ادعم التطوير

إذا كان هذا المشروع يساعدك في عملك، فادعم الصيانة المستمرة والميزات الجديدة.

محفظة التبرع بـ ETH
0x11282eE5726B3370c8B480e321b3B2aA13686582

امسح رمز QR أو انسخ عنوان المحفظة أعلاه.

BurpWpsScan

امتداد لـ Burp Suite يكتشف مواقع ووردبريس أثناء اختبار تطبيقات الويب (كشف سلبي + تحقق نشط)، ويُجري تقييمات أمنية شاملة تشمل فحص ثغرات نواة ووردبريس وإضافاته وقوالبه عبر WPScan API، ويختبر تعرّض XML-RPC وREST API، ويُعدّد المستخدمين، ويتحقق من إصدارات الإضافات، ويُنشئ تقارير اختبار اختراق جاهزة للذكاء الاصطناعي.

متوافق مع إصداري Burp Suite Community وProfessional.

لقطات الشاشة

الواجهة الرئيسية

واجهة WpsScan الرئيسية التي تعرض مواقع ووردبريس المكتشفة مع مؤشرات الحالة وأدوات التحكم في الفحص

التقارير المُصدَّرة

هيكل تصدير منظم يتضمن تقارير JSON وMarkdown وتقارير جاهزة للذكاء الاصطناعي لكل موقع تم فحصه

مخرجات WPScan JSON الخام

مخرجات JSON مفصلة تحتوي على بيانات الثغرات الكاملة والبيانات الوصفية للفحص

الميزات

الكشف والاستكشاف

• الكشف المباشر عن ووردبريس: يحدد مواقع ووردبريس بشكل سلبي من حركة مرور HTTP في الوقت الفعلي
• فحص سجل HTTP: فحص سجل Burp الخاص بـ HTTP للعثور على مواقع ووردبريس من حركة المرور السابقة (موسومة بعلامة [HTTP HISTORY])
• استيراد URLs بالجملة: التحقق الفعّال من عدة URLs واستيرادها للكشف الدفعي عن ووردبريس
• اكتشاف الإضافات والقوالب: استخراج الإضافات والقوالب من استجابات HTTP والسجل
• كشف الإصدار: تحديد إصدار نواة ووردبريس من مصادر متعددة (وسوم meta، الخلاصات، API)

فحص الثغرات

• التكامل مع WPScan API: الاستعلام عن قاعدة بيانات ثغرات WPScan من أجل:
  • ثغرات نواة ووردبريس
  • ثغرات الإضافات (أكثر من 80 إضافة عالية الخطورة + حتى 3 إضافات أخرى)
  • ثغرات القوالب
• تفاصيل الثغرات في الوقت الفعلي: يعرض عنوان الثغرة ونوعها فور فحص كل مكوّن
• الفحص الذكي للإضافات: يفحص جميع الإضافات عالية الخطورة (أكثر من 80) + حتى 3 إضافات أخرى (يوفر 60-80% من رصيد API)
• ذاكرة تخزين API مؤقتة لمدة 24 ساعة: لا يعيد فحص نفس الإضافة/القالب مرتين خلال 24 ساعة (يُحتفظ به عبر إعادة تشغيل Burp)

التقييمات الأمنية

• اختبار أمان XML-RPC:
  • يكتشف ما إذا كانت نقطة نهاية XML-RPC مفعّلة
  • يختبر طريقة pingback.ping (خطر تضخيم هجمات DDoS)
  • يختبر طريقة system.multicall (خطر تضخيم هجمات القوة الغاشمة)
• اكتشاف REST API:
  • يعدّد نقاط نهاية REST API المتاحة في ووردبريس (/wp-json/wp/v2/)
  • يختبر نقاط نهاية المستخدمين والمقالات والصفحات والوسائط
  • يشير إلى ثغرات تعداد المستخدمين
• تعداد المستخدمين:
  • يحاول تعداد المستخدمين عبر REST API (/wp-json/wp/v2/users)
  • يتراجع إلى طريقة إعادة توجيه المؤلف (?author=N)
  • يستخرج أسماء المستخدمين والمعرّفات لأغراض الاستطلاع
• مراقبة تحديثات الإضافات: يتحقق من الإضافات لدى WordPress.org لأحدث الإصدارات (بدون استخدام رصيد API)
• اكتشاف التحصين الأمني: يحدد الإضافات الأمنية وإجراءات التحصين

سير العمل والإدارة

• وضعا كشف مزدوجان: الفحص المباشر + فحص سجل HTTP يعملان بشكل مستقل
• عداد رصيد API: تتبع فوري لاستخدام API اليومي (يُصفَّر عند منتصف الليل)
• تتبع الحالة: وسم المواقع كـ«تم فحصه» أو «به ثغرات» أو «إيجابية كاذبة» مع تخزين دائم
• تصدير التقارير: توليد JSON منظم، وMarkdown منسق، وموجِّهات جاهزة للذكاء الاصطناعي
• تطبيع URLs: يطبّع النطاقات الفرعية تلقائيًا إلى النطاقات الجذرية (cd.krytter.com → krytter.com)
• دعم البروتوكولات: يتعامل مع نسختي HTTP وHTTPS للموقع نفسه
• مؤشرات بصرية: حالة مرمّزة بالألوان مع علامتي [HTTP HISTORY] و[IMPORTED]

التثبيت

المتطلبات الأساسية

• Burp Suite Community أو Professional (مُختبر على الإصدار v2023.x+)
• مفتاح WPScan API (الطبقة المجانية متاحة على https://wpscan.com/api)

الخطوات

1. استنساخ هذا المستودع أو تنزيله:

   root@kitploit:~

   git clone https://github.com/Teycir/BurpWpsScan.git
   cd BurpWpsScan
   

2. تحميل الامتداد في Burp Suite:

   • انتقل إلى Extensions → Installed
   • انقر على Add
   • نوع الامتداد: Python
   • اختر الملف: WpsScan.py
   • انقر على Next

3. إعداد مفتاح API:

   • انتقل إلى تبويب «WpsScan» في Burp Suite
   • أدخل مفتاح WPScan API الخاص بك في حقل النص في الأعلى
   • انقر على زر «Save Key»
   • يُحفظ المفتاح في C:\burpwpscan_exports\wpsscan_config.txt (يحاول ويندوز استخدام الأقراص من C إلى Z) أو /tmp/burpwpscan_exports/wpsscan_config.txt (لينكس/ماك)

4. التحقق من التثبيت:

   • تحقق من وجود تبويب «WpsScan» في Burp Suite
   • ابحث عن رسالة النجاح في Extensions →

الاستخدام

الكشف المباشر

1. تأكد من أن زر «Live Scan: ON» نشط (باللون الأخضر)
2. تصفّح المواقع المستهدفة عبر Burp (Proxy، Repeater، Scanner، إلخ)
3. يراقب الامتداد حركة مرور HTTP تلقائيًا ويكتشف مواقع ووردبريس في الوقت الفعلي
4. تظهر المواقع المكتشفة في قائمة تبويب WpsScan

فحص سجل HTTP

1. انقر على زر «Scan HTTP History»
2. يفحص الامتداد جميع حركة مرور HTTP السابقة في سجل Burp
3. تُضاف مواقع ووردبريس المكتشفة مع علامة [HTTP HISTORY] باللون الأزرق
4. يمكن إضافة المواقع حتى لو كانت موجودة بالفعل من الفحص المباشر
5. مفيد للعثور على مواقع ووردبريس من الجلسات السابقة

لماذا يُعد فحص سجل HTTP قويًا؟

• يكتشف المزيد من الإضافات: غالبًا ما تُحمّل الصفحة الرئيسية 2-3 إضافات فقط، لكن تصفح صفحات متعددة (متجر، مدونة، اتصال) يُحمّل إضافات مختلفة
• مثال: قد تعرض الصفحة الرئيسية contact-form-7، لكن صفحة المتجر تُحمّل woocommerce، وصفحة الدفع تُحمّل stripe، والمدونة تُحمّل yoast-seo
• تغطية أفضل: يمكن لفحص سجل HTTP بعد تصفح 5-10 صفحات اكتشاف 10-20+ إضافة مقابل 2-3 من الصفحة الرئيسية وحدها
• يوفر رصيد API: المزيد من الإضافات المكتشفة = تقييم أكثر دقة للثغرات دون إعادة الفحص
• أفضل الممارسات: تصفّح الموقع المستهدف جيدًا عبر Burp Proxy، ثم انقر على «Scan HTTP History» قبل تشغيل WPScan

استيراد URLs بالجملة

1. انقر على زر «Import URLs»
2. الصق الـ URLs في منطقة النص (واحد في كل سطر)
3. انقر على «Import» لإضافتها إلى قائمة الفحص
4. يتحقق الامتداد تلقائيًا من أن كل URL هو موقع ووردبريس صالح قبل الاستيراد
5. تُضاف إلى الماسح مواقع ووردبريس المؤكدة فقط
6. يدعم URLs بنوعي HTTP وHTTPS
7. مثالي لاستيراد الأهداف من أدوات الاستطلاع (subfinder، amass، إلخ)

ملاحظة: يرسل الامتداد طلبات HTTP للتحقق من توقيعات ووردبريس (wp-content، wp-includes، إلخ) قبل إضافة الـ URLs. تُستبعَد المواقع غير التابعة لووردبريس تلقائيًا.

الفحص اليدوي

الخيار 1 - النقر المزدوج:

1. انقر نقرًا مزدوجًا على موقع ووردبريس مكتشف في القائمة
2. أكّد الفحص في مربع الحوار
3. انتظر اكتمال الفحص

الخيار 2 - واجهة الأزرار:

1. انقر على «Scan All» لفحص جميع المواقع المكتشفة

مخرجات الفحص

يوفر الامتداد تغذية راجعة مفصلة في الوقت الفعلي أثناء الفحص:

الاختبارات الأمنية:

[+] XML-RPC enabled
    [!] Pingback available (DDoS risk)
    [!] Multicall available (brute force amplification)
[+] REST endpoint accessible: Users
[+] REST endpoint accessible: Posts

ثغرات النواة:

[+] Core: 2 vulnerabilities
    - WP < 6.8.3 - Author+ DOM Stored XSS (SENSITIVE DATA DISCLOSURE)
    - WP < 6.8.3 - Contributor+ Sensitive Data Disclosure (SENSITIVE DATA DISCLOSURE)

ثغرات الإضافات:

[+] Plugin 'searchwp': 1 vulnerabilities
    - SearchWP < 4.2.6 - Subscriber+ Settings Update (NO AUTHORISATION)
[+] Plugin 'wp-parsely': 0 vulnerabilities (clean)
[*] Plugin 'contact-form-7': latest version 5.8.4

ثغرات القوالب:

[+] Theme 'rollingstonesofficial': 0 vulnerabilities (clean)

المؤشرات البصرية

• [HTTP HISTORY]: علامة زرقاء تشير إلى أن الموقع اكتُشف عبر فحص سجل HTTP
• [IMPORTED]: علامة بنفسجية تشير إلى أن الموقع استُورد عبر استيراد URLs بالجملة
• صفوف مرمّزة بالألوان:
  • أصفر: جارٍ الفحص حاليًا
  • أخضر: اكتمل الفحص
  • أحمر: خطأ في الفحص
  • تناوب أبيض/رمادي: الوضع الافتراضي

وسم المواقع

1. اختر موقعًا من القائمة
2. استخدم مربعات الاختيار في الأسفل:
   • تم فحصه: وضع علامة كمُراجَع يدويًا
   • به ثغرات: وجود ثغرات مؤكدة
   • إيجابية كاذبة: ليس موقع ووردبريس فعلًا أو غير ذي صلة
3. تبقى الوسوم محفوظة عبر إعادة تشغيل Burp

تصدير التقارير

1. انقر على زر «Export Reports»
2. تُحفظ التقارير في:
   • ويندوز: C:\burpwpscan_exports\scan_YYYYMMDD_HHMMSS\ (يحاول الأقراص من C إلى Z)
   • لينكس/ماك: /tmp/burpwpsscan_exports/scan_YYYYMMDD_HHMMSS/
3. يحصل كل موقع على:
   • raw_wpscan.json - استجابة API الخام
   • report.md - تقرير Markdown منسق
   • ai_prompt.txt - جاهز لتحليل الذكاء الاصطناعي

البحث والتصفية

• مربع البحث: تصفية المواقع حسب URL
• قائمة الفرز: الفرز حسب الافتراضي أو المضيف أو الحالة أو وقت الاكتشاف

تتبع رصيد API

• عداد المواقع المفحوصة: يعرض «Websites Scanned: X» - يتتبع عدد المواقع المفحوصة
• عداد رصيد API: يعرض «API Credits: X» - يتتبع استدعاءات API الفعلية المنفذة
• مؤشرات الألوان (لرصيد API):
  • أخضر: 0-19 استدعاء (آمن)
  • برتقالي: 20-24 استدعاء (تحذير)
  • أحمر: 25+ استدعاء (تم بلوغ الحد)
• تصفير تلقائي: تُصفَّر العدادات عند منتصف الليل (00:00)
• دائم: يبقى محفوظًا عبر إعادة تشغيل Burp
• تصفير يدوي: استخدم زر «Reset» لمسح كلا العدادين

تنسيقات التقارير

تقرير Markdown (report.md)

تقرير ثغرات قابل للقراءة البشرية يتضمن:

• ملخص تنفيذي
• النتائج الأمنية (XML-RPC، تعرض REST API)
• أوصاف مفصلة للثغرات
• مراجع CVE
• توصيات المعالجة
• تفاصيل تقنية

موجِّه الذكاء الاصطناعي (ai_prompt.txt)

موجِّه منظم لتحليل الذكاء الاصطناعي يتضمن:

• ملخص نتائج الفحص
• تفاصيل الثغرات
• طلب إرشادات الاستغلال
• خطوات المعالجة
• تقييم الأثر على الأعمال

تصدير JSON (raw_wpscan.json)

تنسيق قابل للقراءة آليًا يتضمن:

• بيانات الفحص الوصفية
• معلومات إصدار ووردبريس
• بيانات الثغرات الكاملة
• معلومات الإضافات/القوالب
• حالة أمان XML-RPC
• اكتشاف نقاط نهاية REST API
• معلومات تحديث الإضافات
• إحصائيات

مفاتيح API وتحسين الرصيد

WPScan API

• الطبقة المجانية: 25 طلبًا/اليوم
• التسجيل: https://wpscan.com/api
• التسعير: الطبقة المجانية كافية لمعظم اختبارات الاختراق
• الإعداد: أدخل مفتاح API في واجهة الامتداد وانقر على «Save Key»

الاستخدام الذكي لرصيد API

يستخدم الامتداد استراتيجيات ذكية لتقليل استهلاك API:

1. تحديد أولويات ذكي للإضافات (أكثر من 80 إضافة عالية الخطورة)

• يفحص الإضافات عالية الخطورة أولًا (WooCommerce، Contact Form 7، Elementor، إلخ)
• يغطي 95% من ثغرات ووردبريس الفعلية في العالم الحقيقي
• الفئات: النماذج، التجارة الإلكترونية، منشئو الصفحات، SEO، الأمان، النسخ الاحتياطي، التخزين المؤقت، LMS، الشرائح، وسائل التواصل الاجتماعي، إدارة الملفات، الترجمة

2. فحص شامل عالي الخطورة

• يفحص جميع الإضافات عالية الخطورة المكتشفة (WooCommerce، Elementor، Contact Form 7، إلخ)
• يفحص حتى 3 إضافات إضافية غير عالية الخطورة
• المنطق: عدم تفويت الثغرات الحرجة في الإضافات الخطرة المعروفة أبدًا

3. ذاكرة تخزين استجابات API مؤقتة لمدة 24 ساعة

• تُخزَّن نتائج الإضافات/القوالب مؤقتًا لمدة 24 ساعة
• تبقى محفوظة عبر إعادة تشغيل Burp (wpsscan_api_cache.json)
• مثال: فحص 10 مواقع تحتوي على «contact-form-7» = استدعاء API واحد (9 مخزنة مؤقتًا)
• تُعرض مؤشرات التخزين المؤقت في السجلات ببادئة [CACHE]

4. تخطي المواقع المفحوصة بالفعل

• يتخطى «Scan All» تلقائيًا المواقع التي لها نتائج موجودة
• يمنع إعادة الفحص العرضية وهدر الرصيد

توفير رصيد API

قبل التحسينات:

• لكل موقع: 1 (النواة) + 10 (الإضافات) + 5 (القوالب) = 16 استدعاء API
• 10 مواقع = 160 استدعاء API

بعد التحسينات (الحالة النموذجية):

• لكل موقع: 1 (النواة) + 5 (الإضافات عالية الخطورة) + 1 (القوالب) = 7 استدعاءات API
• 10 مواقع = 70 استدعاء API
• التوفير: تخفيض بنسبة 56%

بعد التحسينات (مع التخزين المؤقت):

• الموقع الأول: 7 استدعاءات API
• المواقع التسعة التالية بنفس الإضافات عالية الخطورة: استدعاء API واحد لكل منها (مخزَّن مؤقتًا)
• الإجمالي: 16 استدعاء API
• التوفير: تخفيض بنسبة 90%

الإعدادات

إدارة مفتاح API

• تُدار مفاتيح API عبر الواجهة
• أدخل مفتاح WPScan API الخاص بك في حقل النص أعلى الامتداد
• انقر على «Save Key» لحفظ المفتاح
• تُخزَّن المفاتيح في: C:\burpwpsscan_exports\wpsscan_config.txt (يحاول ويندوز الأقراص من C إلى Z) أو /tmp/burpwpscan_exports/wpsscan_config.txt (لينكس/ماك)
• لا حاجة لإعادة تشغيل Burp بعد تغيير مفتاح API

أوضاع الكشف

• Live Scan: بدّل بين ON/OFF لتفعيل/تعطيل الكشف في الوقت الفعلي
• HTTP History: انقر الزر لفحص جميع حركة مرور HTTP السابقة
• يعمل كلا الوضعين بشكل مستقل بمنطق منفصل

سلوك الفحص الذكي

• تُفحص الإضافات عالية الخطورة أولًا: WooCommerce، Elementor، Contact Form 7، إلخ
• فحص شامل: يفحص جميع الإضافات عالية الخطورة لتجنب تفويت الثغرات
• مدرِك للتخزين المؤقت: يتخطى استدعاءات API للإضافات/القوالب المفحوصة مؤخرًا
• إزالة التكرار: يفحص «Scan All» المواقع التي لا تحتوي نتائج موجودة فقط

تطبيع URLs

• تُطبَّع النطاقات الفرعية إلى نطاقات جذرية (cd.krytter.com → krytter.com)
• تُزال المنافذ القياسية (80، 443) من الـ URLs
• يُتعامل مع HTTP وHTTPS كمدخلين منفصلين
• يمكن لسجل HTTP إضافة المواقع حتى لو كانت موجودة من الفحص المباشر

استكشاف الأخطاء وإصلاحها

الامتداد لا يُحمَّل

• يعمل مع إصداري Community وProfessional
• تحقق من بيئة Python في Burp: Extensions → Options → Python Environment
• راجع رسائل الخطأ في Extensions → Errors

أخطاء مفتاح API

• تأكد من إدخال مفتاح API في حقل النص في الواجهة
• انقر على «Save Key» لحفظ المفتاح
• تحقق من تنسيق مفتاح API (بدون علامات اقتباس، بدون مسافات)
• ويندوز: يحاول الامتداد استخدام الأقراص من C إلى Z للتخزين، وتحقق من مخرجات Burp Extender لمعرفة المسار الفعلي المستخدم
• اختبر مفتاح API يدويًا: curl -H "Authorization: Token token=YOUR_KEY" https://wpscan.com/api/v3/wordpresses/64

عدم اكتشاف مواقع ووردبريس

• تأكد من أن Burp Proxy نشط ويعترض حركة المرور
• تصفّح مواقع ووردبريس (وليس الصفحة الرئيسية فقط)
• جرب زر «Scan HTTP History» للتحقق من حركة المرور السابقة
• تأكد من أن الفحص المباشر (Live Scan) مفعّل (الزر الأخضر)
• تحقق من أنماط الكشف في مخرجات الامتداد

فشل الفحص

• تحقق من اتصال الإنترنت
• تحقق من حالة WPScan API: https://wpscan.com/
• راجع حدود المعدل (25/اليوم للطبقة المجانية)
• تحقق من مخرجات الامتداد بحثًا عن رسائل الخطأ

الأمان والجوانب القانونية

⚠️ مهم جدًا: لا تفحص سوى المواقع التي لديك إذن صريح باختبارها.

• هذه الأداة مخصصة لاختبار الأمان المصرح به فقط
• قد يكون الفحص غير المصرح به غير قانوني في بلدك
• تنطبق شروط خدمة WPScan API
• احصل دائمًا على إذن كتابي قبل الاختبار

المساهمة

المساهمات مرحَّب بها! يرجى:

1. إنشاء fork للمستودع
2. إنشاء فرع ميزة (feature branch)
3. إجراء التغييرات
4. الاختبار الشامل باستخدام Burp Suite
5. تقديم طلب سحب (pull request)

الترخيص

رخصة MIT - انظر ملف LICENSE للحصول على التفاصيل

الاعتمادات

• فريق WPScan: لقاعدة بيانات الثغرات API الممتازة
• PortSwigger: لقابلية توسعة Burp Suite
• امتداد CopyIssues: للإلهام في واجهة المستخدم وتجربة الاستخدام

الدعم

• المشكلات: https://github.com/Teycir/BurpWpsScan/issues
• المناقشات: https://github.com/Teycir/BurpWpsScan/discussions
• البريد الإلكتروني: [email protected]

سجل التغييرات

انظر CHANGELOG.md لسجل الإصدارات والتحديثات.

الإصدار: 1.3.1
المؤلف: Teycir (teycirbensoltane.tn)
آخر تحديث: 2025-11-17

صُنع بواسطة Teycir | teycirbensoltane.tn