G0BurpSQLmaPI

المؤلف: nu11secur1ty
السنوات: 2023–2026
اللغة: Python (مع وحدات Go اختيارية)
الغرض: توليد طلبات إثبات المفهوم (PoC) لهجمات SQLi، وأتمتة هجمات sqlmap، وإدارة وحدات الهجوم بسهولة.

الوصف

G0BurpSQLmaPI هي أداة سطر أوامر تبسّط عملية صياغة وتنفيذ هجمات حقن SQL (SQL injection) كإثبات مفهوم (PoC) باستخدام sqlmap. تجمع الأداة بين وحدات Go وPython لتوليد طلبات الاستغلال، وتشغيل SQLMap باستخدام معاملات متقدمة، وإدارة سكربتات الهجوم المساعدة.

المزايا

• توليد ملفات حمولة PoC مخصصة (exploit.txt).
• تشغيل sqlmap مع خيارات سطر أوامر مخصصة.
• تشغيل وحدات هجومية مثل URLi وUser-Agent.
• تنظيف ملفات الاستغلال المُنشأة لتجنب ترك آثار.
• قائمة تفاعلية لسهولة التحكم في سير العمل.

المتطلبات

• Python 3.x
• تثبيت Go وإعداده (لوحدات Go)
• حزمة Python colorama
• سكربت sqlmap الموجود في المسار الذي تحدده (الافتراضي: D:\CVE\sqlmap-nu11secur1ty\sqlmap.py)

التثبيت

1. استنساخ المستودع:

   root@kitploit:~

   git clone https://github.com/nu11secur1ty/G0BurpSQLmaPI.git
   cd G0BurpSQLmaPI
   

2. تثبيت تبعيات Python:

   root@kitploit:~

   pip install colorama
   

3. تأكد من تثبيت Go وأنه موجود في PATH الخاص بالنظام.

4. تحقق من مسار sqlmap.py في سكربت Python (G0BurpSQLmaPI.py) وعدّله إذا لزم الأمر.

الاستخدام

شغّل برنامج Python الرئيسي:

python g0burpsqlmapi.py

سترى قائمة:

===== G0BurpSQLmaPI Menu =====

1. Generate PoC (exploit.txt)
2. Start sqlmap with PoC
3. Run module: modules/URLi.py
4. Run module: modules/User-Agent.py
5. Run module: modules/HashCracker.py
6. View metadata (modules/exploit_meta.json)
7. Clean evidence (delete exploit.txt and metadata)
8. Exit

اختر خيارًا بكتابة الرقم المقابل.

كيفية إضافة طلب POST/GET الخاص بك

عند استخدام --create أو القائمة التفاعلية، الصق طلب HTTP الخام الكامل. تتوقع الأداة أن يبدأ الحمولة بسطر POST أو GET (السطر الأول) وسطر فارغ يفصل الترويسات عن النص.

مثال على حمولة PoC:

POST /login.php HTTP/1.1
Host: vulnerablehost.com
Content-Type: application/x-www-form-urlencoded
Cookie: PHPSESSID=123456

username=admin&password=pass

ستقوم الأداة بـ:

• التحقق من السطر الأول (يجب أن يكون POST أو GET).
• محاولة اكتشاف الوسائط تلقائيًا من سلسلة الاستعلام ونص النموذج (يمكنك قبولها أو تعديلها).
• حفظ exploit.txt (الجذر) وmodules/exploit.txt مع ترويسة تعليق صغيرة.
• حفظ البيانات الوصفية في modules/exploit_meta.json لاستخدامها لاحقًا.

تمرير الوسائط المكتشفة إلى sqlmap

إذا كان modules/exploit_meta.json يحتوي على vuln_params، ستشمل الأداة:

-p param1,param2

عند بدء sqlmap، مع تركيز الاختبارات على تلك الوسائط.

التنظيف

استخدم خيار القائمة أو واجهة CLI --clean لحذف:

• exploit.txt (الجذر)
• modules/exploit.txt
• modules/exploit_meta.json

يساعد هذا في إزالة الأدلة السريعة لحمولات الاختبار. ملاحظة: قد تظل بعض سجلات النظام خارج نطاق تحكم هذه الأداة.

الاختبارات

تم تضمين مجموعة اختبارات pytest صغيرة لروتين اكتشاف الوسائط.

تشغيل الاختبارات:

pip install pytest
pytest -q

التسجيل

• ملف السجل الافتراضي: g0burpsqlmapi.log (دوراني).
• فعّل وضع التفصيل (--verbose) لزيادة تفاصيل السجل وبث السجلات إلى وحدة التحكم.

المساهمة والتطوير

• انسخ المستودع (Fork)، وأجرِ التغييرات على فرع ميزة، وافتح طلب سحب (Pull Request).
• أضف اختبارات لسلوكيات التحليل أو الملفات الجديدة.
• حافظ على التوافق العكسي لواجهة API والبيانات الوصفية حيثما أمكن.

سجل التغييرات (مستوى عالٍ)

2023–2026 — المشروع الأولي، CLI + قائمة تفاعلية، إنشاء PoC، تكامل sqlmap.
2026 — صقل: ملف البيانات الوصفية، الاكتشاف التلقائي للوسائط، التسجيل، argparse CLI، اختبارات الوحدة.

الترخيص

هذا المشروع مرخّص بموجب GPL-3.0. حافظ على إشعارات الترخيص والإسناد عند إعادة التوزيع.

التواصل

• المؤلف: nu11secur1ty
• GitHub: https://github.com/nu11secur1ty
• المشكلات / طلبات السحب: استخدم متتبع المشكلات في المستودع لتقارير الأخطاء وطلبات السحب.

إخلاء المسؤولية

هذا البرنامج مخصص حصريًا لاختبار الأمان المصرح به والتعليم. المؤلف غير مسؤول عن سوء الاستخدام. احصل دائمًا على إذن صريح ومكتوب قبل اختبار أي أنظمة مستهدفة.

استمتع بالاختراق بمسؤولية. ☠️