موقع حالة عام لعمليات الغربان لوحة الإدارة نشرت بلا أي مصادقة على مسار يمكن تخمينه والموقع العام لا يربط إليها لكنها تخدم لأي أحد يعرف المسار
موقع عمليات الغربان العام يعرض حالة الأنظمة فقط لكن لوحة الإدارة منشورة على مسار منفصل بلا حارس مصادقة أنت تصل إليها بتخمين المسار وكتابته في شريط العنوان تصفح قسري
لماذا نجح الحل
اللوحة نشرت بلا أي مصادقة والاعتماد على أن المسار غير معروف ليس حماية أمن بالغموض المهاجم يخمن المسارات الشائعة أو يجدها في قوائم أو في ملفات الموقع
السبب الجذري
غياب المصادقة على مسار إداري حساس والاعتماد على خفاء المسار الجذر نشر بإعداد افتراضي بلا حارس وصول
كيف يصلح الكود
خفاء المسار ليس حماية افرض مصادقة وتفويضا على كل مسار إداري
الكود المصاب
// The admin console is just mounted; anyone who knows the path gets in.
app.use('/admin', adminConsole);
الكود الآمن
// Require an authenticated admin session before the console is reachable at all.
app.use('/admin', requireRole('admin'), adminConsole);
الأثر في الواقع
لوحات الإدارة المكشوفة تعطي المهاجم تحكما كاملا وتسرب أسرارا وقد كشفت لوحات مراقبة وقواعد بيانات على الإنترنت العام
كيف يكتشفها المدافعون
المدافع يفحص المسارات المكشوفة بأدوات المسح ويفرض مصادقة على كل مسار إداري ويرصد وصولا لمسارات الإدارة من خارج الشبكة
