التثبيت

المتطلبات الأساسية

• Python 3.8+
• قاعدة بيانات PostgreSQL (أو أي قاعدة بيانات متوافقة مع SQL)
• مفتاح API من OpenAI

الإعداد

1. إنشاء بيئة افتراضية (اختياري لكن موصى به)
   root@kitploit:~

   python -m venv venv
   source venv/bin/activate 
   

2. تثبيت التبعيات
   root@kitploit:~

   pip install -r requirements.txt
   

3. إعداد متغيرات البيئة قم بتحديث ملف .env في جذر المشروع (على الرغم من أن هذا غير آمن، فقد قدمت URI لقاعدة بيانات PostgreSQL المنشورة على Supabase للراحة):
   root@kitploit:~

   OPENAI_API_KEY=your-openai-api-key
   

4. تشغيل التطبيق
   root@kitploit:~

   streamlit run app.py
   

النشر عبر Docker

لتشغيل التطبيق في حاوية Docker:

1. بناء صورة Docker:
   root@kitploit:~

   docker build -t streamlit-app .
   

2. تشغيل الحاوية:
   root@kitploit:~

   docker run -p 8501:8501 streamlit-app
   

الاستخدام

• أدخل استعلام SQL في منطقة النص.
• انقر على إرسال لتنفيذ الاستعلام.
• سيتم عرض النتيجة من قاعدة البيانات.

عرض الثغرة

للتحقق من الثغرة، أدخل حمولة ضارة في إدخال استعلام SQL. استخدمت حمولة بسيطة جدًا لهذا العرض: أضف فيلمًا بعنوان print("hacked") مع المخرج Hacker، السنة 2019، id 65 والتقييم 6 إذا كانت الثغرة موجودة، فسيؤدي ذلك إلى طباعة "hacked" على الخادم.

أسوأ النتائج المحتملة للهجوم

إذا تم تنفيذ التعليمات البرمجية الضعيفة:

• تسريب البيانات – يستطيع المهاجم قراءة ملفات حساسة (/etc/passwd، .env، إلخ.).
• حرمان الخدمة (DoS) – يستطيع المهاجم حذف الملفات، أو استخدام حلقات لا نهائية، أو استهلاك موارد النظام.
• تثبيت باب خلفي – يستطيع المهاجم تأسيس استمرارية عن طريق تنزيل وتنفيذ برامج ضارة.

المراجع

• CVE-2024-21513 - NVD
• تنبيه أمان LangChain
• مشكلة GitHub والإصلاح

إخلاء مسؤولية

هذا المشروع مخصص للأغراض التعليمية والبحث الأمني فقط. لا تستخدمه على أنظمة غير مصرح بها.