kamalx06/xxeripperماسح XXE للصندوق الأسود يكتشف الحقن داخل النطاق، والقائم على الأخطاء، والأعمى خارج النطاق عبر وضع خطوط أساس إحصائية، وبصمات المحللات، وتأكيد OOB، مع إخراج SARIF.
ماسح XML External Entity (XXE) مستقل، أسود الصندوق، لمتخصصي الأمن.
يكتشف XXERipper ثغرات XXE من نوع in-band وerror-based وblind out-of-band عبر أكثر من 30 عائلة من تقنيات الهجوم. فهو يجمع بين وضع خطوط أساس إحصائية، والبصمة التفاضلية للمحللات (parsers)، والتأكيد خارج النطاق عبر interactsh-client (يدويًا أو تلقائيًا)، ووحدة تحكم قائمة على المتصفح، وترميز تجاوز WAF، واكتشاف سلسلة الاستغلال من البداية إلى النهاية، واستخراج بيانات الاعتماد مع مقتطفات shell جاهزة للصق، ونتائج مرتبطة بـ CWE، ومخرجات JSON / SARIF / HTML لأغراض CI/CD وإعداد التقارير.
XXERipper هو ماسح ذاتي الاحتواء يعمل عبر CLI ووحدة تحكم المتصفح، مخصص لحقن XML External Entity، ومصمم لمختبري الاختراق وصائدي مكافآت الثغرات والباحثين الأمنيين الذين يحتاجون إلى اكتشاف دقيق ومنخفض الإيجابيات الكاذبة لفئة ثغرات يسهل اختبارها بشكل سيئ ويصعب اختبارها بشكل جيد.
وهو بسيط عمدًا — httpx و(لوحدة التحكم) flask، لا شيء آخر — وقابل للتدقيق من البداية إلى النهاية. يمكن تتبع كل مرحلة، وكل نتيجة تحمل مسار أدلة، وكل تقنية تم تخطيها يُبلَّغ عنها مع سبب، وكل ملف أو بيانات اعتماد مستخرجة تُزال تكرارها وتُخزَّن مع مقتطفات استغلال جاهزة للصق.
لا يستغل XXERipper الهدف بما يتجاوز بدائية حل الكيانات (entity-resolution) نفسها. فهو يحدد ما إذا كان المحلل (parser) يحل الكيانات الخارجية، وما إذا كان يمكن ملاحظة النتيجة داخل النطاق، أو عبر أخطاء المحلل، أو خارج النطاق، ويبلّغ عن ذلك التحديد مع درجة ثقة، وربط بـ CWE، وعند اكتمال سلسلة كاملة — نتيجة مجمّعة تسمّي التأثير من البداية إلى النهاية.
ChainTracker كل نتيجة، ويستنتج مراحل السلسلة من المعرّف + الأدلة، ويطلق نتيجة مجمّعة عند اكتمال قالب — XXE → IMDS → IAM credentials → AWS account takeover، وXXE → SSH private key → lateral movement، وXXE → Kubernetes secrets → cluster credential theft، وعشرة أخرى.aws sts get-caller-identity، وaliyun sts GetCallerIdentity، وssh -i …، وgcloud auth activate-service-account، وkubectl --token=…، وcurl -H 'Authorization: Bearer …' — مبنية باستخدام المطالبات (claims) الحقيقية للرمز حيث ينطبق ذلك.interactsh-client. وضعان: يدوي (يطبع الماسح كل نطاق فرعي، وأنت تراقب العميل) وتلقائي (--oob-auto يُشغّل interactsh-client ويربط الاستدعاءات (callbacks) داخل العملية). كلاهما يضمّن رمزًا فريدًا من 16 خانة سداسية عشرية لكل حمولة بحيث لا يمكن أبدًا نسب الاستدعاءات بشكل خاطئ.--oob-listen)، أو دليل يقدّمه خادم الويب الخاص بك (--oob-dtd-dir)، أو مسارات Flask الخاصة بـ WebUI نفسها (فعّل Serve DTDs from this WebUI في الدرج).jar://، data://، phar://، glob://، compress.zlib://.XXE-OFFICE-XSLT-{DOCX,XLSX}) — تعليمة xml-stylesheet PI داخل جزء Word أو Excel تجعل معالجات المستندات من جانب الخادم تجلب XSLT يتحكم به المهاجم.jackson-dataformat-xml على مسار الفئات (classpath)، والذي يقبل بصمت application/xml على أي نقطة نهاية @RequestBody.--bypass-waf) — تعيد إرسال كتالوج الحمولات بالكامل عبر خمسة عشر مُرمّزًا ضمن ثلاث عائلات. تعمل بعد المراحل الأساسية بحيث تُكتشف الإصابة المباشرة في ~20 طلبًا بدلًا من أن تُدفن خلف ~1,500 حمولة مُرمّزة.--serve) — منصة عمل قائمة على المتصفح مع بث الأحداث المباشر، ولوحة أوامر، وتنقل مدفوع بلوحة المفاتيح، وتنزيلات JSON / SARIF / HTML لكل مهمة، وزر View HTML منفصل يفتح التقرير مضمّنًا بدلًا من تنزيله. واجهة أمامية بلا اعتماديات: ملف HTML واحد مكتفٍ بذاته، بلا CDN.--pre-auth-request FILE يعيد تشغيل طلبات بصيغة Burp ويدمج Set-Cookie الخاصة بها قبل بدء الفحص، بحيث تعمل تدفقات المصادقة متعددة الخطوات دون ملف cookies.pip install xxeripper pip install "xxeripper[socks]" # plus SOCKS proxy support
التثبيت الأساسي يجلب `httpx[http2]` (مع تفعيل التفاوض على HTTP/2
عبر ALPN) و`Flask` (المستخدم بواسطة وحدة التحكم على الويب `--serve`).
دعم وكيل SOCKS هو الإضافة الاختيارية الوحيدة. HTTP/2 ميزة مطلوبة،
وليست اختيارية — فهي موجودة في قائمة التبعيات الرئيسية باسم
`httpx[http2]`. تم توفير إضافة `xxeripper[http2]` لمجرد
اعتياد المستخدم؛ تثبيتها يعادل تثبيت الحزمة الأساسية.