لم تنضم إلى المجموعة بعد، يرجى إضافة WeChat لخدمة العملاء:

<img src="https://assets.kitploit.com/production/public/readmes/169/cde6adeb7ca0ae92d60fc9cce5fd3384d1bcbd9afc727c627d1ae0ff48432e14.png" height="200px">

قدم معرف التسجيل في المنصة للتحقق، وبعد التحقق يمكنك الانضمام إلى المجموعة!

المرجع: https://docs.xray.cool/#/guide/contribute

## 🔧 النظام البيئي المحيط

### ميدان اختبار جودة PoC

[**Evil Pot**](https://github.com/chaitin/xray/tree/master/tests/evilpot)

[Releases](https://github.com/chaitin/xray/releases?q=EvilPot&expanded=true)

ميدان مصمم خصيصًا لجعل الماسح الضوئي ينتج نتائج إيجابية خاطئة

يجب أن تحاول كتابة الإضافات تجنب إمكانية فحص النتائج في هذا الميدان

### أدوات مساعدة لكتابة PoC

يمكن لهذه الأداة المساعدة في إنشاء PoC، والنسخة عبر الإنترنت تدعم **التحقق من تكرار PoC**، والنسخة المحلية تدعم إرسال الحزم مباشرة للتحقق.

#### النسخة عبر الإنترنت
- [**مختبر القواعد**](https://poc.xray.cool)
- النسخة عبر الإنترنت تدعم **التحقق من تكرار PoC**
#### النسخة المحلية
- [**gamma-gui**](https://github.com/zeoxisca/gamma-gui)

### أداة مساعدة لواجهة xray الرسومية

هذه الأداة هي مجرد تغليف بسيط لسطر الأوامر، وليست استدعاء مباشر للطرق. في خطة xray، سيكون هناك أداة XrayPro كاملة بواجهة رسومية حقيقية في المستقبل، ترقبوا.

- [**super-xray**](https://github.com/4ra1n/super-xray)

## 📝 منتدى النقاش

جميع المطورين وعشاق xray، مرحبًا بكم في [التصويت في المنتدى](https://github.com/chaitin/xray/discussions/1804) لتحديد أولويات تطوير أدوات xray 2.0، اجعل صوتك يشكل مستقبل xray! 🚀

لتقديم طلبات حول النتائج الإيجابية الخاطئة أو السلبية الخاطئة، يرجى قراءة https://docs.xray.cool/#/guide/feedback أولاً.

إذا كانت لديك أي أسئلة، يمكنك فتح issue على GitHub، أو في مجموعات النقاش أدناه.

1. GitHub:
   - https://github.com/chaitin/xray/issues
   - https://github.com/chaitin/xray/discussions

2. حساب WeChat العام: امسح رمز الاستجابة السريعة أدناه لمتابعتنا.

    <img src="https://assets.kitploit.com/production/public/readmes/169/35e6db109f0570c6824f3fb89272df1a9492960c83ab0656d71549f58bb284a0.jpg" height="200px">

3. مجموعة WeChat: يرجى إضافة حساب WeChat العام والنقر على "اتصل بنا" -> "انضم إلى المجموعة"، ثم امسح رمز الاستجابة السريعة للانضمام.

4. مجموعة QQ: 717365081

## Star History

[![Star History Chart](https://api.star-history.com/svg?repos=chaitin/xray&type=Date)](https://star-history.com/#chaitin/xray&Date)