PhantomRecon

PhantomRecon هي أداة أتمتة معيارية للفريق الأحمر تعمل عبر واجهة سطر الأوامر (CLI) وتعتمد على وكيل (Agent) ذكي، صُممت لعرض سير عمل هجومية أمنية ذاتية مدعومة بالذكاء الاصطناعي (Gemini من Google عبر حزمة تطوير الوكلاء - ADK).

البدء السريع (CLI)

• تشغيل وحدة التحكم التفاعلية (بنمط metasploit):
  root@kitploit:~

  python -m phantomrecon
  

• تشغيل لمرة واحدة غير تفاعلي:
  root@kitploit:~

  python -m phantomrecon --target example.com --auto \
    --nmap-timeout 30 --nmap-top-ports 100 --nmap-args "-sV -Pn"
  

خيارات CLI

• --target <domain|ip>: الهدف المراد تقييمه
• --auto: تشغيل الاستطلاع → التخطيط → التوجيه → التقرير
• --nmap-timeout <seconds>: يتجاوز NMAP_TIMEOUT
• --nmap-top-ports <N>: يتجاوز NMAP_TOP_PORTS
• --nmap-args "...": يُلحق وسائط إضافية بوسائط Nmap (NMAP_ARGS)
• --nmap-disable: تعطيل Nmap (يضبط NMAP_DISABLE=1)

متغيرات البيئة مدعومة أيضًا مباشرةً: NMAP_TIMEOUT, NMAP_TOP_PORTS, NMAP_ARGS, NMAP_DISABLE.

النظافة التشغيلية

• التقارير غير مُدارة بالإصدارات. يستثني .gitignore المجلد reports/* باستثناء reports/sample_report.md.
• تُحفظ تقارير HTML/MD المُولَّدة محليًا فقط داخل مجلد reports/.
• احذف التقارير أو داوِرها حسب الحاجة؛ فهي لا تُرفع أبدًا ضمن الالتزامات (commits).

صُممت الأداة كإثبات مفهوم (proof-of-concept) تحاكي تحديد الهدف، وتنفيذ استطلاع واسع (Nmap, DNS, Web Search)، وتخطيط استراتيجية هجوم باستخدام نموذج لغوي كبير (LLM)، وتنفيذ استغلالات محاكاة بشكل شرطي، ثم توليد تقرير.

هيكل المشروع

phantomrecon/
├── phantomrecon/             # Main package (exported orchestrator agent)
│   ├── __init__.py
│   ├── __main__.py           # CLI entrypoint (interactive and non-interactive)
│   └── agent/                # Agent graph and tools
├── agents/                   # Python modules containing agent/tool logic
│   ├── recon_logic.py        # Nmap, DNS (dig), seeded web analysis; ADK search enabled
│   ├── routing_logic.py      # Logic for the Exploit Router agent
│   ├── exploit_web_logic.py  # Functions for web exploits (currently simulated)
│   ├── exploit_sql_logic.py  # Functions for SQL exploits (currently simulated)
│   └── report_logic.py       # Functions for report generation using session state
├── configs/
│   └── targets.json          # (Optional) Target configuration
├── data/
│   └── dummy_scan_output.json # Example Nmap data if no target specified
├── demos/
│   └── walkthrough.md        # Demo steps
├── prompts/                  # Prompt templates for LLM agents
├── reports/
│   └── sample_report.md      # Example output report
├── requirements.txt          # Python dependencies (includes google-adk)
├── .gitignore                # Files excluded from version control
└── LICENSE                   # MIT License

سير العمل الحالي

1. الاستطلاع المتوازي (recon_workflow - وكيل متوازي):
   • تشغيل فحص Nmap (nmap_tool)
   • تشغيل استعلامات DNS/WHOIS (dns_tool)
   • محاكاة البحث على الويب (web_search_tool)
   • الحالة: تكتب كل أداة نتائجها في حالة الجلسة.
2. التجميع (aggregation_tool):
   • دمج النتائج من سير العمل المتوازي.
   • الحالة: يكتب aggregated_recon_data إلى حالة الجلسة.
3. التخطيط عبر LLM (planning_agent - LlmAgent):
   • يستقبل البيانات المجمّعة.
   • يستخدم Gemini وattack_planner_prompt.txt لتوليد خطة هجوم بصيغة JSON.
   • الحالة: يكتب attack_plan إلى حالة الجلسة.
4. توجيه الاستغلال (exploit_router - RouterAgent):
   • يقرأ attack_plan من الحالة.

الإعداد

1. استنسخ المستودع (Clone).
2. تأكد من تثبيت المتطلبات الأساسية: python3, pip, nmap, dig, whois, sqlmap, wapiti, wpscan, searchsploit.
3. أنشئ بيئة افتراضية:
   root@kitploit:~

   python3 -m venv venv
   source venv/bin/activate  # On Windows use `venv\Scripts\activate`
   

4. ثبّت التبعيات:
   root@kitploit:~

   pip install -r requirements.txt
   

5. اضبط مفاتيح API (بيئة):
   • انسخ .env.example إلى .env (إذا كان المثال موجودًا) أو عدّل .

تنبيه أمني

هذه الأداة مخصصة لاختبار الاختراق المصرح به والأغراض التعليمية فقط. لا تستخدمها ضد أنظمة دون إذن صريح.

الترخيص

هذا المشروع مرخّص بموجب رخصة MIT - راجع ملف LICENSE للتفاصيل.

المتطلبات الأساسية

• Python 3.9+
• pip (مثبّت حزم Python)
• Nmap (sudo apt install nmap أو brew install nmap)
• dig (sudo apt install dnsutils أو brew install bind)
• whois (sudo apt install whois أو brew install whois)
• sqlmap (sudo apt install sqlmap أو brew install sqlmap)
• wapiti (sudo apt install wapiti أو brew install wapiti)
• wpscan (sudo apt install ruby-full ثم gem install wpscan أو brew install wpscan)

المزايا الرئيسية

• سير عمل قائم على الوكلاء: يستخدم حزمة تطوير الوكلاء من Google (ADK) لبنية معيارية.
• إدخال الهدف تفاعليًا: يستخدم واجهة adk web لسؤال المستخدم عن عنوان IP/النطاق الهدف.
• تقييم متعدد المراحل:
  • الاستطلاع:
    • فحص منافذ Nmap (فعلي)
    • استعلامات DNS/WHOIS محسّنة (فعلي: dig, nslookup, dig +trace, محاولة AXFR, whois)
    • البحث على الويب (فعلي، باستخدام بحث Google)
    • تحليل محتوى الويب المحسّن (فعلي: الروابط، النماذج، التعليقات، البرامج النصية، الترويسات، رسائل البريد الإلكتروني، كشف تقني أساسي)
    • تجميع البيانات
  • التخطيط: يحلل LLM (Gemini) بيانات الاستطلاع لتوليد خطة هجوم مرتّبة حسب الأولوية (مع تحقق).
  • الاستغلال (توجيه شرطي): ينفّذ الاختبارات بناءً على الخطة:
    • الويب: الملفات الافتراضية، سوء الإعداد (عرض الدليل)، حقن SQL (عبر sqlmap مع خيارات محسّنة)، فحص Wapiti (نتائج محلّلة)، WPScan (نتائج محلّلة، شرطي)، XSS منعكسة أساسية، حقن أوامر أساسي - (فحوصات فعلية)
    • SQL: بيانات الاعتماد الافتراضية (MySQL/PostgreSQL)، ثغرات الإصدارات (عبر searchsploit مع استعلام محسّن)، تعداد ما بعد المصادقة (عبر اتصال مباشر بـ sqlmap) - (فحوصات فعلية)
    • SSH: بيانات اعتماد ضعيفة، ثغرات الإصدارات (عبر مع استعلام محسّن)، تدقيق الإعدادات (عبر ، نتائج محلّلة) - (فحوصات فعلية)

البنية (نظام متعدد الوكلاء ذاتي)

يستخدم PhantomRecon بنية متعددة الوكلاء ذاتية بالكامل مدعومة بحزمة تطوير الوكلاء من Google (ADK).

المكونات الأساسية

وكيل التنسيق الرئيسي (Senior Orchestrator Agent) (gemini-1.5-pro-latest)

• اتخاذ قرارات ذاتي وتخطيط استراتيجي
• يختار ديناميكيًا الوكلاء المتخصصين الذين سيستدعيهم
• يكرر بناءً على النتائج (بدون تسلسل ثابت)
• يجري تدقيقات أمنية شاملة باستقلالية كاملة

وكلاء الأمن المتخصصون

• وكيل الاستطلاع: فحص المنافذ، تعداد DNS، اكتشاف الخدمات
• أخصائي أمن الويب: XSS, CSRF, SSRF, Path Traversal, Open Redirect
• أخصائي حقن SQL: جميع تقنيات حقن SQL عبر قواعد البيانات الرئيسية
• أخصائي SSH/الشبكة: تدقيق أمان SSH، اختبار خدمات الشبكة
• أخصائي المصادقة: تجاوز المصادقة، أمان الجلسات، تصعيد الامتيازات
• وكيل التخطيط: تخطيط استراتيجي للهجوم بناءً على النتائج
• وكيل التقارير: توليد تقرير أمني شامل

التشغيل الذاتي

يعمل وكيل التنسيق مثل مختبِر اختراق خبير:

1. يستقبل نطاقًا أو عنوان IP هدفًا
2. يخطط استراتيجية الاستطلاع
3. يحلل النتائج ويحدد أسطح الهجوم
4. يستدعي ديناميكيًا الوكلاء المتخصصين بناءً على الاكتشافات
5. يكرر ويكيّف الأسلوب مع ظهور معلومات جديدة
6. يولّد تقرير تدقيق أمني شامل

المزايا الرئيسية:

• لا يوجد سير عمل ثابت - يقرر وكيل التنسيق الاستراتيجية
• تنفيذ متوازٍ للوكلاء لتحقيق الكفاءة
• تعمّق تكراري في الثغرات المكتشفة
• أسلوب تكيفي يعتمد على خصائص الهدف
• استقلالية كاملة من إدخال الهدف إلى التقرير النهائي

تفاصيل تقنية

• إدارة الحالة عبر context.session.state (جلسات ADK)
• استطلاع متوازٍ مع عرض تقدم لحظي (مكتبة Rich)
• تنفيذ أوامر غير متزامن مع مهلات (executor_fix.py)
• معاملات فحص قابلة للتهيئة (متغيرات بيئة لـ Nmap وغيرها)

الاستخدام

شغّل عبر CLI (موصى به):

python -m phantomrecon --target <domain|ip> --auto

وحدة التحكم التفاعلية:

python -m phantomrecon

مشغّل ADK الاختياري:

adk run phantomrecon -- --target <domain|ip> --auto