من مفاهيم بنية الـ Web Application وWeb Services وطبقات الـ Vulnerability Stack، مرورًا بأكثر من 25 نوع هجوم (XSS وCSRF وClickjacking وMagecart وDNS Rebinding وXXE وDeserialization)، وصولاً لمنهجية الاختراق الكاملة من Footprinting لهجمات الـ Session وAuthentication وAuthorization والـ Injection وDatabase Connectivity، وانتهاءً بالـ Web API والـ Webhooks وأدوات SAST/DAST وأساليب التشفير وتقنيات الدفاع.
الـ Web Application توفّر واجهة بين المستخدمين ونهائيين والـ Web Servers عبر صفحات ويب يُولَّد بعضها من السيرفر أو تحتوي كودًا ينفَّذ ديناميكيًا داخل متصفح العميل. وظيفتها الأساسية جلب البيانات المطلوبة من قاعدة البيانات وعرضها.
الطبقة
الوصف
Client / Presentation Layer
الطبقة التي يتعامل معها المستخدم مباشرةً (المتصفح والواجهة)
Business Logic Layer
تحتوي قواعد العمل والمعالجة — مكتوبة بلغات مثل .NET وJava
Database Layer
تُخزِّن البيانات الحسّاسة (IDs وكلمات المرور وبيانات العملاء)
بنية الـ Web Service
الـ Web Service تطبيق مُنشَر على الإنترنت يستخدم بروتوكول رسائل قياسي (مثل SOAP) لتمكين التواصل بين تطبيقات مبنية على منصّات مختلفة. تتفاعل عبر SOAP وUDDI وWSDL وREST.
الدور / المكوّن
الشرح
Service Provider
المنصّة التي تُقدِّم الخدمة
Service Requester
التطبيق أو العميل الباحث عن خدمة — المتصفح عادةً
Service Registry
المكان الذي يُحمِّل فيه المزوّد توصيف الخدمة — يُستخدَم للاكتشاف والربط
Service
وحدة برمجية يُقدِّمها المزوّد — تتواصل مع الطالبين وقد تستدعي خدمات أخرى
Service Description
توصيف الواجهة والتنفيذ — يحتوي كل العمليات والمواقع والبيانات والأنواع
UDDI
Universal Description, Discovery, and Integration — دليل يُدرِج الخدمات المتاحة
WSDL
Web Services Description Language — XML لوصف وتتبّع Web Services
WS-Security
امتداد لـ SOAP يحافظ على سلامة وسرية رسائل SOAP ويُصادِق المستخدمين
النوع
الفلسفة
SOAP
بروتوكول يعتمد XML لتبادل البيانات ويدعم التشفير والأمان المدمَج
RESTful
أسلوب معماري يستخدم مفاهيم HTTP — أكثر مرونةً وأقل تعقيدًا من SOAP
Vulnerability Stack — طبقات الضعف
الطبقة
المكوّن
الثغرة المحتملة
7 (Application)
Custom Web Applications (.NET, Java)
منطق أعمال ضعيف — هجمات XSS وInput Validation
6 (3rd Party)
مكوّنات خارجية (Citrix, Amazon)
اختراق مزوّد خارجي يؤثر على الموقع الرئيسي
5 (Web Server)
Apache, IIS, Nginx
Banner Grabbing، ثغرات معروفة في إصدار السيرفر
4 (Database)
MySQL, MSSQL, Oracle
SQL Injection بأدوات مثل sqlmap
3 (OS)
Windows, Linux
فحص البورتات، Malware عبر بورتات مفتوحة
2 (Network)
Routers / Switches
MAC Flooding يحوّل Switch لـ Hub ← Sniffing
02هجمات الـ Web Applications (التهديدات)
قائمة هجمات الـ Web Application
Directory Traversal
Hidden Field Manipulation
Cookie Snooping
RC4 NOMORE Attack
Same-Site Attack
Pass-the-Cookie Attack
SQL Injection
Command Injection
Unvalidated Redirects and Forwards
Cookie/Session Poisoning
Denial-of-Service (DoS)
Magecart Attack
Insecure Deserialization
Web Service Attacks
Cross-Site Port Attack (XSPA)
Clickjacking Attack
Obfuscation Application
DNS Rebinding Attack
JavaScript Hijacking
Cross-Site Request Forgery (CSRF)
Watering Hole Attack
Injecting an SSRF Payload
H2C Smuggling Attack
Cross-Site WebSocket Hijacking
Web-based Timing Attacks
XML External Entity (XXE) Attack
Web-based Timing Attacks
النوع
الشرح
Direct Timing Attack
قياس الوقت التقريبي لمعالجة السيرفر لطلب POST لاستنتاج وجود اسم مستخدم
Cross-site Timing Attack
إرسال حزم طلب مصمَّمة للموقع عبر JavaScript لقياس وقت الاستجابة
Browser-based Timing Attack
استغلال التسرّبات الجانبية في المتصفح لتقدير وقت معالجة الموارد — مثل Cache Storage Timing Attack لقياس حجم الاستجابة من وقت تحميل القرص
XML External Entity (XXE) Attack
هجوم SSRF يحدث لما محلّل XML بإعدادات خاطئة يسمح بمعالجة إدخال XML من مصدر غير موثوق. المهاجم يُضمِّن إشارةً لكيان خارجي في الإدخال الخبيث، فبعد معالجته يقدر يصل لملفات وخدمات محميّة من السيرفرات أو الشبكات المتصلة.
Unvalidated Redirects and Forwards
النوع
الأثر
Unsafe Redirects
تنصيب Malware أو خداع الضحايا للكشف عن كلمات مرور ومعلومات حسّاسة
Unsafe Forwards
تجاوز Access Control → Session Fixation أو Security Management Exploits أو Failure to Restrict URL Access
نوع الـ Redirection
الشرح
Open Redirection
ثغرة تسمح بإضافة Parameters للـ URL لتحويل المستخدمين من مواقع موثوقة لمواقع خبيثة — Credential Sniffing وXSS
Header-Based Open Redirection
تعديل HTTP Location Header لتحويل المستخدم لصفحة خبيثة بدون علمه
JavaScript-Based Open Redirection
حقن JavaScript في استجابة صفحة ويب — يُستخدَم كثيرًا في التصيّد
Magecart Attack وWatering Hole Attack
الهجوم
الآلية
Magecart (Web Skimming)
حقن كود خبيث في موقع تجارة إلكتروني لجمع بيانات بطاقات الائتمان — يستهدف مواقع بإضافات أو برمجيات قديمة
Watering Hole Attack
تحديد المواقع التي يزورها الهدف ← اختبار ثغراتها ← حقن كود خبيث يُعيد توجيه الصفحة أو يُحمِّل Malware. يُسمّى "Watering Hole" لأن المهاجم ينتظر الضحية تقع في الفخ
CSRF وCookie/Session Poisoning
الهجوم
الآلية
CSRF (One-Click / Session Riding)
استغلال ثغرات صفحة ويب لإجبار متصفح المستخدم على إرسال طلبات خبيثة — الضحية عنده جلسة نشطة مع موقع موثوق ويزور موقعًا خبيثًا يحقن HTTP Request للموقع الموثوق في جلسته
Cookie Poisoning
تعديل محتوى الـ Cookie على جهة العميل قبل إرسال الطلب للسيرفر — يسمح بالتلاعب بالـ Session State وUser ID وبيانات هوية أخرى. Cookie تُعدَّل بـ JavaScript أو Proxy
Insecure Deserialization
الـ Serialization يحوّل كائنات البيانات لتنسيق خطي للنقل. المهاجم يحقن كودًا خبيثًا في البيانات المُسلسَلة ويُرسِلها للضحية. عند إلغاء التسلسل (Deserialization) يُنفَّذ الكود الخبيث المحقون ويخترق النظام أو الشبكة.
Web Service Attacks
الهجوم
الشرح
Web Service Footprinting
استخدام Universal Business Registry (UBR) — سجل عام يعمل بـ UDDI وSOAP — لجمع معلومات عن الـ Web Services (مشابه لـ Whois)
XML Poisoning
حقن كود XML خبيث في طلبات SOAP لتلاعب في عقد XML أو تسميم مخطّط XML — يُولِّد أخطاء في منطق تحليل XML ويُعطِّل منطق التنفيذ. يؤدّي لـ DoS أو كشف معلومات سرية
SOAPAction Spoofing
التلاعب في عملية SOAPAction Header دون الحاجة لـ XML Parsing — أداة WS-Attacker
WS-Address Spoofing
إرسال رسالة SOAP تحتوي بيانات WS-Address مزوَّرة — Header ReplyTo يحتوي عنوان المهاجم بدل عنوان العميل
XML Poisoning مقابل SQL Injection
XML Poisoning مشابه لـ SQL Injection لكن بمعدّل نجاح أعلى في بيئة Web Service. المهاجم يسمِّم حركة البيانات بين السيرفر والمتصفح بإنشاء مستندات XML خبيثة تُغيِّر آليات التحليل مثل SAX وDOM.
DNS Rebinding Attack
تجاوز قيود Same-Origin Policy بتقنية DNS Rebinding — المهاجم ينشئ موقعًا خبيثًا ويسجّل دومينه مع سيرفر DNS يتحكّم فيه، ويضبط استجابات DNS بقيم TTL قصيرة جدًا لتجنّب الـ Caching. هذا يُتيح للموقع الخبيث التواصل وإرسال طلبات عشوائية للدومينات المحلية.
Clickjacking Attack
المهاجم يخدع الضحية للنقر على عنصر ويب خبيث مُوضَع بشكل شفّاف فوق صفحة موثوقة. هو مجموعة متنوّعة من تقنيات UI Redress Attacks — يستغل ثغرات HTML iframes أو الإعداد الخاطئ لـ X-Frame-Options Header.
MarioNet Attack
هجوم مبني على المتصفح يُشغِّل كودًا خبيثًا داخله — العدوى تستمرّ حتى بعد إغلاق صفحة الاختراق أو التصفّح بعيدًا عنها. المهاجم يُسجِّل ويُفعِّل Service Worker API عبر موقع يتحكّم فيه. عند تصفّح الضحية للموقع، يتفعّل Service Worker تلقائيًا ويشتغل بصمت في الخلفية. يُستخدَم لإنشاء Botnet وشنّ هجمات مثل Cryptojacking وDDoS وClick Fraud وكسر كلمات المرور الموزَّع.
هجمات أخرى
الهجوم
الشرح
Cookie Snooping
تحليل عادات تصفّح الضحية وبيع المعلومات لمهاجمين آخرين أو استخدامها لشنّ هجمات
RC4 NOMORE Attack
هجوم على RC4 Stream Cipher يستغل ثغرات في السيرفر لفكّ تشفير Web Cookies المحميّة بـ HTTPS وحقن حزم عشوائية
Buffer Overflow
الفشل في حماية الـ Buffer والسماح بالكتابة خارج حجمه الأقصى
CAPTCHA Attacks
استهداف الاختبارات التحقّقية لتجاوزها رغم تصميمها كمقاومة للآلات
DoS
تقليل أو تقييد أو منع وصول المستخدمين الشرعيين لموارد النظام
DMZ Protocol Attacks
اختراق نظام يسمح بالوصول لبروتوكولات DMZ أخرى يُعطي وصولًا للأنظمة الداخلية
03منهجية اختراق الـ Web Application
منهجية الاختراق الكاملة تمرّ بـ 13 مرحلة:
Footprint Web Infrastructure
Analyze Web Applications
Bypass Client-Side Controls
Attack Authentication Mechanisms
Attack Authorization Schemes
Attack Access Controls
Attack Session Management Mechanisms
Perform Injection Attacks
Attack Application Logic Flaws
Attack Shared Environments
Attack Database Connectivity
Attack Web Application Clients
Attack Web Services
1 — Footprint Web Infrastructure
المهمّة
الأدوات / التقنية
Server Discovery (Whois & DNS)
Netcraft، Whois Lookup، Batch IP Converter — DNSRecon، DNS Records، Domain Dossier، DNSdumpster
Port & Service Discovery
Nmap، NetScanTools Pro، Advanced Port Scanner، Open Port Scanner
Detect WAF & Proxies
WAFW00F (يكشف WAF بالكوكيز والـ Response Codes والـ Drop Action)، WhatWaf، Nmap — HTTP/1.1 TRACE للكشف عن الـ Proxy
Hidden Content Discovery
Web Spidering بـ OWASP ZAP وBurp Suite وWebScarab — User-Directed Spidering (مراقبة حركة الموقع)
Footprinting هي الخطوة الأولى وتُتيح: Server Discovery، Service Discovery، Server Identification (Banner Grabbing)، WAF & Proxy Detection، Hidden Content Discovery، Load Balancer Detection، Web App Technologies Detection، وWebSocket Enumeration.
2 — Analyze Web Applications
التقنية
الهدف
Website Mirroring
تحميل الموقع كاملًا للتصفّح Offline وفهم البنية — HTTrack، Cyotek WebCopy
Octoparse لاستخراج النصوص والروابط وURLs الـ JS وCSS
Wordlist Gathering
جمع كلمات من الموقع وعناوين البريد الإلكتروني لاستخدامها في هجمات لاحقة
Metadata Extraction
استخراج Metadata من مستندات PDF وWord للحصول على عنوان الصفحة والكلمات المفتاحية
Monitoring Changes
مراقبة تحديثات الموقع لاكتشاف تغييرات في صفحات الدخول أو إصدارات البرمجيات
Directory Enumeration
Gobuster (Go-based Directory Scanner)، GNU Wget
3 — Bypass Client-Side Controls
Cross-site Scripting (XSS)
Cross-site Request Forgery (CSRF)
Parameter Tampering
HTTP Parameter Pollution
Input Field Manipulation
Hidden Field Manipulation
Client-side Input Validation Bypass
JavaScript Injection
CORS Misconfiguration
Session Fixation
Attack Browser Extensions
Attack Hidden Form Fields
تطبيقات e-Commerce تستخدم Hidden HTML Form Fields لتخزين الأسعار. المهاجم يحفظ الـ Source Code، يحدّد الحقل المخفي، يعدّل قيمة السعر (حتى قيم سالبة لاسترداد المبلغ)، ثم يُعيد التحميل. يُستخدَم Burp Suite لاعتراض الطلب وتعديله.
تجربة إصدارات مختلفة للـ Endpoints، إضافة Blank Characters مثل %00، تعديل Headers مثل X-Forwarded-For
Bypass MFA
استغلال ثغرات في تنفيذ التحقّق الثنائي
هجوم Password Reset Poisoning
1
جمع معلومات الهدف
المهاجم يحصل على عنوان البريد الإلكتروني للهدف بالـ OSINT والهندسة الاجتماعية.
2
تعديل Host Header
إرسال طلب إعادة تعيين كلمة المرور بـ Host Header معدَّل — السيرفر يُنشئ رابط إعادة التعيين بناءً على الـ Host Header. مثال: Host: badhost.com فيُنشَأ رابط https://badhost.com/reset-password.php?token=87654321
3
انتظار الضحية
المهاجم ينتظر الضحية تضغط الرابط الخبيث في البريد.
4
سرقة الـ Token
بعد الضغط على الرابط، المهاجم يستخرج Password Reset Token وينفّذ أنشطة خبيثة.
5 — Attack Authorization Schemes
الدخول بحساب صلاحيات منخفضة ثم تصعيد الصلاحيات للوصول للموارد المحميّة
التلاعب في طلبات HTTP بتعديل حقول الإدخال المتعلّقة بـ User ID وUsername وAccess Group وCost وFilenames
Cookie Parameter Tampering: جمع Session Cookies وتحليل آلية توليدها ثم التلاعب بباراميتراتها بـ Burp Suite وإعادة تشغيل التطبيق
6 — Attack Access Controls
أسلوب الهجوم
الشرح
Parameter-Based Access Control
الـ Access يُحدَّد بناءً على Cookies أو Query String Parameters — المهاجم يحدّد بارامترات الـ Admin ويضيفها لطلباته
Referer-Based Access Control
الـ HTTP Referer عدم الموثوقية — المهاجم يتلاعب فيه لأي قيمة
Location-Based Access Control
تحديد الموقع الجغرافي عبر IP Address — المهاجم يتجاوزه بـ VPN أو Proxy
Attack with Different Accounts
Burp Suite لمقارنة سياقين مختلفين — Broken Access Control يسمح بوصول عير مصرَّح
Attack Static Resources
طلب مباشر لـ URLs المحمية للتحقّق من منح وصول للمستخدمين غير المصرَّح لهم
Attack Direct Access to Methods
استغلال ضعف Access Control في Direct Access Methods للـ Server-Side APIs
المهاجم يلاحظ نمطًا حتميًا بين Session IDs — يحصل على IDs السابق والتالي وينتحل هوية المستخدم
Session Token Tampering
بعد الحصول على IDs يتلاعب ببيانات الجلسة
MITM
اعتراض الاتصال وتقسيمه لـ Client-Attacker وAttacker-Server
Session Hijacking
سرقة User Session ID من موقع موثوق
Session Replay
الحصول على Session ID وإعادة استخدامه للوصول للحساب
8 — Perform Injection/Input Validation Attacks
نوع الـ Injection
الشرح
Web Scripts Injection
لو الإدخال يُستخدَم في كود يُنفَّذ ديناميكيًا، إدخال مُصمَّم يكسر السياق المقصود وينفّذ أوامر على السيرفر
OS Command Injection
حقن كود خبيث في حقول الإدخال عندما التطبيق يستخدم المدخل في أمر على مستوى النظام
SMTP Injection
حقن أوامر SMTP عشوائية لتوليد كميات كبيرة من Spam Email
SQL Injection
إدخال استعلامات SQL خبيثة للتلاعب المباشر في قاعدة البيانات
LDAP Injection
استغلال ثغرات عدم التحقّق للوصول المباشر لقواعد البيانات عبر فلاتر LDAP
Local File Inclusion (LFI)
ثغرة تسمح بإضافة ملفات على السيرفر عبر المتصفح — تحدث عند إضافة ملفات بدون تحقّق سليم من المسار
9 — Attack Application Logic Flaws
معظم ثغرات المنطق بسبب إهمال المطوّرين أو افتراضات خاطئة. مثال: في تطبيقات التجزئة، المطوّر يفترض أن العميل سيتبع مراحل الطلب بالتسلسل (اختيار المنتج ← تأكيد الطلب ← الدفع ← التسليم). المهاجم يستخدم Burp Suite لـ Forced Browsing — القفز من المرحلة 2 للمرحلة 4 متجاوزًا الدفع.
10 — Attack Database Connectivity
نوع الهجوم
الشرح
Connection String Injection
حقن بارامترات في Connection String بإلحاقها بعد فاصلة منقوطة ; — يحدث عند بناء Connection Strings ديناميكيًا من مدخلات المستخدم
CSPP — Hash Stealing
استبدال قيمة Data Source بـ Rogue SQL Server — يعمل Sniff لـ Windows Credentials عند محاولة الاتصال
CSPP — Port Scanning
تغيير قيمة الـ Port في Connection String لاكتشاف بورتات مفتوحة
CSPP — Hijacking Credentials
محاولة الاتصال بالـ Database بحساب Web Application System بدل بيانات المستخدم
Connection Pool DoS
إنشاء استعلامات SQL ضخمة متعددة في وقت واحد لاستهلاك كل الاتصالات في الـ Pool — في ASP.NET الحد الأقصى 100 اتصال ومهلة 30 ثانية
04الـ Web API والـ Webhooks
Web API
الـ Web API واجهة برمجية توفّر خدمات ويب لتطبيقات جانب العميل لاسترداد وتحديث بيانات من مصادر متعدّدة عبر الإنترنت. يُوصَل إليها عادةً عبر HTTP.
نوع الـ API
الشرح
SOAP API
بروتوكول اتصال يُمكِّن التفاعل بين منصّات مختلفة عبر XML وHTTP — يُولِّد ويُعدِّل ويحذف السجلات
REST API
أسلوب معماري يعمل كوسيط اتصال بين الأنظمة عبر الويب
RESTful API
REST مبني على مبادئ REST وبروتوكولات HTTP — يستخدم PUT وPOST وGET وDELETE. يجعل التطبيقات مستقلّة لتحسين الأداء والـ Scalability
Webhooks
الـ Webhooks HTTP Callbacks مُعرَّفة من المستخدم تُطلَق بناءً على أحداث مُحدَّدة (مثل تلقّي تعليق أو Push لكود). تُسمّى أحيانًا "Reverse APIs" — تُبلِّغ التطبيقات الأخرى بآخر المعلومات فور حدوثها بدون حاجة لاستعلام دوري.
Webhooks
APIs
الاتجاه
من الموقع للسيرفر (Automated Push)
من السيرفر للموقع (Request-based)
متى تعمل
HTTP POST فقط عند تحديث جديد
تُجري طلبات بغضّ النظر عن التحديثات
البيانات
Real-time عند الحدث
تحتاج تنفيذًا إضافيًا للـ Real-time
التحكّم
أقل تحكّمًا في تدفّق البيانات
تحكّم سهل في تدفّق البيانات
منهجية اختراق Web API
1
تحديد الهدف
تحليل HTTP Headers وMessage Formats (JSON لـ REST، XML لـ SOAP). API Enumeration بأداة Kiterunner — أداة متقدّمة للمسح السياقي لـ APIs.
2
تحديد Attack Surface
فحص API Metadata (Paths وParameters وMessage Formats) — REST يستخدم Swagger وRAML وAPI-Blueprint، SOAP يستخدم WSDL/XML-Schema. لو لا Metadata، مراقبة وتسجيل الاتصال بين API والعميل.
شهادات Self-Signed تسمح بـ MITM — المهاجم يراقب أو يتلاعب بالحركة المشفَّرة
IDOR (Insecure Direct Object References)
مراجع مباشرة للكائنات دون تطبيق حقوق الوصول — المهاجم يتعداد القيم الممكنة عبر API Metadata
Insecure Session/Auth Handling
إعادة استخدام Session Tokens، Tokens تسلسلية، Timeout طويل، Token غير مشفَّر أو في الـ URL
API DDoS
إغراق API بحركة ضخمة من Botnet لتأخير الخدمة للمستخدمين الشرعيين رغم Rate Limiting
Bypassing IDOR via Parameter Pollution
IDOR ثغرة تنشأ عندما يكشف المطوّرون مراجع للكائنات الداخلية (مفاتيح قواعد البيانات والمجلدات والملفات). المهاجم يعدّل المراجع للوصول لبيانات غير مصرَّح بها.
Secure API Architecture — أفضل الممارسات
استخدام HTTPS عبر SSL/TLS
استخدام Tokens مُولَّدة من السيرفر كـ Hidden Fields للتحقّق من الطلبات
تعقيم البيانات والتحقّق السليم من الإدخال
IP Whitelisting للوصول للـ APIs
Rate Limiting لتحديد عدد طلبات API في وحدة الزمن
API Gateways لمصادقة الحركة والتحكّم والتحليل
MFA وبروتوكولات مصادقة مثل AppToken وOAuth2 وOpenID Connect
SOAP APIs بدلًا من REST التقليدي لأمان مدمَج أقوى
WAF مع TLS/SSL لتأمين APIs
أفضل ممارسات تأمين Webhooks
HTTPS بدلًا من HTTP لحماية البيانات أثناء النقل
مشاركة Authentication Secrets (HTTP Basic Auth) لجميع Webhooks
Webhook Signing للتحقّق من بيانات ESPs وباستخدام Constant Time-Compare
تتبّع event_id لتجنّب المعالجة المزدوجة غير المقصودة (Replay Attacks)
الـ Firewall يرفض Webhook Calls من مصادر غير مصرَّح بها غير ESPs
Rate Limiting على Webhook Calls في Web Server
05أمان الـ Web Applications — اختبار وتشفير وإجراءات مضادة
AI-powered Fuzz Testing يستخدم Machine Learning لتصميم مدخلات متنوّعة معقّدة بدلًا من البيانات العشوائية التقليدية — يتعلّم من الاختبارات السابقة ويتنبّأ بالمدخلات الفعّالة لاستكشاف مسارات الكود الأعمق.
أنواع ترميز البيانات (Encoding Schemes)
النوع
الشرح
مثال
URL Encoding
تحويل URL لتنسيق ASCII صالح لنقل آمن عبر HTTP
%20 = مسافة
HTML Encoding
تمثيل الأحرف غير العادية بشكل آمن داخل مستند HTML
& = &
Unicode Encoding (16-bit)
استبدال أحرف Unicode غير عادية بـ %u متبوعًا بـ Codepoint بالـ Hex
%u2215 = /
UTF-8
ترميز متغيّر الطول يعبّر عن كل بايت بالـ Hex مسبوقًا بـ %
الموديول ناقش مفاهيم الـ Web Application وWeb Services وطبقات الـ Vulnerability Stack الست، وأكثر من 25 نوع هجوم، ومنهجية الاختراق الكاملة في 13 مرحلة. ثم تطرّق لمفاهيم Web API وWebhooks ومنهجية اختراقها، وأنواع اختبار الأمان (SAST وDASTوFuzzing) وأنواع الترميز والإجراءات المضادة.
$ cat ./module14_summary.txt
الـ Web Application بتشتغل على 3 طبقات: Client (Presentation) ← Business Logic ← Database — كل طبقة نقطة هجوم محتملة
XXE هو SSRF على مستوى XML Parser — ينجح لما المحلّل مُهيَّأ بشكل خاطئ ويقبل كيانات خارجية
MarioNet خطير لأن العدوى تستمرّ بعد إغلاق الصفحة عبر Service Worker API
الـ Web Application ليست مجرّد موقع — هي نظام طبقات. كلّ طبقة من الـ 6 (Vulnerability Stack) تقدّم نافذة مختلفة للمهاجم: من SQL Injection في قاعدة البيانات، لـ XSS في منطق الأعمال، لـ Banner Grabbing في السيرفر. الدفاع الحقيقي يبدأ بفهم هذه الطبقات والتحقّق السليم من كل مدخل في كل مستوى.
Exam Tip
أسئلة هذا الموديول تُركِّز على: الفرق بين SOAP وREST وRESTful، مكوّنات Web Service Architecture (UDDI وWSDL وWS-Security)، طبقات Vulnerability Stack، الفرق بين SAST وDASTوFuzzing، أنواع Encoding (Base64 وURL وHex)، آلية Magecart Attack وWatering Hole وMarioNet وXXE، وخطوات Password Reset Poisoning.
نهاية نوتس الموديول الرابع عشر — Hacking Web Applications