14 سيناريو · التطبيقات والهويات والسحابة
رابط مضلّل، أو فحص صلاحيات غائب، أو إعداد متساهل: تعرّف على كيفية ظهور المخاطر في تطبيقات العمل والحماية التي ينبغي مراجعتها.
أمثلة افتراضية للتعلّم. تصف الفحوص معايير تُختبر ضمن نطاق مصرّح به، وليست نتائج تدقيق أو حوادث تخص عملاء.
يتلقى موظف دعوة مشاركة تقلّد أداة يستخدمها عادةً. ويقوده الرابط إلى صفحة تحاول الحصول على بيانات دخوله.
تسمح بوابة بمحاولات دخول كثيرة على الحساب نفسه، ويزداد الخطر مع كلمات المرور الضعيفة.
تعرّض إعادة استخدام كلمة المرور البوابة للخطر إذا تسرّبت من خدمة أخرى. أما رش كلمات المرور فيستهدف حسابات كثيرة بكلمات شائعة قليلة.
يبقى رابط إعادة التعيين صالحًا بعد تغيير كلمة المرور، وقد يتيح استخدامه مجددًا السيطرة على الحساب.
يستخدم التطبيق ملف ارتباط للجلسة. وقد تتسبب صفحة خارجية في تغيير البريد إذا لم يتحقق الخادم من مشروعية الإجراء.
تعرض أداة دعم تعليقات المستخدمين. وقد يحوّل عرض غير آمن المحتوى إلى تعليمات ينفذها المتصفح.
تبني شاشة بحث الاستعلام بدمج مدخلات المستخدم مباشرةً. وقد تغيّر قيمة غير متوقعة منطق الوصول إلى البيانات.
يطلب مستخدم مسجّل الدخول فاتورة بمعرّفها. وقد تعيد API مستندًا لا يخصه إذا لم تتحقق من المالك والمؤسسة.
تقرأ API معلومات الرمز دون التحقق من الخدمة المقصودة به، وقد تقبل الهوية في سياق غير صحيح.
تستورد وظيفة صورة من رابط يقدمه المستخدم. ودون قيود، قد يتصل الخادم بموارد غير مخصّصة للوصول العام.
تقبل بوابة عملاء مستندات داعمة. وقد يؤدي ضعف التحقق أو التخزين العام إلى كشف البيانات أو إدخال محتوى خطر.
يعرض مسار نشر الإعدادات كاملةً، وقد يصبح أحد المفاتيح متاحًا لمن يطّلع على السجلات.
تملك خدمة مخصّصة لقراءة ملف صلاحيات على موارد كثيرة، ما يوسّع أثر اختراقها إلى ما يتجاوز وظيفتها.
يرصد فحص SCA مكتبة تحتوي على ثغرة. ويحتاج الفريق إلى تحديد الإصدار المتأثر واستخدامه وخيارات تحديثه.
يساعد السيناريو على طرح السؤال الصحيح، لكنه لا يغني عن دراسة بنيتك التقنية. ولكل فحص متفق عليه، نحدّد مع فريقك المتطلبات المسبقة والأدلة المتوقعة وشروط التوقف.
تُحدَّد المكوّنات والحسابات الوهمية والبيئات المصرّح بها. وتُحدّ محاولات الدخول ولا تستهدف مستخدمين حقيقيين دون اتفاق صريح. وتتطلب محاكاة التصيّد نطاقًا مستقلًا؛ ولا تُطلق هذه الصفحة أي حملة.
يجب منع الحالة غير المسموحة مع إبقاء المسار المشروع قابلًا للاستخدام. وتُقلَّل الأدلة إلى السلوك المرصود ومقتطف منقّح والإصدار المختبَر، دون كلمات مرور أو رموز حقيقية أو بيانات عملاء.
يُحتفَظ بسيناريو اختبار عدم تكرار الخلل، وتُسجَّل النقاط غير المتحقق منها. ولا يثبت اختفاء التنبيه وحده نجاح الإصلاح. وتوجّه المراجع أعلاه المراجعة، ولا تمثّل شهادة من OWASP.