مرحباً. أنا ليث اسمي ليث محمود زيادة. أعمل مهندس امن سيبراني في عمان الاردن، أقدّم هذا النص من كتابتي بهدف توضيح مفهوم التطبيقات وثغراتها بطريقة مسؤولة وواضحة، دون أي توجيه للاستغلال أو تشجيع على أفعال غير أخلاقية. أتكلم هنا من منظوري وخبرتي لأزيد الوعي وأحثّ على الحذر والممارسة المسؤولة.

أولاً: كيف أنظر إلى التطبيق
أرى التطبيق كمجموعة من أجزاء مترابطة: واجهة مستخدم يتعامل معها الناس، طبقة عرض وتعامل مع الطلبات، منطق التطبيق الذي يعالج البيانات والقرارات، قاعدة بيانات تخزن المعلومات، طبقات تشغيلية تتحكم في الشبكات والموارد، ومكونات خارجية ومكتبات تُستدعى لأداء وظائف معينة. كل جزء قد يحمل خطأ صغير يتحول إلى ثغرة إن لم تُعالج.

ما المقصود بالثغرة؟
الثغرة هي خلل في التصميم أو التنفيذ يتيح الوصول إلى بيانات أو وظائف غير مصرح بها، أو يسبب سلوكاً غير متوقعاً. غالباً تنشأ من أخطاء بشرية: تجاهل التحقق من المدخلات، افتراضات خاطئة عن صلاحيات المستخدم، أو الاعتماد على إعدادات افتراضية غير آمنة.

عن مكونات التطبيق وحمايتها
عند مراجعتي لتطبيق أركز على أربع طبقات رئيسية:

• طبقة العرض: حيث يدخل المستخدم ويُعرض المحتوى؛ تحتاج إلى التحقق من المدخلات وترميز المخرجات.
• طبقة المعالجة: منطق التطبيق؛ يجب أن يتحقق من صلاحيات كل طلب ويتعامل مع الأخطاء بأمان.
• طبقة التخزين: قواعد البيانات والملفات؛ تحتاج إلى التحكم في الوصول، التشفير عند الحاجة، وسياسات نسخ احتياطي ومراجعة.
• طبقة الربط: الاتصالات مع خدمات خارجية ومكتبات؛ يجب مراقبة التحديثات وفحص المكونات الطرفية.

اعتمادنا على مكونات خارجية يسرّع التطوير لكنه يحمل مخاطر؛ ثغرة في مكوّن بسيط قد تؤثر على كامل النظام إذا لم تكن هناك سياسات تدقيق وتحديث ومراجعة سلسلة التوريد البرمجية.

عن الاختراق الأخلاقي
الاختراق الأخلاقي هو عمل يهدف لاكتشاف نقاط الضعف بطريقة مرخّصة ومسؤولة لتحسين الأمان وليس للإيذاء. قواعده الأساسية: العمل بموافقة واضحة، تحديد نطاق العمل، الالتزام بالقوانين، عدم نشر الثغرات قبل إصلاحها، وإبلاغ الجهة المالكة عبر قنوات رسمية. ممارس الاختراق الأخلاقي يجب أن يتصرف كخبير مصحّح: يكتشف، يوثق، ويقترح حلولاً دفاعية دون استغلال الضحية أو تعريض بياناتها للخطر.

ثغرات محددة وشرحها بصورة مبسطة:

1. خلل في التحكم في الوصول
   ما هو؟ خطأ في قواعد الأذونات يسمح لمستخدم عادي بالقيام بعمليات مخصصة للمسؤولين أو الوصول إلى بيانات غير مخوّلة له.
   المخاطر: تسريب بيانات، تعديل إعدادات حسّاسة، إساءة استخدام وظائف النظام.
   كيفية الوقاية (مستوى عام وآمن): تطبيق مبدأ أقلّ الصلاحيات، التحقق من صلاحيات كل طلب على الخادم وليس الاعتماد على واجهة المستخدم فقط، مراجعة دور الأذونات بانتظام، وإجراء اختبارات تلقائية لمَسارات الصلاحيات.
2. حقن استعلامات قواعد البيانات
   ما هو؟ قبول بيانات من خارج وإدراجها في استعلامات قاعدة البيانات دون فصل واضح بين البيانات والتعليمات؛ هذا قد يغير غرض الاستعلام.
   المخاطر: كشف أو تعديل أو حذف بيانات، تعريض سلامة قاعدة البيانات.
   كيفية الوقاية (مستوى عام وآمن): فصل البيانات عن بناء الاستعلامات باستخدام استعلامات معدّة بمعلمات، التحقق من نوع وقيمة المدخلات، تقييد صلاحيات حسابات قاعدة البيانات بحيث لا تملك أكثر مما تحتاج، ومراقبة سجلات قاعدة البيانات لرصد نشاط غير اعتيادي.
3. حقن نصوص ضمن صفحات الويب
   ما هو؟ إدخال نصوص ضارة ضمن محتوى يظهر لمستخدمين آخرين أو يعود للمستخدم نفسه، فتنفّذ تلك النصوص في متصفّح الضحية.
   المخاطر: سرقة معلومات مؤقتة مثل رموز الجلسة، خداع المستخدم، تغيير واجهة العرض للاحتيال.
   كيفية الوقاية (مستوى عام وآمن): ترميز المخرجات قبل عرضها في الصفحة بحيث تُعامل المدخلات كنص وليس كتعليمات، التحقق من المدخلات في مصدرها، تفعيل سياسات التحكم في المحتوى في المتصفح عندما يكون ذلك متاحاً، ومراجعة أماكن عرض المحتوى الذي يدخل من المستخدمين.
4. ثغرات رفع الملفات
   ما هو؟ قبول رفع ملفات من المستخدمين دون ضوابط كافية قد يسمح بتحميل ملفات تنفيذية أو ملفات تحمل محتوى ضار.
   المخاطر: تنفيذ تعليمات على الخادم، تخزين ملفات تسبب تسريب بيانات، استغلال صلاحيات مرفوعة.
   كيفية الوقاية (مستوى عام وآمن): التحقق من نوع الملف ومحتواه وليس فقط امتداده، حفظ الملفات في أماكن لا تُنفّذ منها الشيفرة، تقييد صلاحيات الملفات والمجلدات، فحص الملفات بمكافحات الفيروسات عند الحاجة، وتحديد حدود لحجم وأنواع الملفات المسموح بها.

التشخيص والاحتراز العام

• المراجعات الدورية للشيفرة ومراجعات التصميم تساعد على الكشف المبكر عن افتراضات خاطئة.
• سجلات النشاط ومراقبة الأنماط غير الاعتيادية تساعد على رصد محاولات الاستغلال.
• اختبار الأمان المنهجي ضمن نطاق مرخّص (اختبارات اختراق أخلاقية) يسلّط الضوء على مشاكل فعلية بطريقة مسؤولة.
• اتّباع مبادئ التصميم الأمني: التحقّق المُركزي من الصلاحيات، التشفير عند الحاجة، وسياسة تحديث وصيانة دورية للمكوّنات.