PacketPirate

أداة MITM بروكسي بدون واجهة رسومية، قابلة للبرمجة عبر سطر الأوامر، مصممة لاعتراض حركة مرور الشبكة وتحليلها وتعديلها على أنظمة Windows. تعمل بطريقة مشابهة للبروكسيات ذات الواجهات الرسومية المعيارية في المجال، لكنها محسّنة لبيئات الأتمتة، والتشغيل بدون واجهة رسومية، والتكامل مع مسارات العمل التطويرية.

ملاحظة: هذه أداة قائمة بذاتها ودون اعتماديات خارجية، مطبَّقة باستخدام Node.js.

نظرة عامة

• PacketPirate هي أداة اعتراض شبكة على مستوى النظام. من خلال الاستفادة من إعدادات وكيل HTTP في Windows، يمكنها التقاط حركة المرور من أي تطبيق يعمل على جهازك—بما في ذلك متصفحات الويب (Chrome, Edge)، وأدوات سطر الأوامر (curl, git)، وتطبيقات سطح المكتب (Spotify, VS Code, Discord).

• الاعتراض الشامل على مستوى النظام: يلتقط حركة مرور HTTP/HTTPS من أي عملية تحترم وكيل النظام.

• إدراك العمليات: تحديد التطبيق الذي يولّد حركة المرور بدقة.

• محرك قواعد ديناميكي: قابل للتهيئة عبر JSON لتنفيذ إجراءات محددة على حركة المرور المطابقة (مثل استخراج الرموز، وتسجيل الطلبات).

• تسجيل كامل لحركة المرور: قادر على تفريغ أجسام الطلبات والاستجابات الكاملة (HTML, JSON, Binary) لتحليلها.

• بنية بدون واجهة رسومية: يعمل بالكامل من سطر الأوامر، وهو مناسب للخدمات الخلفية وخطوط اختبار الأتمتة.

• إدارة شهادات مخصصة: يتضمن أدوات لتوليد واعتماد مراجع تصديق جذرية ذاتية التوقيع لفك تشفير HTTPS.

التثبيت

المتطلبات الأساسية

• Node.js (الإصدار 14 أو أحدث)
• Windows 10/11 (مطلوب لميزات أتمتة وكيل النظام)
• PowerShell (لبرامج إدارة الشهادات)

الإعداد

استنسخ المستودع وقم بتهيئة البيئة:

# 1. توليد شهادات SSL محلية
npm run setup

# 2. اعتماد المرجع المصدق الجذر المُولّد
npm run trust
# ملاحظة: يتطلب موافقة إدارية لإضافة الشهادة إلى مخزن الجذور الموثوقة.

الاستخدام

شغّل خادم البروكسي:

npm start

يؤدي هذا إلى تشغيل واجهة سطر الأوامر القياسية.

الاستخدام عبر سطر الأوامر

توفر القائمة التفاعلية عناصر التحكم التالية:

1. Scan Processes: يعرض العمليات النشطة مع اتصالات الشبكة القائمة. يتيح تصفية حركة المرور وفق معرّف عملية (PID) محدد (على سبيل المثال، مراقبة code.exe حصريًا).
2. Toggle Filters: تفعيل/تعطيل أنظمة مراقبة محددة:
   • API URL Scan: يسجّل نقاط نهاية واجهات برمجة التطبيقات المطلوبة.
   • Header Dump: يخرج ترويسات الطلبات الكاملة إلى وحدة التحكم.
   • Token Hunt: كشف استدلالي عن رموز Bearer في ترويسات Authorization.
   • Full Traffic Dump: يلتقط كل حركة المرور (الترويسات + الأجسام الكاملة) إلى ملفات سجل jsonl منظمة.
3. Start Proxy: يربط الخادم بأول منفذ متاح (الافتراضي 8080) ويضبط وكيل نظام Windows.
4. Generate Rules: مساعد لإنشاء أنماط اعتراض جديدة بسرعة.

التهيئة

يتم تعريف منطق الاعتراض في config/rules.json. يتيح هذا الملف تهيئة دائمة لمعالجة حركة المرور.

المخطط:

{
  "rules": [
    {
      "name": "Description of rule",
      "host": "hostname.match",
      "urlPattern": "regex_pattern",
      "action": "log | save_token",
      "outputFile": "path/to/output.txt",
      "tokenFilter": "regex_filter"
    }
  ]
}

مثال:

{
    "rules": [
        {
            "name": "Test API",
            "host": "jsonplaceholder.typicode.com",
            "action": "save_token",
            "outputFile": "test_tokens.txt"
        }
    ]
}

التفاصيل التقنية

البنية

تستخدم الأداة بنية خادم مزدوج:

1. خادم البروكسي: يعالج طلب توجيه CONNECT الأولي وينفّذ تصفية المضيفين.
2. خادم MITM: يفك تشفير حركة مرور HTTPS باستخدام المرجع المصدق (CA) المولّد ديناميكيًا، ويفحص الحمولة مقابل محرك القواعد، ويعيد توجيه الطلب إلى الخادم العلوي (upstream).

معالجة الشبكة

• إدارة المنافذ: يكتشف تلقائيًا أخطاء EADDRINUSE ويزيد رقم المنفذ حتى يجد منفذًا حرًا.
• وكيل النظام: يستخدم معالجة مباشرة لسجل النظام عبر PowerShell لفرض إعدادات الوكيل على مستوى النظام.
• التنظيف: ينفّذ معالجات SIGINT/SIGTERM لضمان التراجع عن إعدادات الوكيل عند الخروج، مما يمنع حدوث مشكلات في الاتصال بالشبكة.

دورة حياة الشهادات والأمان

تعتمد الأداة على نموذج شهادة مزدوج لاعتراض HTTPS:

1. توليد المرجع المصدق الجذر: يقوم npm run setup بإنشاء مرجع تصديق جذري ذاتي التوقيع (PacketPirateRoot).
   • المنطق: يستخدم New-SelfSignedCertificate في PowerShell لتوليد زوج مفاتيح صالح لمدة 5 سنوات.
   • التصدير: يتم تصدير المفتاح إلى src/certs/server.pfx (بصيغة PKCS#12) بكلمة المرور "headless".
2. إنشاء الثقة: يقوم npm run trust بحقن هذا المرجع المصدق الجذر في مخزن CurrentUser\Root الخاص بنظام Windows.
   • النطاق الأمني: من خلال استهداف CurrentUser بدلاً من LocalMachine، نحدّ من نطاق الثقة لملف تعريف المستخدم الخاص بك، مما يقلل المخاطر على مستوى النظام.
   • قبول المتصفحات: ترث متصفحات Chrome وEdge وIE مخزن الثقة هذا. يتطلب Firefox تبديلًا منفصلًا (security.enterprise_roots.enabled) لاحترام مخزن ثقة Windows.
3. الإزالة: يوفر npm run untrust عملية إزالة نظيفة.
   • : تحدد البرامج النصية الشهادة عبر الفريد ("PacketPirateRoot")، مما يضمن عدم لمس شهادات المستخدم الأخرى أبدًا.

🎓 تعليمي: كيف قمنا ببنائها

هذا المشروع مثال عملي على برمجة الأنظمة باستخدام Node.js. إنه يتجاوز خوادم الويب النمطية ليتفاعل مع نظام التشغيل وحزمة الشبكة على مستوى أدنى.

البنية

participant App as Application (VS Code)
participant OS as Windows OS
participant Proxy as Proxy Server
participant MITM as MITM Server
participant Web as Internet

Note over App,Proxy: 1. Plain HTTP Tunneling
App->>Proxy: CONNECT google.com:443
Proxy-->>App: 200 Connection Established

Note over Proxy,MITM: 2. The "Hand-Off" Trick
Proxy->>MITM: Pipe socket data (raw encrypted bytes)

Note over App,MITM: 3. TLS Handshake and Decryption
MITM-->>App: ServerHello (signed by local root CA)
App->>MITM: Encrypted request (GET /)

Note over MITM: 4. Interception Logic
MITM->>MITM: Decrypt → Inspect headers → Log

Note over MITM,Web: 5. Upstream Forwarding
MITM->>Web: New HTTPS request (GET /)
Web-->>MITM: Response
MITM-->>App: Response

المفاهيم الأساسية

1. نمط "الخادم المزدوج"

لا يمكن لوحدة http القياسية في Node.js التعامل مع طلب CONNECT (المستخدم في أنفاق HTTPS) وحركة مرور HTTPS العادية على نفس مثيل الخادم بسهولة.

• الخادم A (Net/HTTP): يستمع على المنفذ 8080. يعالج طلب CONNECT الأولي. ويعمل كأنبوب TCP بسيط.
• الخادم B (HTTPS): يوجد فقط في الذاكرة (أو على منفذ عشوائي). يحتفظ بالمفتاح الخاص.
• الحيلة: عندما يستقبل الخادم A اتصالًا، فإنه "يبث" المقبس (socket) إلى الخادم B. يظن الخادم B أنه استقبل اتصالًا جديدًا ويبدأ مصافحة SSL. وهذا يتيح لنا فك تشفير حركة المرور بسلاسة.

2. إسناد العملية (اختراق netstat)

كيف نعرف أي تطبيق يرسل حركة المرور؟ لا تحمل حزم TCP نفسها "معرف عملية" عليها.

• المنافذ المؤقتة: كل اتصال صادر يستخدم منفذًا عاليًا عشوائيًا (مثل 54321).
• الربط: نستدعي الأمر netstat -ano لمعرفة العملية (PID) التي تملك المنفذ 54321.
• التحسين: القيام بذلك لكل حزمة بطيء، لذلك نخزّن النتائج مؤقتًا أو نتحقق فقط عند الحاجة.

3. تفرع التدفقات

نستخدم التدفقات (Streams) في Node.js للتعامل مع البيانات بكفاءة. بدلاً من انتظار اكتمال تنزيل الاستجابة كاملة (10MB) قبل عرضها، نقوم بـ"تفرعة" التدفق:

• الأنبوب 1: يذهب إلى العميل (حتى يستمر التطبيق في العمل).
• الأنبوب 2: يذهب إلى المسجّل (حتى نتمكن من حفظه على القرص). يتم ذلك باستخدام تدفقات PassThrough، مما يتيح المراقبة في الوقت الفعلي مع حد أدنى من زمن الاستجابة الإضافي.

الترخيص

GNU GPL v3.0