ثغرات الويب وOWASP Top 10
استغلّ ثغرات OWASP Top 10: حقن SQL، XSS، تضمين الملفات، الرفع الخبيث، حقن الأوامر، ومعالجتها.
🟥 الاستغلال · الدورة: 4. الاستغلال (الويب) HTB Academy: Using Web Proxies، SQL Injection Fundamentals، SQLMap Essentials، Cross-Site Scripting (XSS)، File Inclusion، File Upload Attacks، Command Injections، Web Attacks، Attacking Web Applications with Ffuf، Hacking WordPress الأسبوع الأكثف — مُوزَّع على المعامل وTP2.
الأهداف
- استغلال أهمّ ثغرات الويب وفهم معالجتها.
- إتقان Burp Suite كأداة محورية.
ما هو OWASP وما « Top 10 »؟
OWASP (Open Worldwide Application Security Project) مؤسّسة غير ربحية مكرّسة لأمن تطبيقات الويب. وأشهر وثائقها هو OWASP Top 10: تصنيف أخطر 10 فئات من مخاطر الويب (الحقن، تحكّم وصول معيب، سوء التهيئة…). إنها المرجع العالمي: يستند إليه أي تقرير اختبار اختراق ويب بشكل منهجي، ومعالجة Top 10 تُزيل فعلًا غالبية المخاطر الحقيقية.
الدرس (ساعة و20 دقيقة)
- OWASP Top 10: الحقن، broken access control، XSS، SSRF، misconfig، إلخ.
- تشريح طلب HTTP؛ ودور وكيل الاعتراض (proxy).
تشريح طلب HTTP
يعمل الويب عبر طلبات/استجابات HTTP. يحتوي الطلب على:
- طريقة (method):
GET(قراءة مورد)،POST(إرسال بيانات، مثل نموذج)،PUT،DELETE… - عنوان URL ومعاملات (
?id=1&page=2). - ترويسات (headers): نوع المحتوى، المتصفّح، cookies (ومنها كوكي الجلسة).
- جسم (body) لطلبات POST (بيانات النموذج).