ساحة التجارب
جرّب الثغرة بعينك — بأمان كامل
كل تجربة هنا مبنية على نظام وهمي. ما في موقع حقيقي، ما في بيانات حقيقية، وما في أي خطر.
اللي بتتعلمو هون سلاح. نفس الخطوات على موقع ما عندك إذن عليه = جريمة في الإمارات وفي معظم الدول. تدرّب على هالساحة أو على منصات مخصصة للتدريب، وخد إذن مكتوب لأي اختبار خارجي.
حابب تبني موقع قبل ما تختبر أمانه؟ ابدأ بخطوات البرمجة البسيطة.
ابدأ بناء موقعكمصدر الصفحة
صفحة تبدو عادية. فيو شي مكتوب للمطوّرين فقط.
الهدف · لاقي العلم المخفي بالمصدر واكتبو.
خلّينا نطبّق خطوة بخطوة
الصفحة لها شكل تراه ونص يبني هذا الشكل. سنبحث في النص عن معلومة نُسيت هناك.
بكلمات بسيطة: المصدر: النص الذي يبني الصفحة. التعليق: ملاحظة في المصدر لا تظهر في شكل الصفحة. العلم: رمز يثبت إنجاز التمرين؛ انسخه كاملاً مع الأقواس.
الخطوة 1 من 2
اضغط «اعرض المصدر» تحت هذا الشرح.
ليش؟ حتى ترى النص الأصلي وليس شكل المتجر فقط.
شو لازم تشوف؟ يظهر نص الصفحة وفيه سطر يبدأ بعلامة تعليق.
CyberZero Store
Free shipping over 50 AED.
تسجيل دخول مكسور
نموذج دخول بيكتب الاستعلام بنفسو من نصّك.
الهدف · ادخل بلا كلمة سر.
خلّينا نطبّق خطوة بخطوة
سنجرب باب دخول وهمياً يخلط ما تكتبه بأمر البحث عن المستخدم.
بكلمات بسيطة: الاستعلام: سؤال يرسله الموقع إلى سجل المستخدمين. الحقن: تحوّل جزء من كتابتك من بيانات إلى أمر بسبب خطأ في البناء.
الخطوة 1 من 3
اترك اسم المستخدم كما هو، واكتب كلمة عادية في كلمة السر ثم اضغط «دخول».
ليش؟ نبدأ بتجربة عادية لنقارنها بالتجربة التالية.
شو لازم تشوف؟ ترى رسالة «دخول مرفوض».
الاستعلام المولّد الآن
SELECT * FROM users WHERE user='admin' AND pass=''حقل يعكس مدخلاتك
حقل بحث بيرجع نصّك داخل الصفحة حرفيًا.
الهدف · نفّذ سكربت يثبت إنو الصفحة بتنّفذ كودك.
خلّينا نطبّق خطوة بخطوة
سنفهم لماذا لا يجوز أن يعامل الموقع تعليق الزائر كتعليمات برمجية. هنا نكتشف النمط فقط ولا ننفذ تعليمات الزائر.
بكلمات بسيطة: الوسم: كتابة بين أقواس تحدد عنصراً في الصفحة. السكربت: تعليمات تجعل الصفحة تتفاعل.
الخطوة 1 من 2
اكتب نصاً عادياً في حقل البحث واضغط «نفّذ».
ليش؟ نتأكد أولاً من طريقة عرض الكتابة.
شو لازم تشوف؟ يظهر النص في المعاينة دون إنجاز التمرين.
صندوق معزول (iframe) — الكود ما يلمس شي خارجو
<script>alert(1)</script>
<img src=x onerror=alert(1)>
<svg onload=alert(1)>فك الترميز
أداة تحويل: Base64، Hex، وROT13، مع بصمة SHA-256.
الهدف · فكّ الرسالة الملتقطة واكتبها.
خلّينا نطبّق خطوة بخطوة
الترميز يغيّر شكل النص، لكنه لا يجعله سراً. سنسترجع رسالة من شكلها المختلف.
بكلمات بسيطة: فك الترميز: إعادة النص إلى شكله المقروء. زر الدوران يبدّل كل حرف لاتيني بالحرف الذي يبعد عنه ١٣ موضعاً.
الخطوة 1 من 2
انسخ الرسالة تحت «الهدف» إلى حقل «النص». اضغط زر فك الترميز الذي ينتهي بعلامة السالب والحرف الصغير.
ليش؟ هذا الزر يعكس التحويل؛ زر التحويل الأول يفعل العكس.
شو لازم تشوف؟ تظهر رسالة مقروءة جزئياً وفي نهايتها علم.
الهدف: فكّ الرسالة الملتقطة
UHZzZSByb3QxMyB0byBkZWNvZGUgZmxhZ3tyb3RfMTNfaGVyZX0=مفتش الترويسات
الخادم بيقرر صلاحيتك من ترويسة ترسلها أنت.
الهدف · غيّر الترويسة وادخل منطقة الإدارة.
خلّينا نطبّق خطوة بخطوة
سنرى خطأ موقع يمنح إذن الدخول اعتماداً على معلومة يرسلها الزائر بنفسه.
بكلمات بسيطة: الترويسة: معلومة صغيرة مرفقة بالطلب. الطلب: رسالة من المتصفح إلى الموقع. هنا لا تُرسل أي رسالة إلى نظام حقيقي.
الخطوة 1 من 2
اترك اسم الترويسة كما هو، واكتب قيمة عادية واضغط «أرسل الطلب».
ليش؟ نختبر ماذا يحدث دون القيمة التي يتوقعها المثال.
شو لازم تشوف؟ يظهر الرقم ٤٠٣: الوصول مرفوض.
internal = request.headers['X-Client'] == 'internal-vault-2024'
if internal: allow('/admin')ماسح المنافذ
جهاز وهمي على شبكتك. شوف إيش يسمع.
الهدف · اطلع على الخدمة الداخلية المكشوفة.
خلّينا نطبّق خطوة بخطوة
تخيّل الجهاز مبنى والمنفذ باباً لخدمة معينة. سنقرأ نتيجة جاهزة لجهاز وهمي.
بكلمات بسيطة: مفتوح: توجد خدمة تستقبل عبر هذا الباب. مغلق: لا توجد خدمة تستقبل. رقم المنفذ وحده لا يثبت وجود ثغرة.
الخطوة 1 من 2
اضغط زر تشغيل المسح وانتظر ظهور الجدول.
ليش؟ حتى نعرف الخدمات الظاهرة في الجهاز التدريبي.
شو لازم تشوف؟ يظهر جدول بأرقام منافذ وحالة كل واحد؛ لا يحدث مسح لشبكة حقيقية.
اضغط الزر عشان تشوف إيش يسمع الجهاز.
تزوير الصلاحية
رمز الجلسة (JWT) يطلعك على محتواه. غيّرو.
الهدف · حوّل نفسك لمدير.
خلّينا نطبّق خطوة بخطوة
الموقع الوهمي يقرأ الصلاحية من نص يرسله المستخدم، دون التأكد من أنه لم يتغير.
بكلمات بسيطة: رمز الجلسة: بيانات تساعد الموقع على معرفة المستخدم. التوقيع: وسيلة للتحقق من سلامة الرمز؛ تعديل رمز موقّع صحيح لا يمنح صلاحية تلقائياً.
الخطوة 1 من 2
اضغط «أرسل الرمز» دون تغيير النص.
ليش؟ نتأكد أن الصلاحية الحالية لمستخدم عادي.
شو لازم تشوف؟ يظهر رفض الوصول.
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1aWQiOiI0NDIiLCJyb2xlIjoidXNlciJ9.s3cr3t-s1gn4tur3ختم الجلسة
عدّل كوكيز المتصفح وشوف إيش يحميها.
الهدف · افهم ليش HttpOnly و Secure مهمين.
خلّينا نطبّق خطوة بخطوة
ملف الجلسة الصغير يساعد الموقع على تذكرك بعد الدخول. سنضيف له وسائل حماية مختلفة.
بكلمات بسيطة: الخيار الأول يمنع قراءة ملف الجلسة من تعليمات الصفحة؛ الثاني يشترط اتصالاً مشفراً؛ الثالث يقيّد إرساله مع طلبات من مواقع أخرى.
الخطوة 1 من 2
اقرأ صف الجلسة في الجدول قبل تحديد الخيارات.
ليش؟ لنقارن الخطر قبل الحماية وبعدها.
شو لازم تشوف؟ تجد وصف الخطر «مرتفع».
| cookie | value | الخطر |
|---|---|---|
| lang | en | منخفض |
| theme | dark | منخفض |
| session | eyJ1aWQiOiI0NDIifQ | مرتفع |