OWASP Top 10: خريطة كاملة
أهم عشر ثغرات في المواقع — وأيش يعني كل بند فعليًا.
OWASP مجتمع عالمي يجمع أهم الأخطار. الحفظ مش هدف — الهدف تكون عندك خريطة تفحص عليها.
- 1تجاوز المصادقة — الأخطر. 'إيش يحقّلك' ما بيتسأل.
- 2التصدّي (injection) — SQL، أوامر نظام، كل نص يوصل كمحرّك.
- 3التصادي (XSS) — سكربت في الصفحة.
- 4تصميم أمني مكسور — الثغرة من الرسم، مش من الكود.
- 5البصمات والتكوينات القديمة — مكوّن قديم بإصلاح.
- 6سوء التكوين — افتراضي، مفتوح، منسيا.
- 7تسجيل دخول مكسور — كلمات ضعيفة، قفل غائب.
- 8برمجيات غير موثوقة — مكتبة مستوردة خبيثة.
- 9تسجيل ومراقبة ناقصين — الهجوم صار وما حد شاف.
- 10تزوير الطلبات (CSRF) — طلب باسمك من موقع تاني.
البند رقم 9 (سجل ومراقب) هو اللي بيحوّل 'اختراق' لـ'اختراق مكشوف'. بدون سجلات، ما تعرف إيش صار ولا مين.
كيف تفحص موقع بترتيب؟
- 1استطلاع: إيش الصفحات، إيش البارامترات، إيش التقنيات.
- 2مصادقة: تسجيل، استرجاع كلمة سر، جلسات.
- 3صلاحيات: جرّب وصول بحساب ضعيف لأشياء قوية.
- 4مدخلات: كل خانة بحث/رفع/تعليق.
- 5منطق: ارجع الخطوات، اعكسها، كرّرها.
خلّينا نطبّق خطوة بخطوة
سنبدأ بجرد المدخلات في متجر التدريب فقط.
بكلمات بسيطة: المدخل: قيمة يستطيع الزائر كتابتها أو تغييرها. قائمة الفحص: أسئلة مرتبة لتقييم كل مدخل.
الخطوة 1 من 1
افتح تدريب ثغرات المتجر، واكتب في ملاحظاتك المدخلات: رقم الطلب، السعر، والعلم.
ليش؟ نحدد أين يدخل النص أولاً، ثم نسأل من يتحقق منه وما الذي يجب السماح به.
شو لازم تشوف؟ تصبح لديك قائمة من ثلاثة مدخلات. جرّب دروس المتجر بالتتابع واقرأ سبب كل خطوة قبل تطبيقها.
اختبار سريع
اقرأ السؤال واضغط الإجابة التي تراها صحيحة. يظهر تحتها سبب الإجابة؛ وإذا أخطأت، اقرأ السبب وغيّر اختيارك. يُسجّل الدرس مكتملًا عندما تصح كل إجاباتك.
أيش أخطر بند في OWASP Top 10؟
ليش بند 'سجل ومراقب' مهم؟