in3tinct/see-surfأداة أمان للعثور على معاملات Server Side Request Forgery (SSRF) التي قد تكون عرضة للخطر.
ماسح أمني (مدعوم الآن بالذكاء الاصطناعي 🤖) للعثور على معاملات تزوير الطلبات من جانب الخادم (SSRF) المحتملة في تطبيق الويب الخاص بك. لا يساعدك See-SURF فقط في اكتشاف معاملات SSRF المحتملة بل يساعدك أيضًا في التحقق من صحتها، مما يحمي تطبيقك من اختراق بيانات النظام والمستخدم.
يرجى الاستشهاد، إذا كنت تستخدم هذا البرنامج في أوراقك البحثية، مقالاتك، إلخ.
@software{Agrawal_See-SURF_Detect_SSRF_2019,
author = {Agrawal, Vaibhav},
month = jul,
title = {{See-SURF: Detect SSRF security vulnerability}},
url = {https://github.com/In3tinct/See-SURF},
version = {2.0.0},
year = {2019}
}
الاستطلاع الآلي: زاحف متعدد الخيوط يقوم بجمع وتحليل البيانات لتحديد معاملات SSRF المحتملة باستخدام مطابقة تعبيرات منتظمة قوية (مثل مطابقة الكلمات المفتاحية مثل url أو website أو عناوين IP). يدعم المصادقة المستندة إلى ملفات تعريف الارتباط لفحص نقاط النهاية خلف صفحات تسجيل الدخول.
التكامل مع Burp Suite: يقوم بتحليل خرائط مواقع Burp Suite (.xml) بسلاسة لاكتشاف نطاق أوسع من المعاملات قبل الزحف.
التحقق والاستغلال: ميزة التكامل الجديد للذكاء الاصطناعي تتضمن الكشف المدعوم بالذكاء الاصطناعي عبر مزودين مثل Google Gemini وOpenAI من خلال تحليل رؤوس الاستجابة وتوليد حمولات مخصصة، وآلية محورية ذكية لاستهداف الخدمات الداخلية مثل AWS Metadata، والتحقق الآلي من الثغرات لتأكيد تسرب البيانات الحساسة (لـ SSRF المنعكس/غير الأعمى).
للكشف عن SSRF الأعمى، تم دمج الكشف خارج النطاق (OOB) باستخدام Webhook.site (افتراضيًا) أو نطاق يوفره المستخدم لتحديد الثغرات حيث لا يعود الخادم باستجابة مباشرة.
git clone https://github.com/In3tinct/See-SURF.git
cd See-SURF/
pip3 install -r requirements.txt
python3 see-surf.py -H https://www.target.com
# باستخدام Google Gemini
python3 see-surf.py -H http://vulnerable-site.com -p google -m gemini-1.5-flash --api-key YOUR_KEY
# باستخدام OpenAI GPT-4
python3 see-surf.py -H http://vulnerable-site.com -p openai -m gpt-4 -a YOUR_KEY
# باستخدام Ollama المحلي
python3 see-surf.py -H http://vulnerable-site.com -p ollama -m llama3
python3 see-surf.py -H https://www.target.com -c "cookie_name1=value1 cookie_name2=value2"
python3 see-surf.py -H https://www.google.com -c cookie_name1=value1 cookie_name2=value2 -b burp_file.xml
-H اسم المضيف/عنوان IP للمسح
-c ملفات تعريف الارتباط للمسح الموثّق، مفصولة بمسافة (بعض المواقع تستخدم عدة ملفات تعريف ارتباط لتتبع الجلسة)
-p مزود الذكاء الاصطناعي: ollama (للاستدلال المحلي)، gemini، OpenAI chatgpt، Anthropic claude
-m اسم النموذج المحدد (مثل gemini-1.5-flash, gpt-4o, llama3).
-a مفتاح API للمزود المحدد (يمكن أيضًا تعيينه كمتغير بيئة API_KEY).
-e لاختبار طلب OOBE الخاص بـ Blind-SSRF باستخدام نطاق خارجي مخصص بالتنسيق http://google.com، وإلا سيتم استخدام webhook.site افتراضيًا.
-b (اختياري ولكن موصى به) - قم بتصفح الطلب باستخدام خريطة موقع burpsuite، قم بتصدير ملف خريطة الموقع وأعطه إلى see-surf كمدخل (تحقق من الميزات التفصيلية حول كيفية القيام بذلك).
-v (اختياري) افتراضيًا، يكون الوضع العادي قيد التشغيل، مع تبديل المفصل سترى نفس المعامل الضعيف في نقاط نهاية مختلفة. قد لا يتم تعقيم نفس المعامل في جميع الأماكن. لكن الوضع المفصل يولد الكثير من الضوضاء.
[-] مفتاح -b تظهر خريطة موقع Burp المعلومات التي يجمعها Burp أثناء استكشافك لتطبيق الهدف مثل عناوين URL التي تم جمعها إلخ. قدم ملفات خريطة موقع burp لاكتشاف أفضل لمعاملات SSRF المحتملة. سيقوم البرنامج النصي أولاً بتحليل ملف burp ومحاولة تحديد المعاملات المحتملة ثم تشغيل الزاحف المدمج عليه
تصفح الهدف مع تشغيل burpsuite في الخلفية، قم ببعض طلبات GET/POST، كلما زاد كان أفضل. ثم اذهب إلى target، انقر بزر الماوس الأيمن -> "Save selected Items" واحفظه. قدمه للبرنامج النصي على النحو التالي.
الاكتشاف: يقوم البرنامج النصي بالزحف إلى الهدف بحثًا عن روابط <a> ومدخلات <form>، أو يقوم بتحليل ملف خريطة موقع Burp.
مطابقة المعاملات: يبحث عن كلمات مفتاحية في أسماء المعاملات (مثل url, redirect, dest) أو أنماط عناوين URL في القيم.
فحص Canary (غير أعمى): يحاول أولاً جلب http://example.com. إذا تم العثور على توقيع "Example Domain" في الاستجابة، فإنه يثير احتمال SSRF منعكس/غير أعمى.
البصمات والاستغلال بالذكاء الاصطناعي (غير أعمى): إذا تم تمكين الذكاء الاصطناعي، فإنه يحلل رؤوس الخادم ومكدس التكنولوجيا ويولد حمولات داخلية محددة (AWS، إلخ).
التحقق (غير أعمى): يراجع الذكاء الاصطناعي نتيجة استجابة الهجوم للتحقق مما إذا كانت البيانات المعادة حساسة أو داخلية بالفعل، مما يقلل من النتائج الإيجابية الكاذبة.
فحص OOBE (أعمى): لكل معامل محتمل، يولد حمولة فريدة من Webhook.site. ثم يستطلع واجهة برمجة تطبيقات Webhook للتأكيد على أن الخادم الهدف قام بطلب خارجي.
استخدم See-SURF لمسح الأهداف بموافقة متبادلة مسبقة. المستخدم النهائي هو المسؤول والمطور لا يتحمل أي مسؤولية ولا يكون مسؤولاً عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. استخدم هذه الأداة فقط للأغراض التعليمية أو على النطاقات التي لديك إذن صريح لاختبارها. استخدمها على مسؤوليتك الخاصة.
GNUV3 © [In3tinct]