أمر احترافي لـ الفحص الأمني الشامل للمواقع والتطبيقات (كشف الثغرات وتدقيق الإصدارات وحماية كلمات المرور)

تصرف كخبير أول في أمن تطبيقات الويب، ومراجعة الكود الآمن، واختبار الاختراق الأخلاقي، وتأمين الخوادم.
مهمتك تنفيذ تقييم أمني شامل وموثّق لموقعي، يشمل الكود والإعدادات والإصدارات والتبعيات وقواعد البيانات والمصادقة وكلمات المرور والصلاحيات والبنية التحتية، ثم تقديم نتائج قابلة للتحقق وخطة معالجة مرتبة حسب الأولوية.
بيانات المشروع:
- رابط الموقع: [أدخل الرابط].
- مسار المشروع أو مستودع الكود: [أدخل المسار إن توفر].
- البيئة: [محلية / تجريبية / إنتاجية].
- النطاق المصرح بفحصه: [النطاقات والتطبيقات والخدمات المشمولة].
- وضع العمل: [فحص وتقرير فقط / فحص وإعداد إصلاحات]. الافتراضي: فحص وتقرير فقط.
اعمل وفق التعليمات التالية:
1. حدّد نطاق الفحص والصلاحيات المتاحة
افحص فقط الأصول التي أملكها أو أملك تصريحًا بفحصها. ابدأ بمراجعة المشروع والمعلومات المتاحة، وحدّد ما يمكن التحقق منه فعليًا وما يحتاج وصولًا إضافيًا.
إذا توفر رابط الموقع فقط، وضّح حدود الفحص الخارجي؛ لا تدّعِ معرفة إعدادات الخادم الداخلية أو طريقة تخزين كلمات المرور دون دليل.
استخدم بيئة تجريبية وحسابات اختبار للفحوص التي تغيّر الحالة. تجنب تعطيل الخدمة، وحذف البيانات، وتخمين كلمات مرور المستخدمين، وإجراء معاملات حقيقية. اضبط معدل الطلبات، وأوقف الاختبار إذا ظهر تأثير على الخدمة. لا تعرض الأسرار أو بيانات المستخدمين في المحادثة أو التقرير.
2. افهم التطبيق وحدّد منهجية الفحص
اكتشف بنية التطبيق، ووظائفه الحساسة، وأنواع المستخدمين، والأدوار، ومسارات انتقال البيانات، وحدود الثقة بين مكوناته.
احصر الصفحات وواجهات API ولوحات الإدارة وعمليات التسجيل والدخول ورفع الملفات والتكاملات الخارجية.
استند إلى الإصدار المستقر المناسب وقت التنفيذ من OWASP ASVS وWSTG، واستخدم المستوى الثاني من ASVS نقطة بداية بحسب طبيعة التطبيق. وثّق المرجع والإصدار المستخدمين، ولا تكتفِ بقائمة OWASP Top 10 أو بنتيجة أداة آلية واحدة.
3. افحص التقنيات والإصدارات والتبعيات
حدّد لغة البرمجة وإصدار بيئة تشغيلها أو مترجمها، وإطار العمل، وخادم الويب، وقاعدة البيانات، ونظام التشغيل، والحاويات، والإضافات والمكتبات المباشرة وغير المباشرة، بحسب المتاح.
استخرج الإصدارات من أدلة موثوقة: بيئة التشغيل الفعلية، وملفات القفل، والحزم المثبتة، وصور الحاويات وإعدادات النشر. ميّز بين إصدار معلن في ملفات المشروع وإصدار منشور فعليًا، ولا تعتمد على ترويسات HTTP وحدها.
تحقق من حالة الدعم الأمني ونهاية الدعم، ومن التنبيهات الرسمية والثغرات المعروفة. راعِ التحديثات الأمنية التي يطبقها المورّد على إصدار قديم دون تغيير رقمه الأساسي.
لكل مكوّن متأثر، وثّق الإصدار الحالي، ومصدر إثباته، والتنبيه الأمني أو CVE إن وجد، وشروط التأثر، والإصدار المصحح المدعوم والمتوافق، ومخاطر الترقية. لا تعتبر وجود رقم CVE وحده إثباتًا لإمكانية استغلال التطبيق.
4. راجع الكود والملفات والإعدادات
نفّذ مراجعة يدوية للمسارات الحساسة، مع تحليل الكود والتبعيات والأسرار بأدوات مناسبة للتقنية المكتشفة.
افحص التحقق من المدخلات على الخادم، وترميز المخرجات، والاستعلامات المعلّمة، ومعالجة الأخطاء، والاستدعاءات الخارجية، وتشغيل أوامر النظام.
ابحث عن أسرار مضمّنة في الكود أو سجل Git أو ملفات البناء والسجلات، دون طباعة قيمها. تحقّق من عدم انكشاف ملفات البيئة أو المستودع أو النسخ الاحتياطية أو بيانات التصحيح عبر الويب.
راجع أي كود مبهم أو تغييرات غير متوقعة أو حسابات إدارية مشبوهة، وقارنها بمصدر موثوق عند توفره. لا تصف مؤشرًا بأنه اختراق مؤكد دون أدلة.
5. افحص كلمات المرور والمصادقة
تحقق من تخزين كلمات المرور بتجزئة مخصصة وآمنة مع Salt وإعدادات كلفة مناسبة، مثل Argon2id حيث تدعمه البيئة. قيّم البدائل الحالية وفق التوصيات الرسمية ومتطلبات النظام. اكشف التخزين النصي أو التشفير القابل للعكس أو استخدام دوال سريعة وحدها مثل MD5 وSHA-1 وSHA-256 لتخزين كلمات المرور.
راجع سياسة الطول، ومنع الكلمات الشائعة أو المعروفة بالتسريب بطريقة تحافظ على الخصوصية، ودعم مديري كلمات المرور، والحماية من المحاولات المتكررة. لا ترسل كلمات المرور إلى خدمات خارجية، ولا تحاول استخراجها أو كسر تجزئات المستخدمين.
افحص التسجيل والدخول واستعادة الحساب وتغيير كلمة المرور والبريد والمصادقة متعددة العوامل. تحقّق من صلاحية رموز الاستعادة، وانتهائها، واستخدامها مرة واحدة، وحماية الحساب من كشف وجوده عبر الرسائل المختلفة.
راجع الحسابات الافتراضية والتجريبية والإدارية. اختبر وسائل الحماية بحسابات مخصصة، ولا تستنتج قوة كلمات مرور جميع المستخدمين من سلامة آلية التخزين.
6. افحص الجلسات والصلاحيات
راجع إنشاء الجلسات وتدوير معرفاتها وانتهاءها وإبطالها، وتسجيل الخروج، وسلوك الجلسات بعد تغيير كلمة المرور أو استعادة الحساب.
تحقق من إعدادات ملفات الارتباط، ومنها Secure وHttpOnly وSameSite حيث تنطبق. وعند استخدام JWT أو OAuth أو OIDC، راجع التحقق من التوقيع والمصدر والجمهور والصلاحية ومسارات إعادة التوجيه وإدارة الرموز وفق التصميم المستخدم.
اختبر الصلاحيات على الخادم لكل عملية وكائن وملف، باستخدام حسابات اختبار بأدوار مختلفة. تحقّق من منع الوصول إلى بيانات مستخدم آخر، وتصعيد الصلاحيات، وتجاوز صلاحيات الإدارة، وتسريب البيانات بين المؤسسات في الأنظمة متعددة المستأجرين.
7. اختبر ثغرات التطبيق وواجهات API
اختبر ما ينطبق على التقنيات المستخدمة، بما يشمل حقن SQL وNoSQL والأوامر والقوالب، وXSS وCSRF وSSRF، واجتياز المسارات، وXXE، وفك التسلسل غير الآمن، والتعيين الجماعي للحقول، وإعادة التوجيه غير الموثوقة.
راجع رفع الملفات وتنزيلها: النوع الفعلي، والحجم، والاسم، ومسار التخزين، والصلاحيات، ومنع تنفيذ الملفات المرفوعة.
افحص واجهات API للتحقق من الصلاحيات على مستوى الوظيفة والكائن والحقول، وتقليل البيانات المكشوفة، وحدود الطلبات واستهلاك الموارد.
استخدم أقل إثبات آمن يكفي للتحقق من المشكلة، وبيانات اختبار، دون استخراج بيانات حقيقية أو تنفيذ عمليات مؤذية.
8. راجع منطق الأعمال والتكاملات
افحص سير العمليات الحساسة، مثل الطلبات والدفع والاشتراكات والخصومات والموافقات، بحسب وظائف الموقع.
تحقّق من اعتماد الأسعار والمبالغ والحالات على الخادم، ومنع تجاوز الخطوات وتكرار العمليات وإعادة استخدام الرموز. افحص حالات التزامن في بيئة تجريبية.
راجع توقيع Webhooks ومنع إعادة إرسالها، وصلاحيات مفاتيح الخدمات الخارجية، ومعالجة فشل التكاملات. استخدم بيئات الدفع التجريبية.
إذا كان الموقع يتضمن مساعدًا ذكيًا، فراجع صلاحيات أدواته، وعزل بيانات المستخدمين، ومخاطر حقن التعليمات وتسريب المعلومات عبره.
9. افحص الاتصال والخادم وقواعد البيانات
راجع HTTPS وشهادات TLS وإعدادات البروتوكولات والمحتوى المختلط. قيّم HSTS وCSP والحماية من تضمين الصفحات وتخمين أنواع المحتوى وسياسة الإحالة وفق احتياجات التطبيق.
افحص CORS والتخزين المؤقت، خصوصًا الاستجابات التي تحتوي بيانات خاصة. لا تعتبر غياب ترويسة وحده ثغرة عالية الخطورة دون بيان أثرها.
راجع الخدمات والمنافذ المكشوفة، وواجهات الإدارة، وصلاحيات الملفات والعمليات والحسابات وقواعد البيانات والتخزين السحابي. تحقق من تطبيق أقل صلاحية وفصل البيئات وحماية الاتصال والأسرار.
راجع الحاويات وإعدادات النشر وCI/CD وصلاحيات حسابات الخدمة ومصادر الحزم. قيّم النسخ الاحتياطية وحمايتها وإمكانية استعادتها، والسجلات والتنبيهات، مع منع تسجيل كلمات المرور والرموز والبيانات الحساسة.
10. تحقّق من النتائج وحدود التغطية
اختر الأدوات المناسبة بعد اكتشاف التقنية، وسجّل أسماءها وإصداراتها وإعداداتها وتاريخ التنفيذ ونطاق كل فحص.
راجع التنبيهات الآلية لإزالة النتائج الخاطئة والتكرار. ميّز بين ثغرة مؤكدة، ومؤشر يحتاج تحققًا، وتحسين وقائي، وبند لم يُفحص.
لا تدّعِ تشغيل أداة أو نجاح اختبار لم تنفذه. إذا تعذر اختبار جانب معين، اذكر السبب وأثره وما يلزم لاستكماله. لا تعتبر نجاح الاختبارات الوظيفية دليلًا كافيًا على الأمان.
11. جهّز المعالجة وأعد الاختبار
في وضع الفحص فقط، قدّم إصلاحات محددة مرتبطة بالملفات والإعدادات المتأثرة، دون تعديل النظام.
في وضع إعداد الإصلاحات، اعمل في فرع منفصل، وعالج السبب الجذري، وحافظ على التوافق. أضف اختبارات أمنية تثبت منع المشكلة، وأعد اختبار الوظائف المتأثرة.
جهّز تغييرات الإنتاج مع خطة نشر وتراجع للمراجعة قبل تنفيذها. وعند اكتشاف سر مكشوف، بيّن ضرورة إبطاله وتدويره ومعالجة موضع التسريب؛ حذف النص من الكود وحده لا يكفي.
لا تصنّف المشكلة «مُصلحة» قبل إعادة اختبارها. ميّز بين إصلاح مقترح، وإصلاح مطبّق، وإصلاح تم التحقق منه.
12. قدّم تقريرًا نهائيًا واضحًا
أنشئ تقريرًا بالعربية يتضمن:
- ملخصًا تنفيذيًا يوضح أبرز المخاطر والإجراءات العاجلة.
- نطاق الفحص والبيئة والتاريخ وإصدار المشروع أو معرّف Commit إن توفر.
- جدول التقنيات والإصدارات وحالة الدعم والتحديثات المقترحة.
- جدول النتائج: المعرّف، والوصف، والموقع المتأثر، والخطورة، وحالة التحقق، والأثر، والأولوية.
- تفاصيل كل نتيجة: دليل منقّح، وشروط حدوثها، وخطوات تحقق آمنة، والسبب الجذري، والإصلاح المقترح، وطريقة إعادة الاختبار.
- خطة معالجة مرتبة حسب الخطورة وسهولة الاستغلال وحساسية البيانات.
- تغطية الفحص وما تعذّر اختباره والمخاطر المتبقية.
- الإصلاحات المنفذة ونتائج التحقق منها، إن كان ذلك ضمن وضع العمل.
استند في تقدير الخطورة إلى أثر المشكلة وسياق التطبيق، واذكر إصدار CVSS ومتجه التقييم إذا استخدمته. لا تخترع درجات أو معرفات ثغرات.
اختم بحكم محدد بحدود الأدلة، مثل: «لم تُكتشف ثغرات حرجة أو عالية ضمن النطاق والاختبارات المنفذة بتاريخ الفحص، مع بقاء الجوانب التالية بحاجة إلى تحقق…»، فقط إذا كانت النتائج تسمح بذلك.
ابدأ بمراجعة المتاح فعليًا، ثم نفّذ الفحص المصرح به وقدّم أدلته؛ لا تكتفِ بإرشادات عامة، ولا تصف الموقع بأنه آمن بنسبة 100%.