OWASP SecretSifter

SecretSifter هو مشروع OWASP Incubator يكتشف بيانات الاعتماد المكشوفة في ما تُسلّمه تطبيقات الويب فعليًا إلى المتصفح: حزم JavaScript، واستجابات الإعدادات، والمحتوى الحي الآخر.

يفحص فحص الأسرار قبل النشر شيفرة المصدر. بعض بيانات الاعتماد لا تُضاف إلا في وقت البناء أو وقت التشغيل، لذا لا تظهر أبدًا في المستودع الذي يجري فحصه. يفحص SecretSifter حركة المرور عند وصولها إلى المتصفح ويبلّغ عن كل اكتشاف مع موقعه ودليله ليقيّمه المُختبِر.

الإصدارات

الإصدار	الحصول عليه	المصدر
إضافة Burp Suite	البناء من المصدر	burp-extension/ (MIT)
إضافة Burp Suite مع الفرز بالذكاء الاصطناعي وMCP	البناء من المصدر	burp-mcp/ (MIT)
إضافة Chrome	Chrome Web Store	قريبًا (MIT، على خارطة الطريق)
إضافة Firefox	Firefox Add-ons	قريبًا (MIT، على خارطة الطريق)
تطبيق سطح المكتب (macOS، Windows)	Releases	قريبًا (MIT، على خارطة الطريق)
هدف تدريب InsecureShield (بيانات اعتماد اصطناعية فقط)	secretsifter/insecureshield-demo	MIT

يُبنى إصدارا Burp باستخدام ./gradlew shadowJar (Java 17+). لكل مجلد README خاص به يحتوي على خطوات البناء والتثبيت.

الأبحاث

• H. Gorijala, "Secrets That Survive Everything: Runtime Credential Exposure in Production Web Applications," IEEE Access, 2026. https://doi.org/10.1109/ACCESS.2026.3734984
• H. Gorijala, "SecretSifter: A Runtime Secret-Detection Engine for Live Web Traffic," SoftwareX, vol. 36, 103087, 2026. https://doi.org/10.1016/j.softx.2026.103087

الاستخدام المسؤول

افحص فقط التطبيقات التي تملكها أو المصرّح لك باختبارها. إذا وجدت بيانات اعتماد حية، فأبلغ عنها حتى يمكن تدويرها، ولا تنشر قيمتها أبدًا.

المساهمة

نرحّب بالمشكلات وطلبات السحب، وخصوصًا قواعد الكشف الجديدة مع حالات اختبار لكل من الإيجابيات الحقيقية والإيجابيات الكاذبة.

تُقبل المساهمات بموجب Developer Certificate of Origin. وقّع كل commit باستخدام git commit -s.

قادة المشروع

• Hemanth Gorijala ([email protected])

صفحة المشروع: owasp.org/projects/secretsifter

الترخيص

شيفرة المصدر مرخّصة بموجب MIT (انظر LICENSE). الوثائق مرخّصة بموجب CC BY-SA 4.0.