يتم فحص الكود المُولَّد بمقارنته مع وثائق Microsoft Learn، ثم أقوم بترجمته بنفسي.
بعد ذلك، أقوم بتحليل الملف التنفيذي الذي ترجمته بنفسي باستخدام Ghidra أو IDA أو ما شابه، وأقارن الكود المصدري الأصلي مع نتائج التفكيك وإعادة الترجمة العكسية.

أدرس باستخدام الحلقة التالية.```text
LLMに小さなコードを作らせる
        ↓
ソースコードを読む・APIを調べる
        ↓
自分でビルドする
        ↓
Ghidraなどで解析する
        ↓
元のソースコードと比較する
        ↓
分からない部分だけLLMに質問する
        ↓
別の条件で再ビルドして比較する

## 主な機能

- **自動偵察**: サブドメイン、ライブホスト、URL、JavaScriptファイル、パラメータを検出します。
- **脆弱性スキャン**: XSS、SQLi、LFI、オープンリダイレクト、CRLFインジェクション、CORSの設定ミスなどをチェックします。
- **シークレット検出**: APIキー、トークン、認証情報を検出します。
- **ディレクトリブルートフォース**: 一般的なパスや機密性の高いパスを検出します。
- **レポート生成**: 人間が読める形式と機械が読める形式（JSON）の両方で出力します。
- **モジュール式アーキテクチャ**: 各フェーズは独立して実行できます。

## インストール

```bash
git clone https://github.com/yourusername/autopentestx.git
cd autopentestx
pip install -r requirements.txt

python autopentestx.py -d example.com --all

## الميزات الرئيسية

- **اكتشاف تلقائي للتقنيات**: التعرف على التقنيات المستخدمة في الموقع المستهدف
- **كشف WAF**: تحديد جدران الحماية (WAF) وطبقات الحماية
- **تحليل الأمان**: فحص التكوينات الأمنية الشائعة الخطأ
- **تقييم المخاطر**: تقييم مستوى خطورة النتائج
- **تقارير شاملة**: إنشاء تقارير مفصلة بتنسيقات متعددة
- **واجهة تفاعلية**: واجهة سطر أوامر سهلة الاستخدام

## التثبيت

### المتطلبات الأساسية

- Python 3.8 أو أحدث
- pip (مدير حزم Python)

### التثبيت من المصدر

```bash
# استنساخ المستودع
git clone https://github.com/yourusername/kitploit-tool.git
cd kitploit-tool

# إنشاء بيئة افتراضية
python3 -m venv venv
source venv/bin/activate  # على Linux/Mac
# أو
venv\Scripts\activate  # على Windows

# تثبيت التبعيات
pip install -r requirements.txt

# تثبيت الأداة
pip install -e .

pip install kitploit-tool

# فحص موقع واحد
kitploit-tool scan https://example.com

# فحص عدة مواقع
kitploit-tool scan https://example.com https://test.com

# فحص من ملف
kitploit-tool scan -f targets.txt

# تحديد مستوى العمق
kitploit-tool scan https://example.com --depth 3

# تفعيل الوضع المفصل
kitploit-tool scan https://example.com --verbose

# حفظ النتائج في ملف
kitploit-tool scan https://example.com --output results.json

# تحديد تنسيق الإخراج
kitploit-tool scan https://example.com --format json

kitploit-tool scan https://example.com

kitploit-tool scan https://example.com --verbose --output report.html --format html

kitploit-tool scan -f targets.txt --output results.json --format json

# config.yaml
scan:
  timeout: 30
  threads: 10
  depth: 2
  user_agent: "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"

output:
  format: json
  verbose: false
  save_path: "./results"

detection:
  waf_detection: true
  tech_detection: true
  security_headers: true

# تعيين مهلة الفحص
export KITPLOIT_TIMEOUT=60

# تعيين عدد الخيوط
export KITPLOIT_THREADS=20

# تعيين مفتاح API
export KITPLOIT_API_KEY=your_api_key_here

kitploit-tool --help

kitploit-tool scan [OPTIONS] TARGETS...

kitploit-tool report [OPTIONS] INPUT_FILE

from kitploit_tool import Scanner

# إنشاء مثيل الماسح الضوئي
scanner = Scanner(
    timeout=30,
    threads=10,
    depth=2
)

# فحص هدف
results = scanner.scan("https://example.com")

# الوصول إلى النتائج
print(results.technologies)
print(results.waf)
print(results.security_headers)

# تشغيل خادم API
kitploit-tool server --port 8080

# إرسال طلب فحص
curl -X POST http://localhost:8080/api/scan \
  -H "Content-Type: application/json" \
  -d '{"target": "https://example.com"}'

{
  "target": "https://example.com",
  "timestamp": "2024-01-15T10:30:00Z",
  "technologies": [
    {
      "name": "Nginx",
      "version": "1.18.0",
      "category": "web-server"
    },
    {
      "name": "PHP",
      "version": "7.4",
      "category": "programming-language"
    }
  ],
  "waf": {
    "detected": true,
    "name": "Cloudflare",
    "confidence": 95
  },
  "security_headers": {
    "strict-transport-security": {
      "present": true,
      "value": "max-age=31536000"
    },
    "content-security-policy": {
      "present": false,
      "value": null
    }
  }
}

# التحقق من الاتصال
ping example.com

# زيادة المهلة
kitploit-tool scan https://example.com --timeout 60

# تفعيل الوضع المفصل
kitploit-tool scan https://example.com --verbose

# التحقق من رؤوس HTTP
curl -I https://example.com

# تشغيل بصلاحيات المسؤول (إذا لزم الأمر)
sudo kitploit-tool scan https://example.com

# تفعيل تسجيل التصحيح
export KITPLOIT_DEBUG=1
kitploit-tool scan https://example.com

## 検出ルール

### ルール1: 不審な親プロセス

```yaml
id: proc_parent_anomaly
description: 不審な親プロセスからの実行を検出
severity: high
conditions:
  - field: parent_process
    operator: in
    values: [winword.exe, excel.exe, outlook.exe, chrome.exe]
  - field: process_name
    operator: in
    values: [powershell.exe, cmd.exe, wscript.exe, cscript.exe, mshta.exe]
action: alert

id: cmdline_obfuscation
description: 難読化されたコマンドライン引数を検出
severity: critical
conditions:
  - field: command_line
    operator: regex
    values:
      - "(?i)(-enc|-encodedcommand|frombase64string)"
      - "(?i)(iex|invoke-expression|downloadstring)"
      - "(?i)(bypass|hidden|noprofile)"
action: block

id: persistence_attempt
description: 永続化メカニズムの確立を検出
severity: high
conditions:
  - field: registry_key
    operator: contains
    values:
      - "CurrentVersion\\Run"
      - "CurrentVersion\\RunOnce"
      - "Winlogon\\Shell"
  - field: file_path
    operator: contains
    values:
      - "\\Startup\\"
      - "\\Tasks\\"
action: alert

id: credential_access
description: 認証情報のダンプや窃取を検出
severity: critical
conditions:
  - field: command_line
    operator: regex
    values:
      - "(?i)(lsass|sam|ntds|sekurlsa)"
      - "(?i)(mimikatz|procdump|comsvcs)"
  - field: target_process
    operator: in
    values: [lsass.exe, sam, ntds.dit]
action: block

id: lateral_movement
description: リモート実行や横展開を検出
severity: high
conditions:
  - field: network_connection
    operator: regex
    values:
      - "(?i)(445|135|139|5985|5986)"
  - field: command_line
    operator: regex
    values:
      - "(?i)(psexec|wmic|winrs|invoke-command)"
action: alert

{
  "timestamp": "2024-01-15T10:30:45.123Z",
  "rule_id": "cmdline_obfuscation",
  "rule_name": "難読化されたコマンドライン",
  "severity": "critical",
  "action": "block",
  "event": {
    "process_name": "powershell.exe",
    "process_id": 4567,
    "parent_process": "winword.exe",
    "parent_process_id": 1234,
    "command_line": "powershell.exe -enc SQBFAFgA...",
    "user": "DOMAIN\\user",
    "hostname": "WORKSTATION01"
  },
  "mitre_attack": {
    "technique_id": "T1027",
    "technique_name": "Obfuscated Files or Information",
    "tactic": "Defense Evasion"
  }
}

{"timestamp":"2024-01-15T10:30:45.123Z","level":"ALERT","rule_id":"cmdline_obfuscation","severity":"critical","process":"powershell.exe","pid":4567,"user":"DOMAIN\\user","hostname":"WORKSTATION01","action":"block"}
{"timestamp":"2024-01-15T10:30:46.456Z","level":"INFO","rule_id":"proc_parent_anomaly","severity":"high","process":"cmd.exe","pid":4568,"user":"DOMAIN\\user","hostname":"WORKSTATION01","action":"alert"}

# config.yaml
engine:
  max_events: 10000
  buffer_size: 1000
  worker_threads: 4
  log_level: info

rules:
  directory: ./rules
  auto_reload: true
  reload_interval: 30s

output:
  format: json
  destination: stdout
  file: ./logs/alerts.jsonl
  rotation:
    enabled: true
    max_size: 100MB
    max_files: 10

integrations:
  syslog:
    enabled: false
    address: "localhost:514"
    protocol: udp
  webhook:
    enabled: true
    url: "https://example.com/webhook"
    timeout: 5s

## 検出ルールの追加

`rules/` ディレクトリに新しい YAML ファイルを作成します：

```yaml
# rules/my-detection.yml
title: 不審な PowerShell 実行
id: 12345678-1234-1234-1234-123456789abc
status: experimental
description: エンコードされた PowerShell コマンドの実行を検出します
author: Your Name
date: 2024/01/01
logsource:
    product: windows
    service: powershell
detection:
    selection:
        EventID: 4104
        ScriptBlockText|contains:
            - 'FromBase64String'
            - 'EncodedCommand'
    condition: selection
level: high
tags:
    - attack.execution
    - attack.t1059.001

# ルールの構文を検証
python -m sigma validate rules/my-detection.yml

# ルールをバックエンド形式に変換
python -m sigma convert -t splunk rules/my-detection.yml

# すべてのルールをテスト
python -m pytest tests/

بدلاً من طلب الإجابة مباشرةً، يُوصى باستخدامه لطلب التلميحات ونقاط التحقق وطرق التحقق.

### Agentic Reverse Engineering

اعتبارًا من عام 2026، لم يعد استخدام LLM التفاعلي مثل ChatGPT متاحًا فحسب، بل أصبح من الممكن أيضًا استخدام Coding Agent القادر على قراءة وكتابة الملفات وبناء البرامج وتنفيذ الأوامر.
علاوة على ذلك، من خلال استخدام MCP (Model Context Protocol) وما شابه، ينتشر أيضًا أسلوب تشغيل أدوات التحليل مباشرةً من AI Agent.
على سبيل المثال، يوفر REMnux خادم MCP Server لاستخدام أدوات تحليل البرمجيات الخبيثة على REMnux من AI Agent.
- [Using AI with REMnux](https://docs.remnux.org/tips/using-ai)
- [REMnux MCP Server](https://github.com/REMnux/remnux-mcp-server)

بالنسبة لـ Ghidra أيضًا، ظهرت عدة تطبيقات MCP لتشغيلها من AI Agent. أنا أيضًا أطوّر Mecha Ghidra لاستخدام Ghidra في وضع Headless وإجراء التحليل من AI Agent عبر MCP.
- [Mecha Ghidra](https://github.com/ghidra-user-jp/mecha_ghidra)

بالنسبة لـ IDA وأدوات الهندسة العكسية الأخرى أيضًا، ظهرت عدة تطبيقات للتكامل مع MCP وAgent، وأصبح من الممكن ترك مهام التحليل التي كان البشر يقومون بها يدويًا للـ Agent.
من ناحية أخرى، لا يُوصى بترك كل التحليل للـ Agent منذ مرحلة المبتدئ. لأن ذلك يجعل من الصعب اكتساب القدرة على الحكم بنفسك على أشياء مثل «لماذا أجريت ذلك التحليل» و«ما الذي تفعله الأداة داخليًا» و«هل النتيجة المُخرجة صحيحة».

من الأفضل أن تبدأ بالتحليل بنفسك، ثم طرح الأسئلة على LLM في الأجزاء التي لا تفهمها. وعندما تكتسب الخبرة، يُوصى بالتقدم تدريجيًا نحو إنشاء نصوص دعم التحليل، وربط الأدوات عبر MCP، وأتمتة التحليل باستخدام Agent.

### تنبيهات عند إدخال المعلومات إلى LLM

يجب الحذر عند إدخال البرمجيات الخبيثة التي تتعامل معها في العمل، أو الملفات المقدمة من العملاء، أو مؤشرات الاختراق IoC غير المنشورة، أو معلومات الحوادث، أو المعلومات الداخلية للشركة، إلى خدمات LLM الخارجية.
تحقق من شروط عقد الخدمة التي تستخدمها، ومدة الاحتفاظ بالبيانات، ووجود استخدام للتدريب أم لا، وقواعد المؤسسة التي تنتمي إليها، قبل الاستخدام.

حسب الحاجة، فكّر في التدابير التالية.
- إخفاء المعلومات الحساسة
- استخدام خدمات LLM المسموح بها في المؤسسة
- التحقق من طريقة تعامل API والخدمات الموجهة للمؤسسات مع البيانات
- استخدام LLM محلي عند الحاجة

كما أن جسم البرمجية الخبيثة أو الملفات المستهدفة بالتحليل أو نتائج التحليل قد تحتوي على سلاسل نصية توجّه AI Agent إلى سلوك غير مقصود.
خاصةً عندما يكون AI Agent قادرًا على عمليات الملفات وتنفيذ الأوامر وتشغيل أدوات التحليل، فإنه يمتلك صلاحيات أقوى من LLM العادي. لذلك، عند استخدام AI Agent في تحليل البرمجيات الخبيثة، يُوصى بتشغيله في بيئة معزولة مثل VM لضمان السلامة.

أصبح الذكاء الاصطناعي ذكيًا جدًا، لكنه مع ذلك قد ينفذ أوامر غير مقصودة.
استخدمه مع الالتزام بالأساسيات المتمثلة في عزل بيئة التحليل، تمامًا كما في تحليل البرمجيات الخبيثة التقليدي.

# التعلم دون استخدام برمجيات خبيثة حقيقية

اعتبارًا من عام 2026، لا حاجة للحصول على برمجيات خبيثة حقيقية منذ البداية لدراسة تحليل البرمجيات الخبيثة.
بل يُوصى للمبتدئين بالترتيب التالي.

1. برامج صغيرة من حوالي 10 إلى 50 سطرًا من إنشاء LLM أو من إنشائك الخاص
2. نماذج Windows API قمت بتجميعها بنفسك
3. نماذج تدريبية لتحليل البرمجيات الخبيثة / CTF / Crackme
4. تطبيقات OSS مفتوحة المصدر مثل البرمجيات الخبيثة وأطر C2
5. البرمجيات الخبيثة الحقيقية فقط عند الضرورة وعند القدرة على تجهيز بيئة تحليل آمنة

في البداية، يُوصى باستخدام برامج تعرف شيفرتها المصدرية الأصلية كمواد تعليمية.
لأنه يمكنك مقارنة نتائج تحليلك مع الشيفرة المصدرية الفعلية، فيمكنك التحقق بنفسك من «إلى أي مدى حللت بشكل صحيح» و«أين أخطأت في القراءة».
أعتقد أن استخدام مواد تعليمية يمكن التحقق من إجاباتها أولاً للتعود على قراءة نتائج التفكيك وإلغاء التجميع، أكثر كفاءة في التعلم من تحليل برمجيات خبيثة حقيقية فجأة.

# الحصول على البرمجيات الخبيثة

## مقدمة

سنتناول هنا طرق الحصول على البرمجيات الخبيثة، لكن عند استخدام الخدمات المذكورة، تأكد من قراءة شروط الاستخدام قبل الاستخدام.
كما أن المحتوى التالي لا يهدف إلى الترويج للحصول على البرمجيات الخبيثة.

في جريمة السجلات الإلكترونية المغناطيسية ذات الأوامر غير المشروعة، تُعد الغاية أو وجود سبب مشروع من المتطلبات فيما يتعلق بإنشاء البرمجيات الخبيثة وتوفيرها والحصول عليها وحيازتها.
بما أنني لست خبيرًا قانونيًا، فلا أعرف ما هو السبب الذي يُعتبر `سببًا مشروعًا` قانونيًا.
قد لا يُعتبر إجراء تحليل البرمجيات الخبيثة كهواية شخصية `سببًا مشروعًا`.
بالنسبة للأشخاص الذين يريدون بالتأكيد عيش حياة هادئة، مثل من يجدون حرجًا إذا تم التحقيق معهم، أو يجدون حرجًا إذا وصل الأمر إلى المحكمة، أو ليس لديهم سجل أنشطة يمكن تقديمه كسبب مشروع، أو ليس لديهم ميزانية لأتعاب المحاماة، أعتقد أنه من الأفضل عدم القيام بذلك كهواية شخصية.

مع ذلك، لا أعتقد أن هناك حاجة للخوف المفرط والتردد.
كحد أدنى، اطّلع على الصفحة المتعلقة بجريمة السجلات الإلكترونية المغناطيسية ذات الأوامر غير المشروعة التي تنشرها شرطة العاصمة طوكيو، وتحقق من محتواها.

- https://www.keishicho.metro.tokyo.jp/kurashi/cyber/law/virus.html

الأمور التي يجب الانتباه إليها عند التعامل مع البرمجيات الخبيثة ليست قانونية فقط.
عند تنفيذ برمجية خبيثة (سواء عن قصد أم لا)، في معظم الحالات سيتم الوصول إلى خادم أعده المهاجم.
سيُترك سجل عنوان IP الذي تستخدمه على خادم المهاجم، وقد تُرسل معلومات النظام المستخدم عند الاتصال أيضًا.
حسب البرمجية الخبيثة، قد يُنفذ المهاجم أوامر، وقد يتم فحص الشبكة الداخلية أو (وهو ما يجب تجنبه بأقصى قدر) أنشطة إصابة خارجية.
المعلومات المسجلة على خادم المهاجم قد تُقدَّم ليس للمهاجم نفسه فقط بل لأطراف ثالثة. كما يمكن لجهات التحقيق مصادرة الخادم وتحليل السجلات ثم تقديم طلب الكشف عن المعلومات إلى مزود خدمة الإنترنت ISP.

إذا انطبق عليك أيٌّ مما يلي، فامتنع عن التعلم باستخدام برمجيات خبيثة حقيقية.

- لديك قلق بشأن التعامل مع البرمجيات الخبيثة.
- لا يمكنك تجهيز بيئة معزولة مثل جهاز كمبيوتر مخصص لتحليل البرمجيات الخبيثة أو شبكة مستقلة.
- أنت قاصر أو طالب، ولكن لا يوجد مسؤول عن التحليل أو البحث الذي يتعامل مع البرمجيات الخبيثة (إذا كنت موظفًا، فلا يمكنك تحمل المسؤولية الكاملة على أنها مسؤوليتك الشخصية).

حتى لو لم تحصل على برمجيات خبيثة حقيقية بشكل شخصي، فقد ذكرنا سابقًا طرق التعلم.

أخيرًا، سأختم المقدمة بالاقتباسات الشهيرة التالية التي يحبها جميع المهووسين.
- `With great power comes great responsibility`
- `The abyss gazes also into you.`

## خدمات مشاركة البرمجيات الخبيثة / خدمات مشاركة IoC

هناك عدة خدمات لمشاركة عينات البرمجيات الخبيثة ومؤشرات الاختراق IoC. الخدمة الأكثر تسجيلًا وشهرة هي VirusTotal، لكن التحميل متاح فقط للحسابات المدفوعة، لذا سنقدم هنا الخدمات المتاحة مجانًا.

هاتان الخدمتان هما الأبرز كمصدر للحصول على العينات.
- [MalwareBazaar](https://bazaar.abuse.ch/)
- [Vx Underground](https://www.vx-underground.org/)

كمرجع، نذكر أيضًا الخدمات التالية.
- [URLhaus](https://urlhaus.abuse.ch/)
- [ThreatFox](https://threatfox.abuse.ch/)
- [MalShare](https://www.malshare.com/)
- [VirusShare](https://virusshare.com/)
- [VirusBay](https://beta.virusbay.io/)
- [Vx Vaul](http://vxvault.net//ViriList.php)
- [theZoo](https://thezoo.morirt.com/)
- [malpedia](https://malpedia.caad.fkie.fraunhofer.de/)

## صناديق الرمل عبر الإنترنت

خدمات صناديق الرمل عبر الإنترنت المتاحة مجانًا هي في الأصل خدمات لتحليل سلوك البرمجيات الخبيثة، لكن يمكن تحميل البرمجيات الخبيثة التي نشرها آخرون.

- [Hybrid Analysis](https://www.hybrid-analysis.com/)
- [Any Run](https://app.any.run/)
- [Triage](https://tria.ge/)
- [Joe Sandbox](https://www.joesandbox.com/)
- [cape](https://capesandbox.com/)

## OSS RAT

فيما يلي مستودعات مفيدة لفهم تطبيقات RAT (حصان طروادة للوصول عن بُعد).
من خلال مقارنة الشيفرة المصدرية مع الملفات الثنائية الفعلية، يمكنك تعلم تطبيقات معالجة الاتصالات وتنفيذ الأوامر وعمليات الملفات وغيرها.

- [Lilith RAT](https://github.com/werkamsus/Lilith)
- [Quasar RAT](https://github.com/quasar/Quasar)
- [NGLite](https://github.com/Maka8ka/NGLite)
- [AsyncRAT](https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp)
- [trochilus RAT](https://github.com/5loyd/trochilus)
- [gh0st RAT](https://github.com/sin5678/gh0st)
- [Poison-Ivy-Reload](https://github.com/killeven/Poison-Ivy-Reload)
- [GitHub Topics rat](https://github.com/topics/rat)

## أطر C2

لفهم اتصالات C2 للبرمجيات الخبيثة وتطبيقات Agent، فإن قراءة الشيفرة المصدرية لأطر C2 مفتوحة المصدر مفيدة أيضًا.
تحتوي أطر C2 على وظائف شائعة في البرمجيات الخبيثة، مثل الاتصال بين Agent وC2 Server، واستقبال الأوامر وتنفيذها، وعمليات الملفات، وعمليات العمليات، وتشفير بيانات الاتصال.
تختلف لغة التطبيق وبنية Agent وطريقة الاتصال في كل منها، لذا قد يكون من الجيد إجراء هندسة عكسية بمقارنة الشيفرة المصدرية مع Agent المُولَّد.

- [Sliver](https://github.com/BishopFox/sliver)
- [Mythic](https://github.com/its-a-feature/Mythic)
- [Mythic Agents](https://github.com/MythicAgents)
- [AdaptixC2](https://github.com/Adaptix-Framework/AdaptixC2)
- [Empire](https://github.com/BC-SECURITY/Empire)
- [PoshC2](https://github.com/nettitude/PoshC2)
- [Merlin](https://github.com/Ne0nd0g/merlin)
- [MITRE CALDERA](https://github.com/mitre/caldera)
- [Havoc](https://github.com/HavocFramework/Havoc)
- [The C2 Matrix](https://www.sans.org/tools/the-c2-matrix)
  - قائمة لمقارنة وظائف وخصائص أطر C2 المختلفة