هل سمعت عن XSS ؟ ، هل تعرف ما هي حقن لغة الإستعلام SQL Injection ، هل قرأت عن إقتحام الجلسات Session Hijacking ، حسنا ، هل قرأت عن الـ CRLF Injection، ماذا عن الـ Directory Traversal ، و ماذا عن التلاعب بالمتغيرات Parameters Manipulation ?
حسناً ... هذه الأسئلة ستعطي إنطباع عن أن الموضوع متشعب جداً ، لم أذكر هنا الا أهم و أشهر أنواع المشاكل و الثغرات التي يستغلها الهاكرز لتدمير التطبيقات التي تبرمجها ، و اذا كنت لم تسمع بواحد أو أكثر من هذه المصطلحات ، فأنت في خطر !
بما أن هذا الجزء من المقالة يهم مطوري المواقع أكثر من غيرهم ، فلن أسهب كثيراً بشرح هذه المصطلحات و طريقة عملها ، أتوقع أنك كمطور قادر على البحث بنفسك عن تفاصيل هذه المصطلحات و معرفة ما هو المعني البرمجي لها بالضبط ، عموما ، سأذكر رؤوس أقلام عن هذه المصطلحات للمهتمين بتنمية ثقافتهم الأمنية في شتى المجالات.
الـ Cross Site Scripting
يطلق عليها إختصاراً xss وليس CSS تميزاً لها عن صفحات الأنماط المتعددة Cascading Style Sheet، بإختصار هي نوع من الهجمات التخريبية على تطبيقك يحدث عندما يتمكن أحدهم من إدخال بيانات مختطلة مع بعض الأوامر في نماذج صفحات موقعك ينتج عن ذلك تشويه شكل صفحة موقعك أو إظهار رسائل خطأ متكررة عند زيارة الصفحة التي تم تخريبها، أو سرقة بعض البيانات الحساسة من الزوار أو صاحب الموقع نفسه ! ، تنتج هذه المشكلة نتيجه عدم فحصك لمدخلات الزوار في النماذج و سماحك لهم بإدخال وسوم HTML أو Java Script في نماذج الموقع مما يجعلهم قادرين على تلويث صفحات موقعك بشيفرات ليست جزء من شيفرة تطبيقك الذي كتبته ! يمكن للهاكر أيضاً العبث في المتغيرات التي يمررها تطبيقك عن طريق عناوين URL و إضافة أجزاء اليها تجعله قادر على السيطرة جزئيا أو كلياً على تطبيقك ، أو على الأقل تشويه شكل التطبيق ، لعلك تتذكر عزيزي القارئ الثغرة التي كان مصاب بها نظام بريد الـ Hotmail قبل سنتين تقريبا ، و التي كانت تسمح للهاكر بقراءة صندوق البريد الوارد للضحية ، تلك الثغرة كانت تصنف تحت الـ XSS !
الـ SQL Injection
تحت هذه النقطة سأحيلك عزيزي القارئ إلى مقالة كتبتها سابقا عن هذا الموضوع بالتحديد ، المقالة هي : الـ SQL Injection سلاح الدمار الشامل ضد تطبيقات الويب ، أتمنى أن تستمتع بقراءة تلك المقالة ، الموضوع خطير و يستحق مقالة منفردة.
الأربعاء يوليو 08, 2009 2:44 pm