أمان تطبيقات الويب: الخطوات التسع الرئيسية للانتقال من الصفر إلى التشغيل
أمان تطبيقات الويب: الأساسيات في مقال واحد — كود حقيقي، مخططات وخطوات ملموسة، مقتطفات من دورة مكونة من 45 درسًا.
يمكن للجميع تعلم Web Application Security — بشرط اتباع الخطوات بالترتيب الصحيح. لقد لخصنا دورة كاملة من 45 درسًا في مسار واضح، مع أكثر مقتطفات الكود فائدة.
- مقدمة ومختبر
- OWASP Top 10 والمنهجية
- حقن SQL وNoSQL والأوامر
- XSS Cross-Site Scripting
- CSRF وSSRF وطلبات جانب الخادم
حقن SQL الكلاسيكي (UNION، error-based)
الأهداف التعليمية
- شرح سبب إمكانية حدوث SQLi
- اكتشاف الحقن باستخدام علامة اقتباس بسيطة
- استغلال UNION-based لقراءة جداول أخرى
- استخدام رسائل الخطأ (error-based)
- فهم الحل النهائي: الاستعلامات المُعَلَّمة
لماذا يوجد حقن SQL؟
يحدث حقن SQL عندما يتم دمج إدخال المستخدم مباشرة في استعلام SQL. لم يعد المحرك يميز بين الكود (الاستعلام) والبيانات (الإدخال). يقوم المهاجم بحقن SQL يتم تنفيذه.
| الحمولة | السلوك المتوقع إذا كان هناك ثغرة |
|---|---|
' | خطأ SQL / 500 |
' OR '1'='1 | تجاوز المصادقة |
1' AND '1'='2 | نتيجة فارغة (شرط خاطئ) |
1' AND '1'='1 | نتيجة طبيعية (شرط صحيح) |
UNION-based: قراءة جداول أخرى
يتيح المعامل UNION SELECT دمج نتائج استعلام ثانٍ مع الأول. الشروط: نفس عدد الأعمدة وأنواع متوافقة. نبدأ بتحديد عدد الأعمدة باستخدام ORDER BY.
OK مؤمن
JWT: alg=none، نقاط الضعف التشفيرية، حقن kid
alg=none، سر HS256 ضعيف، الخلط بين RS256/HS256، الحقن عبر رأس kid) وتطبيق أفضل ممارسات التحقق.الأهداف التعليمية
- فك تشفير وفهم بنية JWT
- استغلال ثغرة
alg=none - كسر سر HS256 ضعيف
- فهم الخلط بين خوارزميتي RS256/HS256
- استغلال الحقن عبر رأس
kid
بنية JWT
يتكون JWT من ثلاثة أجزاء مشفرة بـbase64url، مفصولة بنقاط: header، payload، signature. يحدد الـheader الخوارزمية، ويحتوي الـpayload على الـclaims (البيانات)، وتضمن الـsignature السلامة.
| الخوارزمية | التوقيع | التحقق |
|---|---|---|
| HS256 | سر مشترك | نفس السر |
| RS256 | مفتاح خاص | مفتاح عام |
| الخلط | المفتاح العام في HS256 | يتم التحقق خطأً من الخادم |
الثغرة 4: الحقن عبر kid
يشير رأس kid (key ID) إلى المفتاح المستخدم. إذا استُخدم دون تنظيف لقراءة ملف أو الاستعلام عن قاعدة بيانات، يمكن حقن مسار (path traversal) أو SQL.
Burp Suite Community: التعامل الأول
الأهداف التعليمية
- إعداد المتصفح للمرور عبر وكيل Burp
- تثبيت شهادة CA لاعتراض HTTPS
- اعتراض وتعديل وإرسال طلب
- إعادة تشغيل طلب في Repeater
- التنقل في الخريطة (تبويب Target)
ما هو Burp Suite؟
Burp Suite هو وكيل اعتراض يوضع بين متصفحك وخادم الويب. يمر كل حركة المرور عبره: يمكنك رؤيته وتعديله فورًا وإعادة تشغيله. إنه الأداة المركزية لكل مختبر اختراق ويب. الإصدار Community مجاني ويكفي تمامًا للتعلم.
Repeater
يعيد تشغيل الطلب عدة مرات مع إمكانية التعديل.
Target
يبني خريطة (sitemap) التطبيق الذي تمت زيارته.
إعداد الوكيل
افتراضيًا، يستمع Burp على 127.0.0.1:8080. يجب إخبار المتصفح بإرسال حركة المرور إليه. أبسط طريقة هي المتصفح المدمج في Burp (« Open Browser »)، المُعد مسبقًا. وإلا، قم بإعداد وكيل يدوي أو استخدم إضافة FoxyProxy.
الوكيل اليدوي (Firefox)
سير العمل الأول: الاعتراض وإعادة التشغيل
إليك الإجراء الأساسي الذي ستكرره آلاف المرات.
| الخطوة | الإجراء |
|---|---|
| 1 | تبويب Proxy → Intercept « on » |
| 2 | التنقل إلى الهدف (مثل: DVWA login) |
| 3 | يتم التقاط الطلب — اقرأه وعدّله |
| 4 | انقر بزر الفأرة الأيمن → « Send to Repeater » |
| 5 | في Repeater، غيّر معاملًا ثم انقر « Send » |
مثال: تعديل معامل في Repeater
يغطي هذا المقال المقتطفات الأكثر فائدة — الدورة الكاملة Web Application Security (11 فصلاً، 45 درسًا، تمارين مع حلول ومشروع نهائي) تأخذك إلى النهاية.
./acceder-au-cours-complet cours gratuit : Maîtriser Claude Codeالأسئلة الشائعة
كم من الوقت يلزم لتعلم Web Application Security؟
هل هناك متطلبات سابقة؟
من أين نبدأ عمليًا؟
📬 هل تريد تلقي هذا النوع من الأدلة كل أسبوع؟ اشترك مجانًا — كود حقيقي، بدون كلام زائد.