مختبر الاختراق (PENTEST-LAB)

بيئة تطبيقات معرضة للهجوم ونطاق إلكتروني حديث لتعلم أمن الويب، واجهات برمجة التطبيقات، السحابة، الذكاء الاصطناعي، وأمن الفريق الأزرق من خلال سلاسل هجوم عملية.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 50 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ قم بوضع نجمة على هذا المستودع إذا كان مفيدًا لك - فهو مجاني ويساعد الآخرين على اكتشاف التعليم الأمني المجاني.

ما الذي يجعل هذا مختلفًا

مختبر الاختبار (PENTEST-LAB) ليس مجرد صندوق ثغرة واحدة. إنه نطاق إلكتروني كامل يجمع بين وجهات نظر المهاجم والمدافع مع مخرجات أدلة على غرار أنظمة الحوكمة والمخاطر والامتثال (GRC):

• 50 تحديًا عبر 8 مسارات - ويب، واجهات برمجة تطبيقات، مصادقة/جلسات، سحابة/ديف أوبس، أمن الذكاء الاصطناعي، منطق الأعمال، سلسلة هجوم، أدلة الفريق الأزرق.
• سجل تحديات مركزي - مصدر واحد للحقيقة يغذي واجهة المستخدم، والتحقق من الأعلام، ومولد الأدلة.
• تعلم قبل أن تحل - كل تحدٍ يرتبط بمراجع موثوقة (OWASP, PortSwigger, MITRE, NIST) لتتمكن من دراسة المفهوم، ثم استغلاله. يتم كسب الأعلام عن طريق الاستغلال، وليس عرضها في واجهة المستخدم.
• محاكي ذكاء اصطناعي شفاف - مسار الذكاء الاصطناعي يعمل على "نموذج" قابل للفحص داخل العملية (بدون LLM خارجي): ترى سياق [SYSTEM][USER][RETRIEVED][HISTORY] بالكامل، المخرجات المُولَّدة، تقنية الحقن المكتشفة، ومفاتيح التبديل لكل إجراء تخفيفي.
• مخزن أحداث مركزي - يتم تسجيل كل طلب وكل علم؛ يتم بناء عرض المدافع على نفس الأحداث التي يولدها المهاجم.
• سلسلة هجوم موجهة - الاستطلاع ← كشف المعلومات ← إساءة استخدام الرموز ← تصعيد الصلاحيات ← الوصول إلى البيانات ← تقرير الأدلة، مع تتبع حي للتقدم.
• وضع الفريق الأزرق - عمليات تسجيل دخول فاشلة، وصول مشبوه لواجهات API، هجمات SSRF، تصعيد صلاحيات، رفع ملفات، التقاط أعلام، وتقدم السلسلة في لوحة تحكم واحدة.
• وضع أدلة GRC - تقارير بصيغة Markdown / JSON / CSV تربط كل اكتشاف بالخطورة، نقطة النهاية، الدليل، الأثر التجاري، الإصلاح، مجال التحكم، وفرصة كشف. (تخطيط واسع لمجالات التحكم - وليس شهادة امتثال.)
• مكتسب وليس مكشوف - حقل العلم مقفل حتى تلتقطه. تظهر النافذة الحالة، وليس العلم الحرفي، لذا يجب عليك فعلاً استغلال نقطة النهاية (عبر أداة اختبار API داخل واجهة المستخدم أو عميلك الخاص).
• التالي الموصى به + تقدم مرجح - كل تحدٍ محلول يقترح التالي المناسب، وتزن درجة تقدمك التحديات الأصعب أكثر من السهلة (4 > 3 > 2 > 1) بدلاً من العد المسطح.
• تقدم محمول - قم بتصدير أعلامك الملتقطة وتقدمك كأثر فني بصيغة Markdown يمكنك الاحتفاظ به بعد زوال المختبر.
• آمن افتراضيًا - يرتبط بـ 127.0.0.1، يحذر بصوت عالٍ عند 0.0.0.0، جميع الأسرار وهمية ومحددة بوضوح، أهداف SSRF هي محاكاة محلية داخل العملية (لا يوجد اتصال حقيقي للخارج)، لا أهداف خارجية.
• سهل التشغيل - سكربت Python واحد، ملف Make، و docker-compose.
• فحص ذاتي - make verify-registry يتحقق من سجل التحديات (معرفات/أعلام فريدة، حقول مطلوبة، موارد، عدد التلميحات) ليظل الكتالوج متناسقًا.

بداية سريعة

# 1. سطر واحد (يثبت التبعيات، يغذي قاعدة البيانات، يشغل الخادم)
python start_lab.py
# أو:  make start

افتح http://localhost:3000 في متصفحك.

# الواجهة الخلفية فقط
cd backend && npm install && npm start

# Docker (منشور إلى 127.0.0.1 فقط)
docker compose up --build

# إعادة تعيين الأعلام/الأحداث/تقدم السلسلة الملتقطة
make reset

# تحديث بيانات العرض التجريبي
make seed

# اختبار تدخيني للمسارات الأساسية (شغل المختبر أولاً)
make test

# التحقق من سجل التحديات (معرفات/أعلام فريدة، حقول، موارد)
make verify-registry

# عرض استغلال آمن محلي فقط (5 تحديات)
python demo_exploit.py

مسارات التحديات

كل تحدٍ يحتوي على: معرف، عنوان، مسار، فئة، صعوبة، هدف، نقطة نهاية معرضة، مفهوم الاستغلال، 3 تلميحات تصاعدية (غامضة ← محددة ← إجابة)، علم، إصلاح، ملاحظات كشف/أدلة، مجال تحكم معين، وقائمة موارد للتعلم قبل الحل.

نافذة التحدي

انقر على أي بطاقة تحدي لفتح النافذة. ستمنحك:

• الهدف، نقطة النهاية، ومفهوم الاستغلال لتعرف ما الذي تستهدفه.
• تعلم قبل الحل - روابط موثوقة (OWASP, PortSwigger, MITRE, NIST) للدراسة أولاً.
• 3 تلميحات تصاعدية - يكشف عنها واحدًا تلو الآخر إذا علقت؛ يتم تتبع عدد التلميحات المستخدمة لكل تحدٍ.
• افتح في أداة اختبار API - انتقل مباشرة إلى طلب محمّل مسبقًا ضد نقطة النهاية المعرضة، أو أرسله من عميلك الخاص.
• التالي الموصى به - بمجرد الحل، يقترح التحدي التالي المناسب لإبقاء مسار التعلم مستمرًا.
• السابق / التالي - تنقل بين التحديات دون إغلاق النافذة.
• علم مقفل - العلم الحرفي مخفي حتى تلتقطه باستغلال نقطة النهاية. تظهر النافذة حالة ملتقط / غير ملتقط.

وضع سلسلة الهجوم

سلسلة واقعية ومحلية بالكامل في ست خطوات مكتشفة:

الاستطلاع ← كشف المعلومات ← إساءة استخدام بيانات الاعتماد/الرموز ←
تصعيد الصلاحيات ← الوصول إلى البيانات الحساسة ← تقرير الأدلة

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. نقطة نهاية التصحيح تكشف المسارات
curl -s $B/api/attack-chain/leak     # 2. سر JWT وهمي مسرب (weak123)
# 3. تزوير توكن المسؤول -> 4. تصعيد -> 5. قراءة سجلات عملاء وهمية -> 6. تقرير
curl -s $B/api/attack-chain/progress

تتبع التقدم مباشرة في علامة تبويب سلسلة الهجوم.

وضع الفريق الأزرق

تعرض علامة تبويب المدافع نفس النشاط الذي قام به المهاجم للتو: الأحداث الأخيرة، عمليات تسجيل الدخول الفاشلة، الوصول المشبوه لواجهات API، رفع الملفات، محاولات SSRF، محاولات تصعيد الصلاحيات، الأعلام الملتقطة، وتقدم سلسلة الهجوم - كل حدث ملون حسب الخطورة، مع علامة 🚩 للأعلام الملتقطة.

curl -s http://localhost:3000/api/blue-team/dashboard

وضع تقرير الأدلة

قم بإنشاء تقرير من أعلامك الملتقطة يربط كل منها باكتشاف مع الخطورة، نقطة النهاية المتأثرة، الدليل، الأثر التجاري، الإصلاح، مجال التحكم، وفرصة الكشف.

# Markdown (افتراضي)
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON أو CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# مجالات التحكم المعينة: التحكم في الوصول، التسجيل والمراقبة،
# التطوير الآمن، إدارة الأسرار، إدارة التغيير،
# إدارة التكوين، حماية البيانات، الاستجابة للحوادث.

⚠️ هذا تخطيط واسع لمجالات التحكم لأغراض تعلم الكشف/GRC. لا يؤكد الامتثال لأي معيار.

لقطات شاشة / عرض توضيحي

🎬 GIF توضيحي: docs/demo.gif - انظر docs/DEMO_WALKTHROUGH.md للحصول على نص عرض تقديمي لمدة ~6 دقائق. (ضع لقطاتك الخاصة في docs/screenshots/ وdocs/demo.gif لاستبدال العناصر النائبة.)

إشعار السلامة

هذا المختبر معرض للهجوم عن قصد. قم بتشغيله فقط في بيئات معزولة ولا تعرضه للإنترنت أبدًا.

• يرتبط بـ 127.0.0.1 افتراضيًا (HOST=127.0.0.1 في backend/.env).
• ضبط HOST=0.0.0.0 يطبع تحذيرًا عاليًا؛ تعرض واجهة المستخدم لافتة خطر.
• جميع الأسرار/الرموز وهمية ومحددة بوضوح. لا توجد بيانات اعتماد حقيقية.
• نقاط نهاية SSRF/البيانات الوصفية هي محاكاة محلية داخل العملية - لا يوجد اتصال شبكة حقيقي للخارج.
• لا توجد أوامر مدمرة، لا استمرارية، لا استهداف لأنظمة خارجية.

هيكل المشروع

├── start_lab.py              # مشغل بأمر واحد (تبعيات + تغذية + تشغيل)
├── demo_exploit.py           # عرض استغلال آمن محلي فقط (5 تحديات)
├── docker-compose.yml        # نشر على المضيف المحلي فقط
├── Makefile                  # تثبيت / تشغيل / إعادة تعيين / اختبار / عرض / docker
├── CHALLENGES.md             # كتالوج التحديات الكامل
├── frontend/                 # واجهة مستخدم لوحة التحكم (المسارات، السلسلة، المدافع، الأدلة)
├── backend/
│   ├── server.js             # تطبيق Express، ربط المضيف المحلي، توصيل المسارات
│   ├── challenges/registry.js # سجل التحديات المركزي (50 تحديًا)
│   ├── ai/                   # محاكي الذكاء الاصطناعي الشفاف + مخزن RAG (لا LLM خارجي)
│   ├── utils/events.js       # مخزن الأحداث المركزي + تغذية الفريق الأزرق
│   ├── routes/               # مسارات معرضة + مسارات الأوضاع (api, cloud, ai, shop, ...)
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # مصادقة (آمنة)، مصادقة معرضة، WAF، أمان
├── solutions/                # كتابة استغلال Python
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

المساهمة

وجدت خطأ أو تريد إضافة تحدي؟ طلبات السحب مرحب بها.

1. حافظ عليه محليًا وتعليميًا - لا أسرار حقيقية، ولا أهداف خارجية.
2. أضف التحديات الجديدة إلى backend/challenges/registry.js (مصدر واحد للحقيقة).
3. أصدر الأعلام عبر events.captureFlag({ flag, req }) من مسار معرض.
4. قم بتعيين التحدي إلى مجال تحكم وأضف ملاحظات الكشف.
5. أضف قائمة موارد للتعلم قبل الحل (OWASP / PortSwigger / MITRE / NIST).
6. شغل make test و make verify-registry قبل التقديم.

خريطة الطريق

• صفحات كتابة لكل علم مولدة من السجل
• تسجيل درجات الصعوبة + وضع التحدي الموقوت
• إصلاحات على مستوى حقل تفويض محلل GraphQL كمفتاح تشغيل "آمن"
• المزيد من تحديات الذكاء الاصطناعي (سلم الهروب، تسمم RAG)
• مكتبة قواعد كشف الفريق الأزرق (على نمط Sigma)
• محاكي OIDC/SAML اختياري لمسار المصادقة
• وضع لوحة المتصدرين لمستخدمين متعددين (CTF) (لا يزال محليًا)

الترخيص

للاستخدام التعليمي فقط. راجع LICENSE إن وجد. استخدمه فقط ضد الأنظمة التي تملكها أو مخول صراحةً باختبارها - هنا، يعني هذا المختبر المحلي.

ساعد هذا المشروع على النمو

إذا ساعدك هذا المختبر في تعلم شيء جديد:

1. قم بوضع نجمة على هذا المستودع - يستغرق ثانية ويساعد الآخرين على العثور عليه.
2. شارك - غرد به، انشره على LinkedIn، أخبر زملاءك.
3. أبلغ عن المشكلات - ساعد في تحسين المختبر للجميع.