VULNRΞPO - مولد تقارير الثغرات ومستودعها

مدير تقارير الثغرات من جانب العميل (client-side) يُعطي الأولوية للخصوصية لمحترفي الأمن. جميع البيانات مشفرة ومخزنة محليًا في متصفحك — لا يُرسل شيء إلى أي خادم افتراضيًا.

التطبيق المباشر: https://vulnrepo.com/ | فرع التطوير: https://dev.vulnrepo.com/

شرح فيديو / برنامج تعليمي:

جدول المحتويات

• المميزات
• نموذج الأمان
• مصادر الاستيراد المدعومة
• صيغ تصدير التقارير
• أدوات المنهجية
• التكامل مع الذكاء الاصطناعي / LLM
• بدء الاستخدام
  • المتطلبات الأساسية
  • خادم التطوير
  • بناء الإنتاج
  • Docker
• هيكل المشروع
• التكامل مع API
• دعم المتصفحات
• المساهمة
• الترخيص

المميزات

• التشفير من جانب العميل — يتم تشفير التقارير في المتصفح قبل التخزين؛ لا حاجة لواجهة خلفية
• قوالب الثغرات — إنشاء قوالب ثغرات مخصصة وإعادة استخدامها؛ استيراد من CVE وCWE وMITRE ATT&CK وPCI DSS
• استيراد من الماسحات الضوئية — استيراد النتائج مباشرة من أدوات الأمن الشائعة (انظر مصادر الاستيراد المدعومة)
• صيغ تصدير متعددة — TXT وHTML وDOCX؛ إنشاء PDF عبر طباعة المتصفح
• تصدير HTML مشفر — مشاركة تقرير HTML مشفر بـ AES ومكتفي ذاتيًا
• مرفقات الملفات — إرفاق لقطات شاشة أو مخرجات أدوات أو أي ملف؛ يتم حساب SHA-256 تلقائيًا
• سجل التغييرات — يتم إصدار وتسجيل جميع تغييرات التقرير المهمة تلقائيًا
• تصدير الثغرات — تصدير الثغرات إلى Atlassian Jira أو كملف مشفر محمول
• مشاركة التقرير — مشاركة تقرير كامل مشفر مع المتعاونين
• ملفات تعريف التقارير — حفظ إعدادات تقرير قابلة لإعادة الاستخدام (الشعار، معلومات الباحث، السمة، CSS)
• تخصيص القالب — تحرير قالب تقرير HTML وCSS مباشرة في التطبيق
• أدوات المنهجية — قوائم تدقيق مدمجة لـ OWASP ASVS 4 وPCI DSS 4 ومنهجية صائد الثغرات (TBHM)
• بحث CVE — الاستعلام عن قاعدة بيانات NIST NVD وسحب تفاصيل CVE إلى تقريرك
• تاريخ التقرير — لقطات زمنية مرقمة تلقائيًا لكل حفظ
• دمج الثغرات — دمج الثغرات المكررة أو المرتبطة
• فلتر متقدم — تصفية وبحث الثغرات حسب الخطورة والحالة والوسوم وCVE وCVSS والمزيد
• قائمة مكافآت الثغرات — قائمة مرجعية لبرامج مكافآت الثغرات
• التكامل مع الذكاء الاصطناعي / LLM — توصيل نموذج Ollama محلي للمساعدة في كتابة التقارير (انظر التكامل مع AI / LLM)
• واجهة خلفية اختيارية — تخزين التقارير المشفرة على خادمك الخاص عبر REST API (انظر التكامل مع API)

نموذج الأمان

يستخدم VULNRΞPO التشفير الأصلي للمتصفح حصريًا:

عمر المفتاح والقفل التلقائي

يتم الاحتفاظ بكلمات مرور فك التشفير في خزانة ذاكرة قصيرة العمر (KeyVaultService) يتم مسحها تلقائيًا عند حدوث أي مما يلي:

• إخفاء علامة التبويب — تفقد علامة تبويب المتصفح التركيز أو يتم التبديل عنها (حدث visibilitychange)
• إغلاق علامة التبويب / إعادة تحميل الصفحة — أحداث pagehide وbeforeunload
• عدم النشاط — 15 دقيقة بدون إدخال لوحة مفاتيح أو فأرة أو لمس

بعد مسح الخزانة، تؤدي إعادة فتح التقرير إلى المطالبة بكلمة المرور مرة أخرى. لا تتم كتابة أي مادة مفتاحية مطلقًا إلى sessionStorage أو localStorage أو ملفات تعريف الارتباط أو أي تخزين متصفح دائم آخر.

يتم اكتشاف التقارير المشفرة بإصدارات أقدم من التطبيق (تنسيق CryptoJS AES القديم) تلقائيًا وفك تشفيرها للتوافق مع الإصدارات السابقة.

هام: لا توجد استعادة للمفتاح من جانب الخادم. إذا فقدت مفتاح الأمان الخاص بك، لا يمكن استرداد بيانات التقرير.

مصادر الاستيراد المدعومة

صيغ تصدير التقارير

أدوات المنهجية

قوائم التدقيق التفاعلية التالية متاحة من الشريط الجانبي:

• OWASP ASVS 4 — معيار التحقق من أمان التطبيقات
• PCI DSS 4 — معيار أمان بيانات صناعة بطاقات الدفع
• TBHM — منهجية صائد الثغرات

استخدمها أثناء التقييم لضمان عدم تفويت أي شيء قبل الانتهاء من التقرير.

التكامل مع الذكاء الاصطناعي / LLM

يتكامل VULNRΞPO مع Ollama لتوفير كتابة تقارير مدعومة بالذكاء الاصطناعي باستخدام نموذج مستضاف محليًا. لا يتم إرسال أي بيانات إلى أي خدمة سحابية.

الإعداد:

1. قم بتثبيت Ollama من ollama.com.
2. اسحب وقم بتشغيل نموذج:
   root@kitploit:~

   ollama run llama3.2:latest
   

3. اسمح لأصل VULNRΞPO بالوصول إلى Ollama. إذا كنت تستخدم التطبيق المستضاف، قم بتعيين متغير البيئة قبل بدء Ollama:
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. في VULNRΞPO، افتح إعدادات AI (أيقونة الروبوت في شريط أدوات التقرير)، أدخل عنوان Ollama الخاص بك (http://localhost:11434 افتراضيًا)، حدد نموذجًا، واحفظ.

بدء الاستخدام

المتطلبات الأساسية

• Node.js الإصدار 18 أو أحدث
• Angular CLI الإصدار 22:
  root@kitploit:~

  npm install -g @angular/cli
  

خادم التطوير

# تثبيت التبعيات
npm install

# تشغيل خادم التطوير
npm start
# أو
ng serve

انتقل إلى http://localhost:4200/. يتم إعادة تحميل التطبيق تلقائيًا عند تغيير ملفات المصدر.

بناء الإنتاج

ng build -c production

يتم كتابة مخرجات البناء إلى dist/vulnrepo-app/. انشر محتويات هذا الدليل على أي مضيف ويب ثابت أو CDN.

Docker

صورة Docker الرسمية متاحة على Docker Hub:

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

راجع صفحة الصورة للحصول على التوثيق الكامل: https://hub.docker.com/r/kac89/vulnrepo

هيكل المشروع

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # مكون محرر التقرير الأساسي
│   │   ├── myreports/                # قائمة التقارير / لوحة التحكم
│   │   ├── newreport/                # معالج إنشاء تقرير
│   │   ├── import-report/            # استيراد ملف تقرير مشفر
│   │   ├── templates-list/           # مدير قوالب الثغرات
│   │   ├── settings/                 # إعدادات التطبيق (الملفات الشخصية، خزينة API)
│   │   ├── asvs/                     # قائمة تدقيق OWASP ASVS 4
│   │   ├── pcidss4/                  # قائمة تدقيق PCI DSS 4
│   │   ├── tbhm/                     # قائمة تدقيق منهجية صائد الثغرات
│   │   ├── cve-search/               # بحث CVE من NVD
│   │   ├── bb-list/                  # قائمة برامج مكافآت الثغرات
│   │   ├── faq/                      # صفحة الأسئلة الشائعة داخل التطبيق
│   │   ├── crypto-utils.service.ts   # خدمة تشفير PBKDF2 + AES-GCM
│   │   ├── indexeddb.service.ts      # خدمة التخزين المحلي (IndexedDB)
│   │   ├── api.service.ts            # خدمة API الخلفية الاختيارية
│   │   ├── ollama-service.service.ts # خدمة تكامل Ollama LLM
│   │   └── dialog-*/                 # حوارات مشروطة (إضافة ثغرة، استيراد، تصدير، …)
│   ├── assets/                       # الأصول الثابتة، شعارات البائعين
│   └── environments/                 # إعدادات البيئة
├── dist/                             # مخرجات بناء الإنتاج
├── API-INTEGRATION.md                # مرجع API الخلفية
├── SECURITY.md                       # سياسة الإبلاغ عن الثغرات الأمنية
├── angular.json
└── package.json

التكامل مع API

يمكن لـ VULNRΞPO تخزين التقارير المشفرة اختياريًا على خادمك الخلفي الخاص. API هي واجهة HTTP بسيطة مع نظام مصادقة قائم على رأس مخصص.

راجع API-INTEGRATION.md للحصول على مرجع API الكامل.

يتوفر مثال لتنفيذ الخادم على: https://github.com/kac89/vulnrepo-server

دعم المتصفحات

يتطلب VULNRΞPO متصفحًا حديثًا يدعم IndexedDB وWeb Crypto API. لا يعمل في وضع التصفح الخاص (تحجب معظم المتصفحات IndexedDB في هذا الوضع).

تم اختباره ودعمه:

• Google Chrome (الأحدث)
• Mozilla Firefox (الأحدث)
• Microsoft Edge (Chromium، الأحدث)
• Safari على iOS (الأحدث)
• Chrome على Android (الأحدث)

المساهمة

1. انسخ (fork) المستودع وأنشئ فرع ميزة من dev.
2. أجرِ تغييراتك وتأكد من أن التطبيق يبني دون أخطاء (ng build).
3. قدم طلب سحب (pull request) ضد فرع dev.

للإبلاغ عن ثغرة أمنية، راجع SECURITY.md.

الترخيص

تم إصدار VULNRΞPO بموجب رخصة Apache 2.0.