commix

Commix (اختصار لـ [comm]and [i]njection e[x]ploiter) هي أداة اختبار اختراق مفتوحة المصدر، كتبها Anastasios Stasinopoulos (@ancst)، وتؤتمت اكتشاف واستغلال ثغرات حقن الأوامر (و**الشيفرة**).

يمكنك زيارة مجموعة لقطات الشاشة التي توضح بعض الميزات على الويكي.

[!IMPORTANT] هذا المشروع قيد التطوير النشط. توقّع تغييرات كاسرة بين المراجعات. راجع سجل التغييرات قبل التحديث.

صُممت Commix في الأساس لتُستخدم كأداة CLI مستقلة، وهي تنفّذ أوامر نظام التشغيل على الأهداف التي تختبرها. قد يشكّل تشغيل commix كخدمة مخاطر أمنية.

يُوصى باستخدامها بحذر، وفقط ضد الأنظمة التي تملكها أو لديك تفويض صريح لاختبارها.

الميزات

• أربع تقنيات حقن - قائمة على النتائج، وقائمة على القيم المنطقية، وقائمة على الوقت، وقائمة على الملفات، تُختار باستخدام --technique أو حسب النوع الذي تُبلّغ عنه باستخدام --type - راجع techniques لمعرفة ما تتطلبه كل تقنية من الهدف.
• خارج النطاق، عندما لا يعود أي شيء على الإطلاق - يُثبت --oob التنفيذ وينقل مخرجات الأمر عبر HTTP/S أو DNS، ويصل إلى الخادم عبر أي عميل يتوفر لدى الهدف - راجع out-of-band client للعملاء الذين يحاول استخدامهم وكيفية تثبيت واحد منهم.
• حقن الشيفرة - يختبر --eval ما يقيّمه الهدف كشيفرة، في PHP أو Python أو Ruby أو JavaScript أو PowerShell أو Perl أو Lua، عبر تلك التقنيات نفسها.
• أينما تستقر المدخلات - معاملات GET/POST، وترويسات HTTP وملفات تعريف الارتباط، وأجسام JSON/XML/GraphQL، إضافةً إلى وحدة shellshock لأهداف CGI.
• من الإثبات إلى الصدفة - --os-shell، وreverse_tcp وbind_tcp المدمجان والقابلان للترقية إلى PTY كامل، ونقل الملفات، وقراءة/كتابة سجل Windows، والاستقصاء وصولًا إلى تجزئات كلمات المرور مع عرض هجوم قاموس عليها.
• التهرب من الفلاتر وWAF - سكربتات عبث قابلة للدمج، تُطبَّق بترتيب حتمي - راجع filters bypass examples.
• أهداف بأي شكل - عنوان URL، أو زحف، أو نماذج HTML، أو خريطة موقع، أو وصف OpenAPI (Swagger)، أو سجل وكيل، أو ملف مجمّع، أو طلب HTTP خام، أو stdin عبر الأنابيب - راجع target options.
• قابل للاستئناف والبرمجة النصية - ملفات جلسة لكل هدف، ومخرجات JSON/CSV/HAR، وملفات تعريف خيارات قابلة لإعادة الاستخدام، و--proof الذي يعيد إثبات أي اكتشاف بتجربة خاصة به، وواجهة REST API لتشغيل الفحوصات من مكان آخر.
• أنظمة شبيهة بـ Unix وWindows - خلفيات PHP وPython وPerl وRuby وASP.NET وJSP وCGI - راجع Windows and Unix-like targets at a glance لمعرفة كيف تختلف الحمولات.

Installation

يمكنك تنزيل commix على أي منصة عبر استنساخ مستودع Git الرسمي :

$ git clone https://github.com/commixproject/commix.git commix

بدلًا من ذلك، يمكنك تنزيل أحدث tarball أو zipball.

[!NOTE] يُشترط Python (الإصدار 3.7 أو أحدث) لتشغيل commix. جميع التبعيات الأخرى مضمّنة، لذا لا حاجة إلى خطوة تثبيت إضافية.

Usage

للحصول على قائمة بجميع الخيارات والمفاتيح استخدم:

$ python3 commix.py -h

اختبر معاملًا واحدًا قابلًا للحقن، ثم انتقل إلى صدفة على الهدف :

$ python3 commix.py --url="http://commix-testbed/scenarios/regular/GET/classic.php?addr=127.0.0.1" --os-shell

أثبت التنفيذ خارج النطاق، حيث لا يعيد الاستجابة أي شيء :

$ python3 commix.py --url="http://commix-testbed/scenarios/regular/POST/blind.php" --data="addr=127.0.0.1" --oob

[!NOTE] يُختار العميل بناءً على ما يتوفر لدى الهدف، لذا يبقى المضيف المجرّد من عملاء HTTP المعتادين في المتناول - ثبّت واحدًا باستخدام --oob-transport حيث يكون خروجه معروفًا مسبقًا. يستخدم --oob افتراضيًا خادم interactsh العام oast.fun، لذا تغادر بيانات التفاعل الوصفية الخاصة بهدفك شبكتك؛ وجّه --oob-server إلى نسخة مستضافة ذاتيًا لإبقائها داخلية. للحصول على دليل مفصل، راجع صفحة الويكي out-of-band-oob-channel.

افحص قائمة من الأهداف دون إشراف واكتب النتائج إلى ملف:

$ python3 commix.py -m targets.txt --batch --report-json=results.json

للحصول على نظرة عامة على الخيارات والمفاتيح المتاحة في commix و/أو الأفكار الأساسية حول كيفية استخدام commix، راجع صفحات الويكي usage و**usage examples** و**filters bypasses**.

روابط

• دليل المستخدم: https://github.com/commixproject/commix/wiki
• متتبع المشكلات: https://github.com/commixproject/commix/issues