اهلا ومرحبا بكم في مدونه : Cyber1101 انظم للمجتمع

أشهر الثغرات الأمنية في المواقع الإلكترونية - web vulnerability

يمكن للمهاجم استخدام حقن SQL للوصول إلى معلومات حساسة، مثل أسماء المستخدمين وكلمات المرور، أو حتى حذف البيانات. على سبيل المثال، إدخال ' OR '1'='1 في
toxico

 


أشهر الثغرات الأمنية في المواقع الإلكترونية


اليوم ان شاء الله سوف نذكر اهم التغرات او اشهر في عالم الأمن سيبراني ففي السنوات الأخيرة، شهد مجال الأمن السيبراني تطورات كبيرة، حيث أصبح من الضروري فهم وتفحص الثغرات الأمنية الشائعة في تطبيقات الويب لحماية الأنظمة والبيانات. سنستعرض في هذا المقال 15 من أشهر الثغرات الأمنية، مع شرح كيفية استغلالها وأدوات المساعدة في كشفها.


1. حقن SQL (SQL Injection)

ثغرة حقن SQL تُعد من أقدم وأشهر الثغرات. تحدث عندما يُدخل المهاجم تعليمات SQL خبيثة عبر حقول الإدخال ليتم تنفيذها بواسطة قاعدة البيانات.


طريقة الاستغلال:

يمكن للمهاجم استخدام حقن SQL للوصول إلى معلومات حساسة، مثل أسماء المستخدمين وكلمات المرور، أو حتى حذف البيانات. على سبيل المثال، إدخال ' OR '1'='1 في حقل اسم المستخدم قد يتسبب في استرجاع جميع البيانات من قاعدة البيانات.


أدوات الكشف:

  • SQLmap
  •  Havij
  •  Burp Suite
  •  Acunetix
  •  Netparker


مكتشف الثغرة:

Jeff Forristal، المعروف بلقب "Rain Forrest Puppy"، كان من أوائل الباحثين الذين نشروا عن ثغرات SQL Injection في التسعينات.


المصادر:


 2. البرمجة عبر المواقع (Cross-Site Scripting - XSS)

ثغرة XSS تحدث عندما يُدخل المهاجم نصوصًا برمجية خبيثة في صفحات الويب المعروضة للمستخدمين الآخرين.


طريقة الاستغلال:

يمكن للمهاجم إدخال نصوص جافا سكريبت خبيثة في حقول التعليقات أو أي مدخلات غير محمية. هذا يمكن أن يؤدي إلى سرقة ملفات تعريف الارتباط أو تنفيذ هجمات تصيدية.


أدوات الكشف:

  •  Burp Suite
  •  XSSer
  •  Netsparker
  •  Arachni


مكتشف الثغرة:

David Ross من Microsoft كان من الأوائل في توثيق ثغرة XSS في أواخر التسعينات، بينما Jeremiah Grossman قدم مساهمات بارزة في توثيقها في السنوات التالية.


المصادر:


 3. تزوير الطلب عبر المواقع (Cross-Site Request Forgery - CSRF)

ثغرة CSRF تحدث عندما يُجبر المستخدم على تنفيذ إجراء غير مرغوب فيه على موقع ويب آخر يكون قد سجل دخوله إليه.


طريقة الاستغلال:

يمكن للمهاجم إنشاء رابط خبيث يرسل طلبًا إلى الموقع المستهدف باستخدام بيانات المستخدم، مثل طلب تحويل أموال من حساب مصرفي.


أدوات الكشف:

  •  Burp Suite
  •  CSRF-Tester
  •  Netsparker
  •  Postman


مكتشف الثغرة:

Peter Watkins هو الباحث الذي نشر أولى الأبحاث حول هجمات CSRF في عام 2000.


المصادر:


4. التحميل غير الآمن للملفات (Insecure File Upload)

ثغرة التحميل غير الآمن تحدث عندما يتمكن المهاجم من تحميل ملفات خبيثة إلى الخادم، والتي يمكن تنفيذها لاحقًا.


طريقة الاستغلال:

يمكن للمهاجم تحميل ملف خبيث، مثل ملف PHP، إلى الخادم ثم تنفيذ الشيفرة الخبيثة.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Acunetix


مكتشف الثغرة:

أول من اكتشف وعرض هذا النوع من الثغرات هو الباحث الأمني RSnake في السنوات الأخيرة.


المصادر:


5. توجيه العناوين (Open Redirect)

ثغرة توجيه العناوين تحدث عندما يتمكن المهاجم من توجيه المستخدمين إلى مواقع غير موثوقة عبر الروابط.


طريقة الاستغلال:

يمكن للمهاجم استخدام روابط توجيه العناوين للاحتيال على المستخدمين وجعلهم يزورون مواقع ضارة.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Snyk


مكتشف الثغرة:

تم التعرف على هذه الثغرة بشكل واسع من خلال أبحاث في OWASP والمجتمع الأمني.


المصادر:


6. تجاوز التصريح (Authorization Bypass)

ثغرة تجاوز التصريح تحدث عندما يتمكن المستخدم من الوصول إلى موارد أو وظائف محمية دون الحصول على إذن مناسب.


طريقة الاستغلال:

يمكن للمهاجم استخدام تقنيات مختلفة للوصول إلى موارد محمية أو تنفيذ إجراءات غير مصرح بها.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Postman


مكتشف الثغرة:

غالبًا ما يتم الكشف عن هذه الثغرات من خلال ممارسات الأمان العامة والبحث المستمر من قبل مجتمع الأمان.


المصادر:


7. سرقة الجلسات (Session Hijacking)

ثغرة سرقة الجلسات تحدث عندما يتمكن المهاجم من الاستيلاء على معرف الجلسة الخاص بمستخدم آخر.


طريقة الاستغلال:

يمكن للمهاجم سرقة ملفات تعريف الارتباط الخاصة بالجلسة واستخدامها للوصول إلى حسابات المستخدمين.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Wireshark


مكتشف الثغرة:

تم توثيق سرقة الجلسات في العديد من الأبحاث الأمنية مع تطور الأدوات والتقنيات في هذا المجال.


المصادر:


8. الكشف عن معلومات حساسة (Sensitive Data Exposure)

ثغرة الكشف عن معلومات حساسة تحدث عندما يتم تسريب بيانات حساسة بشكل غير مقصود.


طريقة الاستغلال:

يمكن للمهاجم الوصول إلى بيانات حساسة غير محمية أو غير مشفرة.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Acunetix


مكتشف الثغرة:

تم اكتشاف هذه الثغرات بشكل تدريجي من خلال الأبحاث والاختبارات الأمنية من قبل عدة باحثين.


المصادر:


9. استغلال البرامج النصية عبر المواقع (Server-Side Request Forgery - SSRF)

ثغرة SSRF تحدث عندما يتمكن المهاجم من إجبار الخادم على إجراء طلبات غير مصرح بها.


طريقة الاستغلال:

يمكن للمهاجم استغلال الثغرة للوصول إلى خدمات داخلية أو موارد على الشبكة.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Postman


مكتشف الثغرة:

تم توثيق SSRF من خلال عدة باحثين أمنيين مع تقدم الأبحاث في هذا المجال.


المصادر:


10. الهجمات عبر الرموز غير الصالحة (Insecure Deserialization)

ثغرة deserialization غير الآمنة تحدث عندما يتمكن المهاجم من استغلال عملية فك تسلسل البيانات لتشغيل شيفرة خبيثة.


طريقة الاستغلال:

يمكن للمهاجم إرسال بيانات خبيثة تؤدي إلى تنفيذ شيفرة ضارة على الخادم.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Serialization Scanner


مكتشف الثغرة:

تم توثيق هذه الثغرة من خلال الأبحاث الأمنية الحديثة وتقدم الأدوات الأمنية.


المصادر:



 11. ضعف التشفير (Broken Cryptography)

ثغرة ضعف التشفير تحدث عندما يتمكن المهاجم من كسر أو تجاوز آليات التشفير المستخدمة لحماية البيانات.


طريقة الاستغلال:

يمكن للمهاجم استخدام هجمات القوة العمياء، تحليل الشيفرات، أو استغلال ضعف خوارزميات التشفير للوصول إلى البيانات المحمية.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Hashcat


مكتشف الثغرة:

ثغرات ضعف التشفير تم توثيقها بشكل موسع من قبل باحثين أمنيين في الأبحاث المتعلقة بتشفير البيانات في السنوات الأخيرة.


المصادر:


12. التلاعب بالطلبات (Parameter Injection)

ثغرة التلاعب بالطلبات تحدث عندما يتمكن المهاجم من تعديل معلمات الطلب لإجراء عمليات غير مصرح بها.


طريقة الاستغلال:

يمكن للمهاجم تعديل معلمات في عنوان URL أو في طلب HTTP لتنفيذ عمليات غير مصرح بها، مثل تجاوز القيود أو تنفيذ استعلامات غير قانونية.


أدوات الكشف:

  •  Burp Suite
  •  OWASP ZAP
  •  Postman


مكتشف الثغرة:

ثغرات التلاعب بالطلبات يتم اكتشافها بشكل متكرر من خلال الأبحاث الأمنية وتحليل الطلبات في التطبيقات.


المصادر:


13. التهديدات المدمجة (Insecure Components)

ثغرة التهديدات المدمجة تحدث عندما تحتوي التطبيقات على مكونات أو مكتبات غير آمنة يمكن استغلالها.


طريقة الاستغلال:

يمكن للمهاجم استغلال ضعف أو ثغرات في المكونات أو المكتبات المستخدمة في التطبيق للوصول إلى البيانات أو تنفيذ شيفرة خبيثة.


أدوات الكشف:

  •  Snyk
  •  OWASP Dependency-Check
  •  Burp Suite


مكتشف الثغرة:

تم التعرف على هذه الثغرات بشكل تدريجي من خلال أبحاث وممارسات الأمان التي تركز على تحليل المكونات.


المصادر:


14. هجمات التصيد عبر المواقع (Phishing Attacks)

ثغرة هجمات التصيد تحدث عندما يتمكن المهاجم من خداع المستخدمين لجمع معلومات حساسة مثل كلمات المرور أو بيانات بطاقة الائتمان.


طريقة الاستغلال:

يمكن للمهاجم إنشاء صفحات ويب زائفة تشبه الصفحات الحقيقية لجمع معلومات تسجيل الدخول أو التفاصيل المالية من المستخدمين.


أدوات الكشف:

  •  Phishing Detection Tools
  •  Email Security Solutions
  •  Burp Suite


مكتشف الثغرة:

هجمات التصيد أصبحت معروفة منذ زمن بعيد بفضل الأبحاث والتقارير الأمنية حول هذا النوع من الهجمات.


المصادر:


15. الهجمات على الشبكات الداخلية (Internal Network Attacks)

ثغرة الهجمات على الشبكات الداخلية تحدث عندما يستغل المهاجم ثغرات داخل الشبكة للوصول إلى أنظمة أخرى أو البيانات الحساسة.


طريقة الاستغلال:

يمكن للمهاجم استخدام أدوات مثل Scanners لاكتشاف نقاط الضعف في الشبكة الداخلية ومن ثم الاستفادة منها للوصول إلى موارد حساسة.


أدوات الكشف:

  •  Nmap
  •  Nessus
  •  Burp Suite


مكتشف الثغرة:

هذه الثغرات تم التعرف عليها من خلال أبحاث الأمن الشبكي وتحليل شبكات المؤسسات.


المصادر:


 الخاتمة

الثغرات الأمنية تشكل تحديًا كبيرًا في مجال الأمان السيبراني، وتؤكد الحاجة إلى تقييم مستمر للأمن وتحديث التدابير الأمنية بانتظام. تشمل الثغرات التي تمت مناقشتها أعلاه بعضًا من الأكثر شيوعًا والتي يجب على كل محترف في هذا المجال أن يكون على دراية بها. إن فهم كيفية استغلال هذه الثغرات واستخدام الأدوات المناسبة لاكتشافها يمكن أن يساعد في حماية الأنظمة من الهجمات المحتملة وضمان أمان البيانات.



شكرًا لاهتمامكم❤

إرسال تعليق

Cookie Consent
We serve cookies on this site to analyze traffic, remember your preferences, and optimize your experience.
Oops!
It seems there is something wrong with your internet connection. Please connect to the internet and start browsing again.
AdBlock Detected!
We have detected that you are using adblocking plugin in your browser.
The revenue we earn by the advertisements is used to manage this website, we request you to whitelist our website in your adblocking plugin.
Site is Blocked
Sorry! This site is not available in your country.