Moxy

Moxy (الجيل القادم من وكيل Man-in-the-Middle) أداة DAST مفتوحة المصدر لاختبار الاختراق مدعومة بقدرات الذكاء الاصطناعي الوكيل (تدعم Ollama). بُنيت على أساس browser-use، وتُبسّط Moxy اختبار أمان التطبيقات الديناميكي.

🚀 سهلة الاستخدام بشكل لا يُصدق

وهي مجانية، من لا يحب الأشياء المجانية؟

تنبيه معاينة:
🚧 Moxy قيد التطوير النشط وهي حاليًا في مرحلة معاينة/تجربة بيتا.
توقع تغييرات جوهرية وعدم استقرار وغياب ميزات.
استخدمها على مسؤوليتك الخاصة وتابع تحديثات المشروع لأحدث التحسينات!

بداية سريعة

لتشغيل هذا حاليًا، تحتاج إلى تشغيل الواجهة الأمامية والخلفية بشكل منفصل.

المتطلبات الأساسية

قبل تشغيل Moxy، تحتاج إلى تثبيت uv (astral-uv)، وهو أداة تثبيت وإدارة حزم بايثون سريعة.

تثبيت uv:

• اتبع دليل التثبيت الرسمي لتثبيت uv على نظامك.

ملاحظة:
uv مطلوب لإدارة تبعيات بايثون في الواجهة الخلفية. إذا لم يكن مثبتًا لديك، ستفشل أوامر الواجهة الخلفية.

تشغيل الواجهة الخلفية

1. انتقل إلى دليل الواجهة الخلفية:

   root@kitploit:~

   cd backend
   

2. قم بتثبيت التبعيات وشغل خادم الواجهة الخلفية:

   root@kitploit:~

   uv sync
   uv run moxy
   

تشغيل الواجهة الأمامية

1. انتقل إلى دليل الواجهة الأمامية:

   root@kitploit:~

   cd frontend
   

2. قم بتثبيت التبعيات:

   root@kitploit:~

   npm install
   

3. شغل خادم التطوير للواجهة الأمامية:

   root@kitploit:~

   npm run moxy
   

ملاحظة:
افتراضيًا، تعمل الواجهة الأمامية على http://localhost:8080
وتعمل الواجهة الخلفية على http://localhost:5000

النشر باستخدام Docker

يمكن تشغيل Moxy باستخدام Docker لسهولة النشر وبيئات متسقة. بهذه الطريقة يمكنك التعاون والتثبيت بسهولة.

بداية سريعة مع Docker

الخيار 1: استخدام صورة مبنية مسبقًا (موصى به)

projects_data يحتوي على جميع قواعد البيانات والسجلات المطلوبة. إنه مجلد البيانات.

اسحب وشغّل الصورة المبنية مسبقًا من سجل حاويات GitHub:

docker run -d \
  --name moxy \
  -p 5000:5000 \
  -p 8081:8081 \
  -v $(pwd)/projects_data:/app/projects_data \
  ghcr.io/matank001/moxy:latest

الخيار 2: البناء من المصدر

1. قم ببناء وبدء الحاوية:

   root@kitploit:~

   docker-compose up -d --build
   

2. الوصول إلى التطبيق:

   • الواجهة الأمامية: http://localhost:5000
   • الوكيل: http://localhost:8081

3. قم بتكوين متصفحك لاستخدام الوكيل:

   عند التشغيل في Docker، تحتاج إلى تكوين متصفحك يدويًا لاستخدام الوكيل:

   • مضيف الوكيل: localhost (أو 127.0.0.1)
   • منفذ الوكيل: 8081
   • البروتوكول: HTTP

   ملاحظة:
   يعمل الوكيل داخل حاوية Docker ولكنه يمكن الوصول إليه على localhost:8081 على جهازك المضيف.
   يمكنك تكوين إعدادات الوكيل في إعدادات الشبكة للمتصفح أو استخدام إضافات المتصفح لإدارة الوكيل.

4. عرض السجلات:

   root@kitploit:~

   docker-compose logs -f
   

5. إيقاف الحاوية:

   root@kitploit:~

   docker-compose down
   

متغيرات البيئة

أنشئ ملف .env في جذر المشروع لتكوين التطبيق (تحتاج وضعه داخل دليل backend/):

ملاحظة:
ملف .env اختياري. يقوم Docker Compose بتحميله تلقائيًا إذا كان موجودًا (لا يوجد تحذير في حالة عدم وجوده).
جميع بيانات المشروع تُحفظ في دليل projects_data، الذي يتم تركيبه كوحدة تخزين.

الأداة الوكيلة

افتراضيًا، تعمل Moxy بدون الحاجة إلى أي تكوين أو بيانات اعتماد للذكاء الاصطناعي - حتى تدفقات DAST القائمة على المتصفح لا تستخدم الذكاء الاصطناعي ما لم يتم تمكينه.

تفعيل الذكاء الاصطناعي الوكيل

تدعم Moxy كلاً من واجهة برمجة تطبيقات OpenAI و Ollama (الذكاء الاصطناعي المحلي) للميزات الوكيلة. لتمكين القدرات المدعومة بالذكاء الاصطناعي:

للتطوير المحلي: أنشئ ملف .env في دليل backend مع التكوين المناسب.

لـ Docker: أنشئ ملف .env في جذر المشروع (نفس دليل docker-compose.yml).

الخيار 1: استخدام واجهة برمجة تطبيقات OpenAI

لمعالجة الذكاء الاصطناعي السحابي مع OpenAI، قم بتكوين ملف .env الخاص بك كما يلي:

OPENAI_API_KEY=sk-proj-...             # مفتاح واجهة برمجة تطبيقات OpenAI الخاص بك
MODEL=gpt-4o-mini                       # اختياري: القيمة الافتراضية هي gpt-4o-mini إذا لم يتم تحديدها

الخيار 2: استخدام Ollama (الذكاء الاصطناعي المحلي)

لمعالجة الذكاء الاصطناعي المحلي مع Ollama، قم بتكوين ملف .env الخاص بك كما يلي:

USE_OLLAMA=true
OPENAI_API_KEY=test                    # مطلوب ولكن القيمة تُتجاهل عند استخدام Ollama
OPENAI_BASE_URL=http://localhost:11434/v1/  # نقطة نهاية واجهة برمجة تطبيقات Ollama
MODEL=qwen3:8b                         # النموذج المفضل لديك في Ollama

قدرات الوكيل:

• الاستعلام عن طلبات HTTP السابقة التي تم التقاطها
• إرسال/تعديل/إعادة إرسال الطلبات الجديدة
• تشغيل متصفح حقيقي (باستخدام browser-use) للاختبارات الديناميكية وإنشاء الطلبات

يستخدم الوكيل الذكاء الاصطناعي للتفكير في سطح الهجوم لتطبيقك، وإعادة تشغيل حركة المرور أو تعديلها، وحتى قيادة جلسات المتصفح لإنشاء سيناريوهات اختبار جديدة.

تحذير:
أوضاع الذكاء الاصطناعي الوكيل حاليًا تجريبية وقد تكون غير مستقرة.

الوكيل

يستخدم Moxy MITMproxy كوكيل HTTP/HTTPS اعتراضي لالتقاط وتعديل حركة المرور أثناء اختبار أمان التطبيقات الديناميكي.

افتراضيًا، يعمل الوكيل على المنفذ 8081. يمكنك تكوين متصفحك أو نظامك لاستخدام http://localhost:8081 كوكيل لتوجيه حركة المرور عبر MITMproxy والسماح لـ Moxy بتحليل الطلبات والتفاعل معها في الوقت الفعلي.

كيفية تكوين Moxy في Firefox

لتحليل حركة مرور HTTP وHTTPS من Firefox عبر Moxy، تحتاج إلى تكوين Firefox لاستخدام وكيل Moxy واستيراد شهادة الوكيل بحيث يمكن اعتراض حركة مرور المتصفح (بما في ذلك HTTPS) بشكل صحيح.

الخطوة 1: تشغيل Moxy والوكيل

تأكد من تشغيل Moxy (وعملية MITMproxy الخاصة بها).

الخطوة 2: تكوين Firefox لاستخدام الوكيل

1. افتح Firefox.
2. اذهب إلى الإعدادات (أو التفضيلات على بعض الأنظمة).
3. قم بالتمرير لأسفل إلى قسم إعدادات الشبكة (في الأسفل).
4. انقر على إعدادات… بجوار "إعدادات الشبكة".
5. اختر تكوين يدوي للوكيل.
6. عيّن وكيل HTTP إلى localhost والمنفذ إلى 8081.
   • حدد استخدام هذا الوكيل أيضًا لـ HTTPS أو عيّن وكيل SSL أيضًا إلى localhost:8081.
7. انقر موافق للحفظ.

الآن، سيتم توجيه جميع حركة مرور المتصفح عبر وكيل Moxy على http://localhost:8081.

الخطوة 3: استيراد شهادة الوكيل

1. في Firefox (مع تمكين الوكيل)، انتقل إلى http://mitm.it.
2. ستعرض الصفحة روابط تنزيل لشهادات مختلفة. انقر على رابط Firefox (أو "أخرى" إذا لم يكن مدرجًا) لتنزيل الشهادة (مثل mitmproxy-ca-cert.pem).
3. اذهب إلى الإعدادات ← الخصوصية والأمان في Firefox.
4. قم بالتمرير إلى قسم الشهادات وانقر على عرض الشهادات…
5. في مدير الشهادات، انتقل إلى علامة التبويب السلطات.
6. انقر على استيراد… وحدد ملف الشهادة الذي قمت بتنزيله.
7. عند المطالبة، حدد كلا المربعين:
   • الثقة في هذه الشهادة لتحديد مواقع الويب
   • (اختياري) الثقة في هذه الشهادة لتحديد مستخدمي البريد الإلكتروني
8. انقر موافق للتأكيد.
9. أعد تشغيل Firefox إذا طُلب منك ذلك أو إذا استمرت مواقع HTTPS في الفشل في التحميل دون تحذيرات.

بعد إكمال هذه الخطوات، سيثق Firefox في اتصالات HTTPS التي يعترضها وكيل Moxy.
أنت الآن جاهز لتحليل واختبار تطبيقات الويب ديناميكيًا عبر HTTP وHTTPS دون تحذيرات الشهادة.

لمزيد من التفاصيل، راجع وثائق شهادات MITMproxy.

هيكل قاعدة البيانات

• moxy.db - قاعدة البيانات الرئيسية التي تخزن بيانات وصف المشروع
• projects_data/{project_name}.db - قواعد بيانات المشاريع الفردية (سميت باسم المشروع، مع تنظيف الاسم)
  • يحصل كل مشروع على ملف قاعدة بيانات SQLite خاص به
  • عند إعادة تسمية مشروع، يتم إعادة تسمية ملف قاعدة البيانات تلقائيًا
  • عند حذف مشروع، يتم إزالة ملف قاعدة البيانات

تحذير:
في هذه المرحلة، لا يوجد ضمان لترحيل قاعدة البيانات أو التوافق العكسي بين الإصدارات—قد تكسر الإصدارات المستقبلية التوافق مع ملفات قاعدة البيانات القديمة. استخدم بحذر إذا كنت تخطط للترقية.

إخلاء مسؤولية الاستخدام الأخلاقي

Moxy مصممة بدقة لأغراض اختبار الأمن الأخلاقي والبحث. الهدف منها مساعدة محترفي الأمن والمطورين والمؤسسات في تحديد وإصلاح الثغرات في التطبيقات التي يمتلكونها أو لديهم إذن صريح لاختبارها.