TP2 — سلسلة استغلال ويب
نص ومعايير تقييم العمل المُقيَّم الثاني: بناء سلسلة استغلال ويب حتى الوصول الأولي، ثم توثيق المعالجة.
انطلاق الأسبوع 7 · التسليم الأسبوع 9 · الوزن: 15 % الأهداف: DVWA / Juice Shop / bWAPP (مختبر Docker).
المهمة
انطلاقًا من استطلاع العمل الأول (TP1)، استغلّ سلسلة واحدة على الأقل من ثغرات الويب حتى الحصول على وصول أولي (webshell أو سرقة جلسة)، ثم وثّق المعالجة.
ما هي «سلسلة الاستغلال»؟
سلسلة الاستغلال (exploit chain) تربط عدة ثغرات للوصول إلى أبعد مما تسمح به ثغرة واحدة. مثال: XSS تسرق ملف تعريف ارتباط جلسة مدير → نتصل كمدير → نصل إلى رفع ملفات → نودع webshell → وصول إلى الخادم. كل حلقة بمفردها تبدو محدودة، لكنها مجتمعةً تؤدي إلى اختراق كامل. إثبات سلسلة واقعية يساوي أكثر بكثير من عرض عشر ثغرات بلا رابط.
ما هو «الوصول الأولي»؟
الوصول الأولي (initial access) هو أول موطئ قدم: اللحظة التي ننتقل فيها من «الخارج» إلى «تنفيذ/حساب على النظام الهدف». هنا سيكون webshell (تنفيذ أوامر على الخادم) أو سرقة جلسة (التصرّف بصفة مستخدم شرعي). إنه الحدّ الفاصل بين الاستغلال (الأسبوع 7) وما بعد الاستغلال (الأسبوع 10 فما فوق).