اختبار اختراق لتطبيق ويب

التركيز على الثغرات الحرجة (وفق OWASP Top 10):

حقن SQL (SQL Injection): فحص نقاط النهاية القابلة للاستعلام.

XSS (Cross-site Scripting): اختبار البحث، التقييمات، وواجهات الـ Builder.

CSRF (Cross-site Request Forgery): التركيز على واجهات التبديل (Toggle endpoints).

كسر آليات المصادقة وتجاوز تسجيل الدخول: التحقق من إدارة الجلسات (JWT)، إعادة استخدام الرموز، وضعف آليات استعادة كلمة المرور.

الوصول غير المصرّح (IDOR / Broken Access Control): محاولة الوصول إلى بيانات مستخدمين آخرين.

تجاوز المسارات (File/Path Traversal): اختبار مسارات رفع الملفات (S3).

فحص سوء التهيئة الأمنية

الرؤوس الأمنية (HTTP Headers & Config):

غياب أو ضعف CSP، HSTS، X-Frame-Options، X-Content-Type-Options.

إعدادات TLS/SSL:

اختبار الخوارزميات الضعيفة، الشهادات المنتهية، وهجمات الـ Downgrade.

لوحات الإدارة/التصحيح (Admin/Debug Panels):

تنفيذ محاولات Fuzzing.

معالجة الأخطاء (Error Handling):

إثارة الأخطاء المتعمدة لمعرفة ما إذا كان التطبيق يكشف عن Stack traces أو تفاصيل داخلية.

التخزين السحابي (Cloud Storage):

التحقق من صلاحيات S3 (قوائم الملفات، صلاحيات ACL).

مخرجات التقرير النهائي

تقرير PDF منظم يحتوي على:

قائمة الثغرات مع تقييم الخطورة وفق CVSS v3.1 (حرج، عالي، متوسط، منخفض).

لقطات شاشة وأدلة (Request/Response) لسهولة إعادة الإنتاج.

ملخص تنفيذي موجّه للإدارة (غير تقني).

توصيات إصلاحية موجزة موجّهة للمطورين (Snippets، رؤوس HTTP، سياسات التحقق من المدخلات).

مراجعة ما بعد التدقيق

جلسة مراجعة (60 دقيقة) مع، تتضمن:

شرح مفصل لأهم الثغرات المكتشفة.

ترتيب أولويات الإصلاح (إصلاحات عاجلة مقابل طويلة الأمد).

جلسة أسئلة وأجوبة مخصصة لفريق التطوير والإدارة.

الأدوات والمنهجية

أدوات آلية (Recon/Scanning):

Nmap → لفحص المنافذ والخدمات.

Nikto → لاكتشاف سوء التهيئة الأساسية.

SSLyze / testssl.sh → لاختبارات TLS/SSL.

أدوات تطبيقات الويب:

Burp Suite Pro / OWASP ZAP → للفحص اليدوي والآلي (SQLi/XSS).

Dirbuster / ffuf → لاكتشاف المسارات والـ Endpoints المخفية (باستخدام الـ Enum والـ Ososs).

اختبار يدوي (حرج):

التلاعب بالمعاملات (Parameter tampering).

فحص الوصول غير المصرّح (IDOR).

تصعيد الصلاحيات (Privilege escalation).

استغلال منطق الأعمال (Business logic abuse) في الطلبات والتطبيقات والتقييمات.