EmploLeaks

EmploLeaks هي أداة استخبارات مفتوحة المصدر (OSINT) بواجهة سطر أوامر (CLI)، مصممة لاكتشاف وربط معلومات حول موظفي شركة مستهدفة. تسمح بجمع ملفات تعريف LinkedIn، وتوليد رسائل بريد إلكتروني مؤسسية محتملة، والبحث عن بيانات اعتماد مسربة في قواعد بيانات التسريبات (باستخدام ClickHouse داخليًا)، والتحقق من الخروقات المعروفة عبر HaveIBeenPwned، واكتشاف البنية التحتية للشركة، ووضع ملفات تعريف للموظفين على وسائل التواصل الاجتماعي. يتم تخزين جميع المعلومات محليًا في SQLite لتحليلها لاحقًا.

الميزات

• البحث وتعداد الموظفين من LinkedIn (سكراب باستخدام ملفات تعريف ارتباط الجلسة)
• التوليد التلقائي لرسائل البريد الإلكتروني المؤسسية المحتملة بتنسيقات قابلة للتخصيص
• البحث عن بيانات اعتماد مسربة في قاعدة بيانات ClickHouse الخاصة
• التحقق من الخروقات المعروفة باستخدام واجهة برمجة تطبيقات HaveIBeenPwned
• فحص الأسرار في مستودعات GitHub/GitLab باستخدام gitleaks
• اكتشاف البنية التحتية: تعداد النطاقات الفرعية باستخدام assetfinder + SecurityTrails
• وضع ملفات تعريف على وسائل التواصل الاجتماعي: البحث بالبريد الإلكتروني (Holehe، ~120 منصة) وباسم المستخدم (Maigret، 500+ منصة)
• ماسح Telegram (userbot): خفيّة مستقلة تنضم إلى القنوات المسموح بها في Telegram وتقوم بتنزيل ملفات بيانات الاعتماد تلقائيًا
• محلل تسريبات غير معتمد على النماذج المسبقة بالكامل: لا توجد تعبيرات منتظمة مزروعة. وكيل ذكاء اصطناعي يقترح مخططًا، ويتحقق من صحته بدرجة على العينة، ويتلقى تعليقات بأمثلة عن الأخطاء، ويعيد المحاولة حتى التقارب. يكتشف تلقائيًا UTF-16/UTF-8، لافتات ASCII الفنية، رموز الدولة، سجلات المسربين (Redline/Lumma/Raccoon)، تنسيقات البريد الإلكتروني/اسم المستخدم/الرابط التعسفي
• تخزين محلي لجميع المعلومات في SQLite
• توليد تقارير HTML تفاعلية مع صور الملفات الشخصية
• تصنيف تلقائي للموظفين حسب القسم باستخدام الذكاء الاصطناعي (OpenAI، Ollama، إلخ.)
• تصدير النتائج إلى CSV
• نظام إضافات معياري (LinkedIn، GitHub، HIBP)
• حفظ تلقائي وتحميل تلقائي لتكوين الإضافات
• تطبيق ويب إداري باستخدام FastAPI + Next.js لفرز النتائج

هيكل المشروع```

emploleaks/ ├── emploleaks.py # Script principal (CLI interactiva con cmd2) ├── telegram_sync.py # Daemon userbot de Telegram (Telethon, standalone) ├── requirements.txt # Dependencias de Python ├── README.md ├── .gitignore ├── plugins/ │ ├── linkedin.py # Plugin de LinkedIn (scraping de empleados) │ ├── github.py # Plugin de GitHub (repos, stalk, secrets) │ └── hibp.py # Plugin de HaveIBeenPwned (brechas) ├── utils/ │ ├── logging_format.py # Configuración de logging con colores │ ├── ai_classifier.py # Clasificación de roles con IA (OpenAI/Ollama) │ ├── leak_parser.py # Parser de leaks 100% agéntico (loop de IA, sin regex) │ ├── email_lookup.py # Búsqueda de emails en redes sociales (Holehe) │ ├── profile_lookup.py # Búsqueda de usernames en redes sociales (Maigret) │ └── discovery.py # Enumeración de subdominios (assetfinder + SecurityTrails opcional) ├── clickhouse-docker/ # Docker Compose para levantar ClickHouse │ ├── docker-compose.yml │ └── config/ │ └── users.xml ├── leaks_data/ # Carpeta para archivos de leaks a importar (no en git) ├── config/ # Configuración (autogenerado) │ └── tokens.ini # Tokens y credenciales de plugins (no en git) ├── data/ # Base de datos local (autogenerado) │ └── emploleaks.db # SQLite con toda la información recopilada ├── webapp/ # Webapp administrativa │ ├── backend/ # FastAPI (Python) │ └── frontend/ # Next.js (React/TypeScript) └── logs/ # Archivos de log (autogenerado) └── log.txt

## المتطلبات

- Python 3.10+
- pip
- اتصال بالإنترنت
- **اختياري:** Docker و Docker Compose (لتشغيل ClickHouse محليًا)
- **اختياري:** [gitleaks](https://github.com/gitleaks/gitleaks) (لمسح الأسرار في المستودعات)
- **اختياري:** مفتاح API من [HaveIBeenPwned](https://haveibeenpwned.com/API/Key)
- كوكيز جلسة LinkedIn (`JSESSIONID` و `li_at`) لإضافة LinkedIn

## التثبيت

1. استنساخ المستودع:```bash
git clone https://github.com/yourusername/emploleaks.git
cd emploleaks

2. تثبيت التبعيات:```bash pip install -r requirements.txt

3. (اختياري) تشغيل ClickHouse باستخدام Docker لقاعدة بيانات التسريبات:```bash
cd clickhouse-docker
docker compose up -d
cd ..

الاستخدام

قم بتشغيل الأداة:```bash python emploleaks.py

مع وضع debug:```bash
python emploleaks.py -d

الأوامر العامة

إدارة الشركات

إدارة الإضافات

الاتصال بقاعدة بيانات التسريبات (ClickHouse)

يتم تكوين الاتصال بـ ClickHouse في config/tokens.ini:```ini [clickhouse] host = localhost port = 9000 user = default passwd = dbname = credentials_db

إذا تم تكوين ClickHouse في `tokens.ini`، يتم إنشاء الاتصال تلقائيًا عند بدء التشغيل.

### البحث عن بيانات الاعتماد والانتهاكات

| الأمر | الوصف |
|---------|-------------|
| `find_passwords <modo>` | يبحث عن بيانات الاعتماد في ClickHouse + [ProxyNova COMB](https://www.proxynova.com/tools/comb/) (3.2 مليار بيانات اعتماد). الأوضاع: `find_all`, `only_usernames`, `only_emails` |
| `find_passwords <modo> --no-proxynova` | يبحث فقط في ClickHouse المحلي |
| `find_passwords <modo> --no-clickhouse` | يبحث فقط في ProxyNova COMB (لا يتطلب ClickHouse) |
| `find_passwords <modo> --email <email>` | يبحث عن بيانات اعتماد لبريد إلكتروني معين |
| `find_breaches` | يبحث عن الانتهاكات في HIBP لجميع رسائل البريد الإلكتروني الخاصة بالشركة (يتطلب إضافة `hibp` نشطة) |

**ProxyNova COMB** هي قاعدة بيانات عامة تحتوي على 3.2 مليار بيانات اعتماد مسربة (Combination Of Many Breaches). لا تتطلب مفتاح API ويتم استعلامها تلقائيًا في كل بحث. استخدم `--no-proxynova` لتعطيلها.

### اكتشاف البنية التحتية

| الأمر | الوصف |
|---------|-------------|
| `add_domain <dominio>` | يربط نطاقًا بالشركة المحددة (مثال: `add_domain faradaysec.com`) |
| `discover` | ينفذ تعداد النطاقات الفرعية ضد جميع نطاقات الشركة باستخدام `assetfinder` (+ SecurityTrails اختياري)، مع حل DNS |
| `print --data domains` | يعرض النطاقات المسجلة وعدد النطاقات الفرعية المكتشفة |
| `print --data subdomains` | يعرض جميع النطاقات الفرعية مع عنوان IP والمصدر وتاريخ الاكتشاف |

وحدة الاكتشاف تفوض التعداد السلبي إلى [`assetfinder`](https://github.com/tomnomnom/assetfinder)، الذي يجمع داخليًا نتائج من crt.sh و HackerTarget و BufferOver ومصادر أخرى بدون مفتاح API. يُتوقع وجود الثنائي في `$PATH` (التثبيت: `go install github.com/tomnomnom/assetfinder@latest`).

اختياريًا، إذا قمت بتكوين مفتاح API لـ SecurityTrails، يتم دمج النطاقات الفرعية الخاصة به مع نتائج assetfinder:```ini
[discovery]
# securitytrails_key = your_key_here

التنميط في شبكات التواصل الاجتماعي

Holehe (البحث عن البريد الإلكتروني): يستخدم تقنية "نسيت كلمة المرور" لتحديد ما إذا كان بريد إلكتروني مسجلاً في كل منصة، دون تنبيه المالك. يتم تكوين المنصات في tokens.ini:```ini [holehe] platforms = google, discord, github, instagram, twitter, spotify, ...

**Maigret (البحث عن اسم المستخدم):** يبحث عما إذا كان اسم المستخدم موجودًا في أكثر من 500 منصة تواصل اجتماعي. يتم إضافة أسماء المستخدمين يدويًا بواسطة موظف من webapp. يتم تصفية المنصات اختياريًا في `tokens.ini`:```ini
[maigret]
# platforms = instagram, twitter, facebook, tiktok, reddit, github

العرض والتصدير

إعداد الذكاء الاصطناعي والتصنيف

يقوم تصنيف الذكاء الاصطناعي بتحليل المسميات/الأدوار الوظيفية للموظفين وتجميعهم حسب القسم (Engineering، Security، Sales، إلخ). يتم حفظ الأقسام في SQLite وتكون مرئية في تقرير HTML وفي تطبيق الويب.

المزودون المدعومون (أي واجهة برمجة تطبيقات متوافقة مع OpenAI):

• Ollama (محلي، افتراضيًا): set_ai --endpoint http://localhost:11434/v1 --model llama3
• OpenAI: set_ai --endpoint https://api.openai.com/v1 --key sk-... --model gpt-4o-mini
• أي مزود آخر متوافق: LM Studio، Together AI، إلخ.

Telegram Scraper (Userbot)

دايمون مستقل يستخدم حساب تلغرام شخصي (عبر Telethon) للانضمام إلى القنوات/المجموعات المعتمدة، وتنزيل الملفات .txt/.csv/.dat/.zip/.gz ووضعها في leaks_data/telegram/<chat>/. يقوم import_leaks اللاحق بابتلاعها إلى ClickHouse باستخدام المحلل الموكَّل (agentic parser). مفصول عن واجهة الأوامر — يعمل كعملية منفصلة، بحيث يمكنه البقاء 24/7 دون الحاجة لواجهة الأوامر.

الإعداد الأولي (مرة واحدة):

1. أنشئ تطبيقًا على https://my.telegram.org/apps للحصول على api_id و api_hash.
2. أضف إلى config/tokens.ini: ```ini [telegram] api_id = 12345678 api_hash = abcd1234... session = config/telegram.session download_root = leaks_data/telegram allowed_extensions = txt, csv, dat, zip, gz default_backfill_limit = 10
   root@kitploit:~

3. تسجيل الدخول التفاعلي (يطلب منك رقمك، رمز التطبيق، اختياريًا التحقق بخطوتين): ```bash python3.13 telegram_sync.py login
   root@kitploit:~

الأوامر الفرعية:

جداول جديدة في data/emploleaks.db:

خادم خلفي (Daemon):```bash nohup python3.13 telegram_sync.py run --watch >> logs/telegram.log 2>&1 & echo $! > /tmp/telegram_daemon.pid

Para parar:

kill $(cat /tmp/telegram_daemon.pid)

---

### محلل التسريبات 100% وكيل ذكي

الوحدة `utils/leak_parser.py` تستخدم **عامل ذكاء اصطناعي فقط** لتحليل كل ملف. لا توجد تعبيرات منتظمة مكتوبة بشكل ثابت (تم إزالتها لأن كل تنسيق جديد كان يُدخل أخطاء دقيقة في الاستخراج).

**سير عمل العامل:**```
1. Auto-detectar encoding (BOM sniffing): utf-8 / utf-8-sig / utf-16 / utf-32.
2. Sampling inteligente: tomar las primeras 80 líneas que parezcan credenciales
   (con separadores típicos, alfanumérico >50%) — skipea banners ASCII art.
3. La IA recibe 50 líneas + system prompt con familias comunes de formato y
   propone {separator, fields, skip_lines}.
4. Aplicamos el schema a la muestra SIN filtros → list of tuples.
5. Validamos con _is_clean_credential → score = % rows válidas.
6. Si score ≥ 0.8 y ≥ 5 rows → aplicar al archivo completo.
7. Si no → mandar al agente la (source_line ↔ extracción mala) en pares,
   más checklist de errores típicos. Goto 3.
8. Hasta 7 iteraciones. Si no converge a 0.8: fallback al mejor schema si
   alcanzó ≥ 0.7. Bajo eso → skip con warning (nunca ingerimos basura).

_is_clean_credential — التحقق الشامل:

• اسم المستخدم: الطول 1-64، بدون / : \ space، لا يبدأ بـ http/android/ftp//.
• كلمة المرور: الطول 1-256، بدون /، حد أقصى : واحد، بدون مسافات بيضاء، لا تبدأ ببادئة URL.

الحتمية: temperature=0 في جميع الاستدعاءات + تخزين مؤقت في الذاكرة ضمن نفس التشغيل. نفس الملف ينتج نفس المخطط عبر التشغيلات → import_leaks هو عديم الأثر الجانبي.

التكلفة النموذجية: 1-3 استدعاءات API لكل ملف، ~$0.0001-$0.0005 باستخدام gpt-4o-mini. لـ 12 ملفًا: ~$0.005 = نصف سنت.

تطبيق الويب الإداري

يسمح تطبيق الويب بـ:

• لوحة القيادة مع إحصائيات ونتائج رئيسية وإجراءات سريعة
• إدارة الموظفين بأقسام قابلة للطي حسب القسم والسحب والإفلات
• Connected Accounts: عرض الملفات الشخصية على وسائل التواصل الاجتماعي، البحث بالبريد الإلكتروني (Holehe) وباسم المستخدم (Maigret)
• Discovery: إدارة النطاقات، تشغيل تعداد النطاقات الفرعية، عرض النتائج مع IP والمصدر
• فرز بيانات الاعتماد والأسرار (وضع علامة كموثوق، لا يعمل، إيجابية كاذبة)
• تحرير البريد الإلكتروني وأسماء المستخدمين لكل موظف (إضافة، تعديل، حذف)
• التصنيف باستخدام الذكاء الاصطناعي من الواجهة

الإضافات

LinkedIn

يسمح بالبحث عن موظفي شركة على LinkedIn باستخدام ملفات تعريف الارتباط لجلسة المتصفح، وإنشاء رسائل بريد إلكتروني مؤسسية محتملة. يلتقط تلقائيًا شعار الشركة.

الخيارات:

الأوامر المتاحة داخل الإضافة:

صيغ البريد الإلكتروني المتاحة:

• افتراضيًا: f_last (مثال: [email protected]) و f.last (مثال: [email protected])
• مخصص باستخدام --email-format: استخدم العناصر النائبة {n} (الحرف الأول من الاسم)، {s} (اسم العائلة)، {name} (الاسم الكامل)، {l} (الحرف الأول من اسم العائلة)
  • مثال: --email-format {n}.{s} ينتج [email protected]

مثال كامل:``` emploleaks> add_company --name miempresa emploleaks> select_company --name miempresa emploleaks(miempresa)> use --plugin linkedin emploleaks(miempresa)(linkedin)> setopt JSESSIONID JSESSIONID: emploleaks(miempresa)(linkedin)> setopt li-at li-at: emploleaks(miempresa)(linkedin)> run impersonate emploleaks(miempresa)(linkedin)> run find miempresa miempresa.com --email-format {n}.{s}

### GitHub

يتيح الحصول على معلومات من ملفات تعريف GitHub، وسرد المستودعات، وفحص الأسرار في المستودعات باستخدام gitleaks.

**الخيارات:**

| الخيار | الوصف |
|--------|-------|
| `token` | رمز الوصول الشخصي لـ GitHub |
| `blur` | إخفاء الرمز عند عرضه |
| `gitleaks_path` | المسار إلى ثنائي gitleaks (الافتراضي: `gitleaks` في PATH) |
| `max_repo_size` | الحجم الأقصى للمستودع المراد تحليله بالميغابايت (الافتراضي: `15`) |

**الأوامر المتاحة داخل الإضافة:**

| الأمر | الوصف |
|-------|-------|
| `run stalk <username>` | الحصول على البريد الإلكتروني لحساب GitHub |
| `run get_repos <username>` | سرد المستودعات العامة لمستخدم |
| `run find_secrets` | فحص الأسرار في مستودعات موظفي الشركة |
| `run find_secrets --download-all` | نفسه ولكن بدون حد للحجم |

**مثال كامل:**```
emploleaks(miempresa)> use --plugin github
emploleaks(miempresa)(github)> setopt token ghp_xxxxxxxxxxxx
emploleaks(miempresa)(github)> run find_secrets
emploleaks(miempresa)(github)> print --data secrets

HaveIBeenPwned (HIBP)

يتحقق مما إذا كانت رسائل البريد الإلكتروني للشركة تظهر في الثغرات المعروفة باستخدام واجهة برمجة تطبيقات HIBP.

الخيارات:

الأوامر المتاحة داخل الملحق:

مثال كامل:``` emploleaks(miempresa)> use --plugin hibp emploleaks(miempresa)(hibp)> setopt apikey <tu_api_key> emploleaks(miempresa)(hibp)> find_breaches emploleaks(miempresa)(hibp)> print --data breaches

---

## قاعدة بيانات التسريبات (ClickHouse)

يمكن لـ EmploLeaks الاتصال بقاعدة بيانات ClickHouse خاصة به تحتوي على بيانات اعتماد مسربة للبحث عن كلمات مرور مرتبطة بعناوين البريد الإلكتروني/أسماء المستخدمين للموظفين المكتشفين.

### تشغيل ClickHouse باستخدام Docker```bash
cd clickhouse-docker
docker compose up -d

هذا يعرض ClickHouse على:

• المنفذ 9000 (بروتوكول TCP الأصلي)
• المنفذ 8123 (واجهة HTTP)

المجلد leaks_data/ يتم تركيبه كوحدة تخزين للقراءة فقط داخل الحاوية.

استيراد بيانات الاعتماد

1. ضع ملفات التسريبات الخاصة بك (.txt, .csv, .dat, .zip, .gz) في المجلد leaks_data/.
2. قم بتنفيذ أمر الاستيراد:``` emploleaks> import_leaks

يقوم المحلل باكتشاف التنسيقات الأكثر شيوعًا تلقائيًا:
- `email:password`
- `email:password:url`
- `email;password`
- `email|password`
- `url,email,password`

للتنسيقات غير المعروفة، يستخدم الذكاء الاصطناعي المُهيأ (OpenAI/Ollama) لتحليل عينة من الملف وتحديد كيفية تحليله. استخدم `--no-ai` لتخطي الكشف باستخدام الذكاء الاصطناعي.

يتم فك ضغط ملفات `.zip` و `.gz` تلقائيًا قبل التحليل.

### البحث عن بيانات الاعتماد```
emploleaks(miempresa)> find_passwords only_emails
emploleaks(miempresa)> find_passwords find_all
emploleaks(miempresa)> print --data passwords

إذا تم تكوين ClickHouse في tokens.ini، فإن الاتصال يكون تلقائيًا عند بدء تشغيل الأداة.

هيكل جدول credentials في ClickHouse

هيكل قاعدة البيانات المحلية (SQLite)

سير العمل النموذجي```

1. python emploleaks.py

Gestión de empresa

2. add_company --name target_corp
3. select_company --name target_corp

Scraping de LinkedIn (captura empleados + logo de empresa)

4. use --plugin linkedin
5. setopt JSESSIONID
6. setopt li-at
7. run impersonate
8. run find target_corp targetcorp.com --email-format {n}.{s}
9. print --data emails

Discovery de infraestructura

10. add_domain targetcorp.com
11. discover
12. print --data subdomains

Credenciales filtradas (ClickHouse se conecta automáticamente desde config)

13. find_passwords only_emails

Brechas conocidas

14. use --plugin hibp
15. setopt apikey <hibp_key>
16. find_breaches

Secretos en repositorios

17. use --plugin github
18. setopt token <github_token>
19. run find_secrets

Profiling en redes sociales (por email)

20. deactivate
21. lookup_emails

Profiling en redes sociales (por username, requiere cargar usernames en webapp)

22. lookup_profiles

Clasificación por departamento

23. classify

Reportes y exportación

24. print --data all --export
25. print --data all --html --ai

Webapp para triage interactivo

26. python emploleaks.py --webapp

Telegram scraper (proceso aparte, en otra terminal)

27. python3.13 telegram_sync.py login # one-time
28. python3.13 telegram_sync.py list_groups
29. python3.13 telegram_sync.py approve <chat_id> --limit 5
30. python3.13 telegram_sync.py run --watch # daemon en watch

Archivos van a leaks_data/telegram/... → re-ejecutar import_leaks los absorbe.

## إخلاء مسؤولية

هذه الأداة مصممة فقط للأغراض التعليمية، والبحث الأمني، واختبارات الاختراق المصرح بها. استخدام هذه الأداة لأغراض ضارة أو غير مصرح بها ممنوع تمامًا. المستخدمون مسؤولون عن الامتثال لجميع القوانين وشروط خدمة المشروع.