منهجية اختبار الاختراق: الإذن والنطاق والتقرير

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1الإذن قبل أي شيء

الورقة الموقعة هي ما يجعل عملك اختبارًا لا جريمة. وتحمي الطرفين: الشركة تعرف ما سيحدث، وأنت تعرف حدودك. اقرأ النطاق حرفًا حرفًا: إن كان app.company.sa في النطاق فـ mail.company.sa ليس فيه، حتى لو وجدت ثغرة واضحة.

2المراحل

كل مرحلة تغذي التي بعدها. اضغط لترى ما يحدث في كل واحدة، وما يقابلها عند المدافع.

3الخطورة والأولوية: CVSS 4.0 وما بعده

CVSS يعطي درجة تقنية للثغرة من 0 إلى 10. لكن الأولوية الحقيقية تحتاج أكثر: ثغرة «عالية» على خادم اختبار معزول أقل إلحاحًا من «متوسطة» على نظام الرواتب المفتوح للإنترنت. رتّب نتائجك بالدرجة مع أهمية الأصل، وهل يوجد استغلال منشور (قائمة CISA KEV للثغرات المستغلة فعلًا مرجع ممتاز).

الـ VPN صعد للقمة رغم أن درجته أقل من حقن SQL، لأنه مستغل فعلًا في العالم. هذا ما يحتاجه المدير ليقرر بماذا يبدأ.

def band(score):
    return "critical" if score >= 9 else "high" if score >= 7 else "medium" if score >= 4 else "low" if score > 0 else "none"

findings = [   # title, CVSS 4.0 base score, asset weight 1-3, exploited in the wild?
    ("SQL injection in /reports search",       9.3, 3, False),
    ("IDOR: any user reads any payslip",       7.1, 3, False),
    ("Outdated VPN appliance (in CISA KEV)",   8.7, 3, True),
    ("Verbose error pages show stack traces",  5.3, 1, False),
    ("Old TLS 1.0 on the test server",         3.7, 1, False),
]

def priority(f):
    _, score, weight, kev = f
    return score * weight + (10 if kev else 0)

for title, score, weight, kev in sorted(findings, key=priority, reverse=True):
    print(f"{score:>4} {band(score):<8} asset x{weight} {'KEV ' if kev else '    '}{title}")

4التقرير: المنتج الحقيقي

العميل لا يرى عملك، يرى تقريرك. اكتب الملخص التنفيذي لمدير لا يعرف التقنية: ما أخطر ما وجدت، وماذا يعني للعمل، وماذا يفعل أولًا. واكتب النتائج للمطوّر: خطوات إعادة إنتاج واضحة، ودليل (طلب واستجابة أو لقطة)، وإصلاح عملي. وتجنب الأسرار في التقرير: لا كلمات مرور حقيقية ولا بيانات عملاء.

FINDING 2 · IDOR: any user can read any payslip          CVSS 4.0: 7.1 (High)
Asset     : payroll.company.sa (in scope, production)
What      : /api/payslips/{id} returns the payslip for any id without checking it belongs to the caller.
Evidence  : logged in as test user A (id 1042), GET /api/payslips/1043 returned user B's payslip
            (screenshot 4, name and salary masked). Only one record was viewed.
Impact    : every employee's salary is readable by every other employee: privacy breach (PDPL), trust.
Fix       : check ownership on the server for every object (payslip.owner == session.user), deny by
            default, and add a test that user A gets 403 for user B's id.
Retest    : 2026-11-20, confirm 403 for foreign ids.

مثال محلول

المسألة: أثناء اختبار مصرح به لـ app.company.sa، وجدت أن الخادم نفسه يستضيف admin.company.sa وفيه صفحة دخول بكلمة مرور افتراضية ظاهرة. وadmin ليس في النطاق. ماذا تفعل؟

الحل: لا تجرب الدخول. خارج النطاق يعني خارج الإذن، حتى لو كان سهلًا. سجّل ما رأيته دون تفاعل (الاسم وأنه على العنوان نفسه)، واتصل بجهة الاتصال المذكورة في قواعد الاشتباك، واقترح توسيع النطاق كتابيًا إن أرادوا. وفي التقرير أضف ملاحظة «خارج النطاق، لم تُختبر» مع توصية بالمراجعة. هكذا تحمي العميل ونفسك.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك