DynAST-Bench

معيار DAST لتطبيقات ضعيفة عمدًا مع مفاتيح إجابة مرجعية لتقييم أدوات فحص الأمان.

⚠️ يحتوي هذا المستودع على تطبيقات غير آمنة عمدًا. وهي موجودة فقط لتقييم أدوات الأمان - ماسحات DAST، ومحركات SAST، ووكلاء الأمان المعتمدين على LLM. كل تطبيق يرتبط بـ 127.0.0.1، ويعرض لافتة تحذيرية صارخة، ولا يحتوي على أي بيانات حقيقية. لا تنشر أيًا من هذا على شبكة عامة أبدًا.

مجموعة من 19 تطبيقًا ضعيفًا عمدًا، واحد لكل حزمة تقنية، ولكل منها حقيقة مرجعية موثقة وقابلة للتحقق آليًا. الهدف هو قياس مدى جودة قدرة الماسح أو الوكيل على (أ) اكتشاف الأخطاء المزروعة، (ب) تجاهل الكود الآمن القريب منها، و(ج) عدم اختلاق نتائج على النسخة المُصلَّحة.

التطبيقات في لمحة

19 تطبيقًا · 559 ثغرة مزروعة · 155 حالة قريبة من الخطأ · 556 PoC قابلة للتشغيل · 634 نقطة نهاية مفهرسة. كل تطبيق يبدأ على 127.0.0.1:13311، ويأتي مع زوج توأم vuln/+safe/ وبناء --solo بصورة واحدة. الأمر dynast-bench list يطبع هذا الجدول مباشرةً؛ والأمر dynast-bench surface <app> يطبع فهرس نقاط النهاية الخاص به.

التطبيق	الحزمة التقنية	مخزن البيانات	الثغرات	قريب من الخطأ	الوثائق
aspnet	C# / ASP.NET Core Razor Pages	SQL Server	28	12	plan
fastapi	Python / FastAPI + Jinja2	Postgres	26	5	plan
gin	Go / Gin	Postgres	17	12	readme
golang	Go / chi	Postgres	26	4	plan
graphql	Node / GraphQL 16 API-only	Postgres	31	6	plan
jsp	Java / JSP + Servlets (Tomcat)	Postgres	28	6	plan
laravel	PHP 8.3 / Laravel 11 + Blade	MySQL	25	7	plan
llmagent	Node / Fastify + AI SDK + MCP	Postgres	29	8	plan
llmchat	Python / FastAPI + LangChain RAG	Postgres+pgvector	30	9	plan
nestjs	Node / NestJS + Handlebars	Postgres	23	6	plan
network	نطاق شبكة متعدد المضيفين محاكى	أسطول مختلط	32	5	plan
nextjs	Node / Next.js 15 (التنفيذ المرجعي)	Postgres	40	19	plan
php	PHP / LAMP إجرائي	MySQL	21	5	plan
rails	Ruby / Rails 7.2	Postgres	26	6	plan
springboot	Java / Spring Boot + Thymeleaf	Postgres	30	4	plan
swagger	OpenAPI / Swagger UI + تحميل المواصفات	Postgres	19	5	plan
websocket	Node 22 / ws + Socket.IO في الوقت الفعلي	Postgres	28	6	plan
weirdproxy	nginx + Apache + Traefik عبر أصل واحد	لا شيء	16	4	plan
wordpress	PHP / WordPress + إضافة مخصصة	MySQL	28	6	plan

توجد حاويات جانبية إضافية لكل حزمة تقنية (Mailpit، MinIO، Redis، Jenkins، Prometheus، Ollama، …) مدرجة في التطبيقات أدناه.

وثائق التصميم لكل حزمة تقنية موجودة في benchmark-plans/ - ابدأ من هناك للحصول على فهرس الثغرات الكامل لكل تطبيق. هذا الملف التمهيدي هو الدليل التشغيلي: كيفية تنظيم المستودع وكيفية تشغيل تطبيق وتقييمه.

فئات الثغرات المشمولة

كل خطأ مزروع يحمل CWE وفئة OWASP. عند التجميع حسب الفئة - يُحتسب كل خطأ مرة واحدة، تحت CWE الأساسي الخاص به - تتوزع الأخطاء المزروعة تقريبًا كما يلي (آخر إعادة توليد للتجميع كانت عند 480 خطأً؛ الأعداد لكل تطبيق أعلاه محدّثة):