من الثغرة للإصلاح
كل ثغرة وخط الدفاع اللي يغلّها: قائمة عملية تنفعك كمختبر ومطوّر.
اللي يعرف يهاجم بس هو نصف خبير. القيمة الحقيقية: تقول 'هاد خطير، وأحسن طريقة تغلّه هي كذا'. هون بتتعلم القيمة اللي تدفعلك.
SQL Injection → استعلامات مهيّأة + أقل صلاحية
XSS → ترميز الإخراج + CSP
CSRF → رمز طلب (CSRF token) + SameSite
IDOR → تحقق ملكية في الخادم لكل طلب
رفع ملفات → قائمة بيضاء بالامتداد + تخزين خارج المسار
كلمات السر → bcrypt/argon2 + 2FA + قفل المحاولات
التكوينات → قائمة بيضاء، لا كلمات افتراضية، تحديث تلقائيالدفاع بالعمق
طبقة وحدة بتسقط. الدفاع الصح: تنقية المدخلات، وتحقق في الخادم، وأقل صلاحية، وسجلات، ونسخ احتياطي. لو سقطت وحدة — الباقي يمسك.
لما تكتب تقرير: إمشي مع المطوّر لخطوة الإصلاح. 'في XSS' جملة ما بتفيد. 'في XSS في حقل التعليقات، الحل: ترميز الإخراج + CSP' جملة بتتنفّذ.
خلّينا نطبّق خطوة بخطوة
سنجرب باب دخول وهمياً يخلط ما تكتبه بأمر البحث عن المستخدم.
بكلمات بسيطة: الاستعلام: سؤال يرسله الموقع إلى سجل المستخدمين. الحقن: تحوّل جزء من كتابتك من بيانات إلى أمر بسبب خطأ في البناء.
الخطوة 1 من 3
اترك اسم المستخدم كما هو، واكتب كلمة عادية في كلمة السر ثم اضغط «دخول».
ليش؟ نبدأ بتجربة عادية لنقارنها بالتجربة التالية.
شو لازم تشوف؟ ترى رسالة «دخول مرفوض».
اختبار سريع
اقرأ السؤال واضغط الإجابة التي تراها صحيحة. يظهر تحتها سبب الإجابة؛ وإذا أخطأت، اقرأ السبب وغيّر اختيارك. يُسجّل الدرس مكتملًا عندما تصح كل إجاباتك.
أيش المقصود بالدفاع بالعمق؟
أيش الإصلاح الصحيح لـ IDOR؟