OSTE-Meta-Scanner

هذا المشروع أصبح الآن تحت الصيانة والدعم من قبل OSTE ولم يعد متاحًا كمشروع مفتوح المصدر. للاستفسارات أو الاستخدام التجاري أو الدعم، يُرجى الاتصال بـ OSTE عبر LinkedIn، أو الموقع الرسمي، أو فريق المبيعات على الرقم +213.7.98.38.94.54 عبر واتساب. يهدف هذا المشروع إلى تبسيط مجال اختبار أمان التطبيقات الديناميكي. الماسح الضوئي الوصفي (Meta Scanner) من OSTE هو أداة شاملة لفحص الثغرات في الويب تجمع بين عدة ماسحات DAST، بما في ذلك Nikto Scanner وZAP وNuclei وSkipFish وWapiti.

جدول المحتويات

• مقدمة
• الميزات
• التثبيت
• الاستخدام
• المساهمة
• الترخيص
• لقطات الشاشة

مقدمة

يوفّر هذا البرنامج واجهة رسومية سهلة الاستخدام تعرض تقريرًا شاملاً لكل عملية فحص، مما يجعل عملية المسح سهلة ومباشرة.

ينصب التركيز الرئيسي لهذا الماسح الضوئي على ثغرات الحقن في الويب مثل حقن SQL، وحقن XSS، وحقن أوامر نظام التشغيل، وحقن XML، وغيرها الكثير. بالإضافة إلى ذلك، فإنه يوفر قائمة بالثغرات التي يدعمها كل ماسح ضوئي، بصرف النظر عن ثغرات الحقن.

نقدم نوعين من التقارير. الأول هو تقرير مجمع بتنسيق JSON، يتضمن تقارير مهمة من كل ماسح ضوئي. يحتوي على تفاصيل مثل الثغرة، عنوان URL المقابل، المعامل المستخدم، أمر Curl، متجه الهجوم، وصف الثغرة، والمزيد.

التقرير الثاني هو بتنسيق ملف HTML يسلط الضوء بشكل خاص على هجمات الحقن الناجحة. تعتمد نتائجنا وقراراتنا على خوارزمية تعلم جديدة تم اقتراحها في ( "A Meta-Scan based approach for the detection of injection vulnerabilities in Web applications."، - جامعة 8 ماي 1945 - قالمة -، قسم علوم الحاسوب، تقديم: سيد تقي الدين اودجاني، إشراف: د. عبد الحكيم حنوس. 2023). [https://dspace.univ-guelma.dz/jspui/handle/123456789/15028].

الميزات

قائمة الثغرات الرئيسية المدعومة:

1. الحقن

• حقن SQL
• البرمجة النصية عبر المواقع (XSS)
• حقن أوامر نظام التشغيل
• حقن XML
• حقن XSLT
• الكيانات الخارجية XML
• حقن الكود
• حقن ترويسة المضيف
• حقن HTML
• حقن القوالب (جانب الخادم)
• حقن CRLF
• حقن OGNL

2. ثغرات أخرى (يرجى الرجوع إلى مستودع كل ماسح ضوئي للحصول على قائمة كاملة.)

• قائمة الثغرات المدعومة من Skipfish.
• قائمة الثغرات المدعومة من Wapiti.
• قائمة الهجمات النشطة من ZAP.
• قائمة الثغرات المدعومة من Nikto (محددة: Tunning 9 & 4).
• قالب CVE من Nuclei.

التثبيت

تتطلب عملية التثبيت مجموعة محددة من المتطلبات. على الرغم من أن هذا المشروع مدعوم بشكل أساسي على Kali Linux، إلا أنه يمكن أن يكون متوافقًا مع أنظمة تشغيل أخرى:

1. ZAP:

• Kali Linux: [ sudo apt install zaproxy ]
• أنظمة تشغيل أخرى: [ https://github.com/zaproxy/zaproxy ]

2. Wapiti:

• Kali Linux: [ sudo apt install wapiti ]
• أنظمة تشغيل أخرى: [ https://wapiti-scanner.github.io/ ]

3. Skipfish:

• Kali Linux: [ sudo apt install skipfish ]
• أنظمة تشغيل أخرى: [ https://gitlab.com/kalilinux/packages/skipfish ]

4. Nikto :

• Kali Linux: [ sudo apt install nikto ]
• أنظمة تشغيل أخرى: [ https://github.com/sullo/nikto ]

5. Nuclei:

• Kali Linux: [ sudo apt install nuclei ]
• أنظمة تشغيل أخرى: [ https://github.com/projectdiscovery/nuclei ]

6. مكتبات Python 3:

• customtkinter
• zapv2
• jinja2
• webbrowser
• PIL
• matplotlib
• BeautifulSoup
• pprint

7. متطلبات اختيارية لمزيد من الميزات:

• خادم XAMP
• NPM

(ملاحظة: يرجى العلم أنني سأقوم بإنشاء سكريبت bash لأتمتة خطوات التثبيت لمستخدمي Linux في أقرب وقت ممكن.)

الاستخدام

بعد استنساخ المستودع إلى جهازك المحلي، يمكنك تشغيل التطبيق عن طريق تنفيذ الأمر python3 Metascan.py.

بعد ذلك، يمكنك التنقل عبر واجهة التطبيق.

Docker

صورة Docker متوفرة في دليل OSTEscaner. وهي مبنية على Kali Linux وستحتاج إلى خادم X لعرض واجهة Python الرسومية. على Linux، من المحتمل أن يكون لديك واحد قيد التشغيل بالفعل، أما على Windows (بما في ذلك WSL) فخوادم X الجيدة هي vcxsrv أو xming.

قم أولاً بتصدير شاشتك:
Linux: export DISPLAY=:0.0
Windows (wsl): export DISPLAY="$(grep nameserver /etc/resolv.conf | sed 's/nameserver //'):0"
ثم قم ببناء وتشغيل صورة Docker:

docker build -t metascan .
docker run -e DISPLAY=$DISPLAY --network=host metascan

استكشاف الأخطاء وإصلاحها:

• قد يكون عرض X لـ Docker صعبًا وقد تواجه الخطأ _tkinter.TclError: couldn't connect to display. نظرًا لأنه يعتمد على اتصال الشبكة، قد تحتاج إلى تضمين عنوان IP المحلي الخاص بك: على سبيل المثال export DISPLAY:192.168.100.5:0.0، على Windows قد تبحث عن برنامج تعليمي لـ xming وتثبيت خطوط إضافية.
• قد تفشل أوامر apt أثناء البناء أحيانًا بسبب خطأ في شبكة kali.org (Failed to fetch http://http.kali.org/) فقط أعد تشغيل البناء.

المساهمة

نرحب بالمساهمات لتعزيز وتحسين هذا المشروع. إما عن طريق التبرع:

أو بقوة عقلك. للمساهمة، يرجى اتباع هذه الإرشادات:

1. انسخ (Fork) المستودع وأنشئ فرعًا جديدًا لمساهمتك.
2. تأكد من أن كودك يلتزم بمعايير البرمجة الخاصة بالمشروع.
3. قم بإجراء التغييرات الخاصة بك، مع معالجة المشكلة المحددة أو إضافة التحسين المقترح.
4. اختبر تغييراتك بدقة.
5. قم بإجراء Commit للتغييرات وقدم رسالة commit واضحة ووصفية.
6. ادفع (Push) تغييراتك إلى المستودع المنسوخ.
7. قدم طلب سحب (Pull Request)، مع تفصيل التغييرات التي قمت بها وتقديم أي معلومات أو سياق ذي صلة.

يرجى ملاحظة أن جميع المساهمات ستتم مراجعتها من قبل القائمين على المشروع. نحن نقدر جهودك وسنبذل قصارى جهدنا لتقديم ملاحظات في الوقت المناسب.

إذا كانت لديك أي أسئلة أو تحتاج إلى مزيد من التوضيح، فلا تتردد في التواصل معنا من خلال متتبع المشكلات (Issue Tracker) أو عن طريق الاتصال المباشر بالقائمين على المشروع.

الترخيص

هذا المشروع مرخص بموجب رخصة GNU GENERAL PUBLIC LICENSE الإصدار 3، 29 يونيو 2007.

هذا المشروع مخصص للأغراض التعليمية ويهدف إلى تبسيط التقييم الشامل للأمن السيبراني. ومع ذلك، نود التأكيد على أننا لسنا مسؤولين عن أي استخدام ضار لهذا التطبيق. من الضروري أن يتحلى مستخدمو هذا البرنامج بالمسؤولية والسلوك الأخلاقي. نوصي بشدة بإخطار الأهداف أو الأفراد المعنيين قبل استخدام هذا البرنامج.

لقطات الشاشة

الاتصال

لينكد إن: (https://www.linkedin.com/in/oudjani-seyyid-taqy-eddine-b964a5228)