اختبار تطبيقات الويب في المختبر: الوكيل والصلاحيات والحقن

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1الوكيل وخريطة التطبيق

ثبّت الوكيل وشهادته في متصفح مخصص للمختبر فقط. تصفح التطبيق كمستخدم عادي، وكل نقرة تُسجّل طلبًا. ثم اقرأ الخريطة: كل نقطة API ومعاملاتها، وأي المعاملات أرقام تعريف (id, user, order)، وأيها يدخل في استعلام أو رابط أو ملف. هذه قائمة اختبارك.

2الصلاحيات: حسابان دائمًا

أخطر ثغرات الويب وأكثرها انتشارًا لا تحتاج أي حيلة: الخادم يسأل «من أنت؟» لكنه ينسى أن يسأل «هل هذا لك؟». الاختبار بسيط ومنظم: أنشئ حسابين A وB (ودور مدير إن وُجد)، والتقط طلبات A، وأعد إرسالها بجلسة B. إن رأى B بيانات A فهذه IDOR. والإصلاح دائمًا في الخادم: تحقق من الملكية لكل كائن، وارفض افتراضيًا.

هذا هو اختبار الحسابين مصغّرًا: bob يطلب طلب alice. في النسخة المكسورة يراه، وفي المصلحة يأخذ 403.

orders = {501: {"owner": "alice", "total": 420}, 502: {"owner": "bob", "total": 99}}
roles = {"alice": "user", "bob": "user", "sara": "admin"}

def get_order_broken(session_user, order_id):
    return orders.get(order_id)                       # authenticated, but never asks "is it yours?"

def get_order_fixed(session_user, order_id):
    order = orders.get(order_id)
    if order is None:
        return 404
    if order["owner"] != session_user and roles.get(session_user) != "admin":
        return 403                                    # deny by default
    return order

for fn in (get_order_broken, get_order_fixed):
    print(fn.__name__)
    for user, oid in (("alice", 501), ("bob", 501), ("sara", 501), ("bob", 999)):
        print(f"   {user:<5} asks for order {oid}: {fn(user, oid)}")

3الحقن: البيانات ليست أوامر

الحقن يحدث حين يُلصق نص المستخدم داخل أمر (استعلام SQL، أو أمر نظام، أو قالب)، فيصبح جزءًا من الأمر. الحل ليس «تنظيف» المدخلات بحذف علامات التنصيص، فهناك دائمًا طريقة التفاف، بل الاستعلام المعلّم: الأمر يُرسل وحده، والبيانات تُرسل منفصلة، فلا يمكن أن تتحول إلى أمر مهما كتب المستخدم.

في النسخة المكسورة صار نص المستخدم جزءًا من الشرط فظهر الجميع. في المصلحة بقي نصًا يُبحث عنه حرفيًا فلم يطابق شيئًا.

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE staff (name TEXT, salary INT, dept TEXT)")
db.executemany("INSERT INTO staff VALUES (?, ?, ?)",
               [("Huda", 18000, "HR"), ("Omar", 22000, "IT"), ("CEO", 95000, "Board")])

def search_broken(dept):
    return db.execute(f"SELECT name, salary FROM staff WHERE dept = '{dept}'").fetchall()

def search_fixed(dept):
    return db.execute("SELECT name, salary FROM staff WHERE dept = ?", (dept,)).fetchall()

typed = "HR' OR '1'='1"                         # the classic lab test string
print("broken, normal :", search_broken("HR"))
print("broken, crafted:", search_broken(typed))
print("fixed,  crafted:", search_fixed(typed))

4SSRF ومنطق العمل

SSRF: ميزة مثل «أدخل رابط صورتك ليجلبها الخادم». إن لم يقيّد الخادم الوجهة، يطلب ما تريد من داخل الشبكة: لوحات إدارة داخلية، أو عنوان البيانات الوصفية للسحابة 169.254.169.254 الذي قد يعطي مفاتيح مؤقتة. الإصلاح: قائمة سماح بالنطاقات، وحجب العناوين الداخلية بعد حل DNS، وIMDSv2 في AWS. ومنطق العمل ثغرات لا تجدها أي أداة: كوبون يُستخدم مرتين، أو كمية سالبة في السلة، أو تخطي خطوة الدفع. تجدها بأن تسأل «ماذا لو فعلت الخطوات بترتيب مختلف؟».

التحقق بعد حل الاسم مهم: نطاق مسموح قد يشير مؤقتًا إلى عنوان داخلي.

import ipaddress
from urllib.parse import urlparse

ALLOWED_HOSTS = {"images.partner-cdn.com"}

def safe_to_fetch(url, resolved_ip):
    host = urlparse(url).hostname or ""
    if urlparse(url).scheme != "https" or host not in ALLOWED_HOSTS:
        return "refused: host not on the allow-list"
    ip = ipaddress.ip_address(resolved_ip)
    if ip.is_private or ip.is_loopback or ip.is_link_local:
        return "refused: resolves to an internal address"
    return "ok"

print(safe_to_fetch("https://images.partner-cdn.com/a.png", "151.101.2.10"))
print(safe_to_fetch("http://169.254.169.254/latest/meta-data/", "169.254.169.254"))
print(safe_to_fetch("https://images.partner-cdn.com/a.png", "10.0.3.7"))       # DNS points inside

مثال محلول

المسألة: في مختبر Juice Shop، تريد خطة اختبار منظمة لصلاحيات التطبيق في ساعتين. اكتبها.

الحل: (1) شغّل Juice Shop محليًا في Docker، ووجّه متصفح المختبر عبر Burp أو ZAP. (2) أنشئ حسابين A وB. (3) بحساب A تصفح كل ما يخص المستخدم: السلة، والطلبات، والعناوين، والتقييمات، واحفظ الطلبات. (4) في Repeater أعد كل طلب فيه رقم تعريف بجلسة B: هل يرى B سلة A؟ (5) جرّب نقاط الإدارة من خريطة التطبيق بجلسة مستخدم عادي. (6) لكل نجاح: الدليل، والأثر، والإصلاح (تحقق ملكية في الخادم)، واختبار آلي يفشل إن عادت. (7) اكتب ملخصًا من صفحة لما وجدته.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك