أمان التطبيقات

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1الحقن: هاجم كودك

نفس الاستعلام مرتين: مرة بدمج النص، ومرة بمعاملات. المدخل الخبيث يكسر الأول ويفشل في الثاني:

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE users (name TEXT, is_admin INTEGER)")
db.executemany("INSERT INTO users VALUES (?, ?)", [("sara", 0), ("admin", 1)])

attack = "nobody' OR '1'='1"

unsafe = f"SELECT name FROM users WHERE name = '{attack}'"
print("string-built :", db.execute(unsafe).fetchall())

safe = "SELECT name FROM users WHERE name = ?"
print("parameterised:", db.execute(safe, (attack,)).fetchall())

2كلمات المرور

لا تخزن كلمة المرور ولا تجزئة سريعة لها. استخدم دالة بطيئة عمدًا بملح عشوائي لكل مستخدم، فلو سُرقت القاعدة يصبح التخمين مكلفًا جدًا:

import hashlib
import hmac
import os

def hash_password(password, salt=None):
    salt = salt or os.urandom(16)
    digest = hashlib.scrypt(password.encode(), salt=salt, n=2**14, r=8, p=1)
    return salt, digest

def verify(password, salt, digest):
    _, candidate = hash_password(password, salt)
    return hmac.compare_digest(candidate, digest)

salt, stored = hash_password("correct horse battery")
print("right password:", verify("correct horse battery", salt, stored))
print("wrong password:", verify("123456", salt, stored))

_, other = hash_password("correct horse battery")
print("same password, same hash for two users?", other == stored)

3التحكم بالوصول

أخطر ثغرة وأسهلها: الواجهة تخفي زر الحذف عن غير المالك، لكن الخادم لا يفحص. المهاجم يرسل الطلب مباشرة. افحص في الخادم دائمًا:

@app.get("/invoices/{invoice_id}")
def get_invoice(invoice_id: int, user = Depends(current_user), db = Depends(get_db)):
    invoice = db.get(Invoice, invoice_id)
    if invoice is None or invoice.owner_id != user.id:
        raise HTTPException(status_code=404)   # 404, not 403: do not confirm it exists
    return invoice

مثال محلول

المسألة: تطبيق حجوزات يعرض /bookings/1043. مختبر أمان غيّر الرقم إلى 1042 فرأى اسم مريض آخر ورقم جواله. السبب: المسار يجلب الحجز بالمعرّف فقط. الإصلاح: WHERE id = ? AND patient_id = ? ورد 404 لغير المالك، واختبار آلي يطلب حجز مستخدم آخر. درس إضافي: سجّل محاولات الوصول المرفوضة لتكتشف من يجرّب الأرقام.

خرافة مقابل حقيقة

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك