لا يحتاج المخترق إلى عبقرية ليستغل موقعك، فيكفي غالبًا أن تكون قد أغفلت قاعدة أساسية معروفة. وأكثر الاختراقات الناجحة تستغل أخطاء شائعة تتكرر منذ سنوات. نشرح هنا أشهر الثغرات وكيف تسدها كمطور، ونذكرك أن الأمان مجال متجدد، فراجع مراجع مثل OWASP للتحديثات.
كيف تفكر في الأمان كمطور؟
قبل الثغرات المحددة، ابنِ العقلية التي تحميك من الجديد منها أيضًا:
لا تثق بأي مدخل: كل ما يأتي من المستخدم أو من واجهة خارجية أو من ملف أو من رأس الطلب يعد غير موثوق حتى تتحقق منه.
الدفاع المتعدد الطبقات: لا تعتمد على حماية واحدة. حين تفشل طبقة تمسك التالية.
الصلاحيات الأدنى: كل حساب وخدمة تعمل بأقل ما يلزم، فيصغر ضرر الاختراق.
الأمان منذ التصميم: أسهل وأرخص من ترقيعه بعد البناء. اسأل في كل ميزة: كيف يمكن إساءة استعمالها؟
افترض الاختراق: خطط لما بعده: سجلات تكشف، وبيانات حساسة مشفرة، وخطة استجابة.
استعمل المكتبات المختبرة: لا تكتب تشفيرًا ولا نظام دخول من الصفر. وحدّث اعتماداتك.
المرجع: قائمة OWASP Top 10 تلخص أبرز مخاطر تطبيقات الويب وتتحدث كل بضع سنوات، فاطلع على آخر إصدار منها. وقد تناولنا المصادقة والصلاحيات في مقال مستقل، فنركز هنا على غيرهما.
ما هو حقن SQL وكيف تمنعه؟
من أقدم الثغرات وأخطرها، وما زالت موجودة في مواقع كثيرة:
الفكرة: تبني استعلام قاعدة البيانات بدمج نص يدخله المستخدم، فيدخل المهاجم نصًا يغير معنى الاستعلام. فبدل اسم يكتب شرطًا يعيد كل المستخدمين أو يحذف جدولًا.
الأثر: قراءة بيانات لا يحق له، أو تعديلها أو حذفها، وقد يصل إلى السيطرة على الخادم في حالات.
الحل الأساسي: الاستعلامات المهيأة (Prepared statements) التي تمرر القيم كمعاملات منفصلة عن نص الاستعلام، فلا تُفسَّر كأوامر. وهي مدعومة في كل برامج تشغيل القواعد.
أدوات ORM: تستعمل المعاملات عادة، لكن الاستعلامات الخام داخلها قد تكون عرضة إن دمجت فيها نصوصًا.
لا تعتمد على التنقية اليدوية: محاولات حذف الرموز الخطرة بنفسك تخطئ كثيرًا.
صلاحيات القاعدة: حساب التطبيق لا يحتاج إلى حذف الجداول أو تعديل المخطط.
رسائل الخطأ: لا تعرض أخطاء القاعدة للمستخدم، فهي تساعد المهاجم.
أنواع أخرى: حقن الأوامر وحقن NoSQL تعمل بالفكرة نفسها، والحل أيضًا فصل البيانات عن الأوامر.
ما هو XSS وكيف تحمي صفحاتك؟
البرمجة عبر المواقع (Cross-Site Scripting) تحدث حين يستطيع المهاجم تشغيل سكربت في متصفح ضحية داخل موقعك:
الفكرة: تعرض في صفحتك نصًا أدخله مستخدم، كتعليق، دون تعقيم، فيكون فيه كود جافاسكربت ينفذه متصفح كل من يفتح الصفحة.
الأثر: سرقة جلسات وبيانات، وتنفيذ أفعال باسم الضحية، وتغيير ما يراه، وتحويله لصفحة مزيفة.
الأنواع: المخزن (يحفظ في القاعدة)، والمنعكس (يرجع من الرابط)، والقائم على DOM (في كود الواجهة).
الحل الأساسي: ترميز المخرجات: حوّل الرموز الخاصة إلى كيانات آمنة بحسب سياق العرض. وأغلب أطر الواجهات الحديثة تفعل ذلك افتراضيًا.
احذر الإدراج الخام: استعمال innerHTML أو dangerouslySetInnerHTML أو ما يعادلها مع نص غير موثوق. فضّل textContent، وإن لزم HTML فاستعمل مكتبة تعقيم موثوقة.
سياسة أمان المحتوى (CSP): رأس يحدد مصادر السكربتات المسموحة، فيحد من أثر الثغرة إن حدثت. تحتاج إلى ضبط دقيق.
ملفات تعريف الارتباط HttpOnly: تمنع قراءتها بالسكربت، فتخفف من سرقة الجلسات.
الروابط: تحقق من أن الروابط التي يدخلها المستخدم تبدأ ببروتوكول آمن، لا javascript:.
ما هو CSRF والثغرات المرتبطة بالطلبات؟
بعض الهجمات لا تحقن كودًا، بل تستغل أن المتصفح يرسل بيانات اعتمادك تلقائيًا:
CSRF: تزوير الطلبات عبر المواقع. يزور المستخدم موقعًا خبيثًا وهو مسجل دخول عندك، فيرسل الموقع طلبًا إلى موقعك بنقرة مخفية، والمتصفح يرفق ملف تعريف الارتباط، فينفذ الخادم فعلًا لم يقصده المستخدم.
الحل: رموز مضادة (CSRF tokens) تتحقق منها الخادم، وخاصية SameSite على ملفات تعريف الارتباط، والتحقق من الرؤوس الأصلية في الطلبات الحساسة. وأغلب الأطر توفر حماية جاهزة، فتأكد أنها مفعلة.
استعمل الطرق الصحيحة: لا تجعل GET يغير الحالة.
SSRF: تزوير الطلبات من الخادم. تسمح لمستخدم بإدخال عنوان تجلبه من خادمك، فيستهدف خدمات داخلية. التحقق من العناوين وقوائم السماح وعزل الشبكة تحد منه.
إعادة التوجيه المفتوحة: صفحة تعيد التوجيه إلى عنوان يحدده المستخدم، تستعمل في التصيد. اسمح بوجهات معروفة فقط.
CORS: سياسة المتصفح التي تتحكم في طلبات المواقع المتبادلة. لا تفتحها لكل النطاقات مع بيانات اعتماد لمجرد أن الخطأ اختفى.
ثغرات الملفات: رفع ملفات تنفذ، أو مسارات تتجاوز المجلد (Path traversal)، فتحقق من الأنواع والأسماء وخزنها بعيدًا عن مجلد التنفيذ.
كيف تحمي البيانات والاعتماديات والإعدادات؟
بعض أسوأ الحوادث تأتي من الإعدادات والتبعيات لا من منطق التطبيق:
HTTPS في كل مكان: لتشفير ما ينتقل، مع رأس HSTS ليلتزم المتصفح به.
تشفير البيانات الحساسة: عند التخزين حيث يلزم، ولا تحتفظ بما لا تحتاجه. فالبيانات التي لا تخزنها لا تُسرق.
الأسرار خارج الكود: متغيرات بيئة أو خدمة أسرار، وبدّلها دوريًا، وبعد أي تسرب.
تحديث الاعتماديات: كثير من الاختراقات تستغل ثغرات معروفة في مكتبات قديمة. استعمل أدوات فحص مثل npm audit وDependabot لتنبيهك.
سلسلة التوريد: الحزم الخارجية قد تكون ضارة أو يُخترق ناشروها. ثبّت الإصدارات، وراجع ما تضيفه، وتجنب الحزم المجهولة.
إعدادات آمنة افتراضيًا: عطّل وضع التنقيح، وأزل الحسابات والصفحات التجريبية، وغيّر كلمات المرور الافتراضية، وأغلق المنافذ غير اللازمة.
رؤوس الأمان: مثل X-Content-Type-Options وسياسة المراجع وCSP، تزيد الحماية بتكلفة قليلة.
حدّ الطلبات: يخفف من الاستغلال الآلي وتخمين كلمات المرور وإساءة الاستعمال.
السجلات والمراقبة: سجل محاولات الدخول والأخطاء المشبوهة بلا بيانات حساسة، وراجعها وأنشئ تنبيهات.
كيف تختبر أمانك وتتصرف عند الحادث؟
لا يكفي أن تظن أنك آمن، بل اختبر وجهّز خطة:
راجع كودك بقوائم التحقق: قوائم OWASP مفيدة، وخصوصًا لمسارات الدخول والرفع والدفع.
الفحص الآلي: أدوات تحليل ساكن وفحص للتبعيات وفحص ديناميكي للتطبيق، وتعمل في خط التكامل المستمر. وتنتج إنذارات كاذبة، فلا بد من مراجعة بشرية.
اختبار الاختراق: للمشاريع الجادة، استعن بمتخصصين مرخصين، وبترتيب مكتوب. ولا تختبر أنظمة لا تملكها بغير إذن صريح، فذلك قد يكون جريمة معلوماتية بحسب الأنظمة.
ممارسات التدرب الآمنة: تطبيقات مصممة لتكون قابلة للاختراق مثل OWASP Juice Shop تعلمك بأمان وقانونية.
الإفصاح المسؤول: إن وجدت ثغرة في موقع غيرك، فأبلغ الجهة بالطريقة المعلنة ولا تستغلها ولا تنشرها قبل الإصلاح. وفي السعودية جهات تنظيمية وطنية للأمن السيبراني تستقبل البلاغات، فراجع قنواتها الرسمية.
خطة استجابة للحوادث: من يُبلَّغ؟ كيف تعزل الخلل؟ كيف تتواصل مع المستخدمين؟ وما الالتزامات النظامية للإبلاغ؟ اكتبها قبل أن تحتاجها.
النسخ الاحتياطي المعزول: يحميك من فدية وحذف خبيث.
التعلم المستمر: تابع نشرات الأمن لتقنياتك، وراجع تقارير الحوادث العامة لتتعلم منها.
أسئلة شائعة عن أمان الويب
هل الأطر الحديثة تحميني تلقائيًا؟
تحمي من كثير من الأخطاء الشائعة افتراضيًا، لكنها لا تغني عن الفهم. استعمال غير صحيح لميزاتها يفتح ثغرات، وأخطاء الصلاحيات والمنطق لا يكشفها إطار.
هل موقعي الصغير مستهدف حقًا؟
نعم. كثير من الهجمات آلية تفحص الإنترنت كله عن ثغرات معروفة ولا تفرق بين صغير وكبير.
من أين أبدأ تعلم الأمان؟
اقرأ OWASP Top 10، وجرب تطبيقات التدريب القانونية، وراجع مشروعك بقائمة تحقق. ثم تعمق في الجانب الذي يخص تقنيتك.
0 تعليقات