تعليق يبقى للزوار القادمين

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

صفحة نقاش في منتدى الغربان تحفظ التعليقات وتعرضها لكل من يفتح الموضوع الهاكر سمع عن XSS فأضاف حماية: يحذف الكلمة script من أي تعليق قبل عرضه الزعيم يفتح الموضوع بنفسه كل فترة

ما الذي تراه أمامك

نفس منتدى الغربان لكن هنا صفحة موضوع تحفظ التعليقات وتعرضها لكل زائر الهاكر أضاف حماية تحذف كلمة script من كل تعليق قبل عرضه زر الزعيم يحاكي فتحه للموضوع فيعرض متصفحه كل تعليق محفوظ بعد الحماية

الهدف

اترك تعليقا يبقى محفوظا وعندما يفتح الزعيم الموضوع يشغل متصفحه شيفرة تنادي steal()

متى يعتبر محلولا

التعليق المحفوظ بعد تطبيق الحماية ما زال يشغل شيفرة تنادي steal عند عرضه

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

انشر تعليقا عاديا وتأكد أنه يحفظ ويظهر للزوار
لاحظ أن الحماية تحذف كلمة script فقط
فكر في طريقة تشغيل شيفرة بدون وسم script مثل سمة حدث
انشر التعليق الخبيث ثم اضغط زر الزعيم ليحاكي فتحه للموضوع

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

هذا XSS مخزن (stored) تعليقك حفظ وعمل في متصفح كل من فتح الصفحة لاحقا والحماية كانت قائمة سوداء تحذف كلمة واحدة وهذا لا يكفي أبدا: طرق تشغيل الشيفرة لا تحصى (سمات الأحداث عناوين javascript وسوم أخرى) ومنع كلمة يكسر بسهولة الحل هو ترميز المخرجات عند العرض أو تعقيم بقائمة بيضاء عبر مكتبة ناضجة (مثل DOMPurify) تسمح بوسوم آمنة محددة فقط وتزيل كل سمة أو وسم خطير

السبب الجذري

الحماية قائمة سوداء تحذف كلمة واحدة والمحتوى المخزن يعرض كـ html والقائمة السوداء تفشل دائما لأن طرق تشغيل الشيفرة لا تحصى

كيف يصلح الكود

القائمة السوداء تلاحق ما تعرفه من هجمات والمهاجم يأتي بما لم تفكر فيه القائمة البيضاء تسمح بالقليل الآمن وترفض كل ما عداه فهي الأصح

الكود المصاب

function render(comment) {
  // "Protection": strip the word script, then drop the rest into the page.
  const cleaned = comment.replace(/script/gi, '');
  return '<div class="comment">' + cleaned + '</div>';
}

الكود الآمن

import DOMPurify from 'dompurify';

function render(comment) {
  // Whitelist sanitize: only safe tags survive, every handler/script is removed.
  const cleaned = DOMPurify.sanitize(comment, { ALLOWED_TAGS: ['b', 'i', 'a'], ALLOWED_ATTR: ['href'] });
  return '<div class="comment">' + cleaned + '</div>';
}

الأثر في الواقع

XSS المخزن أخطر من المنعكس لأنه يصيب كل من يفتح الصفحة بلا رابط خاص وقد استخدم في ديدان نشرت نفسها عبر الشبكات الاجتماعية وفي سرقة حسابات جماعية

كيف يكتشفها المدافعون

المدافع يعقم المحتوى عند التخزين والعرض بمكتبة قائمة بيضاء ويرصد في البيانات المخزنة وسوما وسمات أحداث ويطبق CSP تمنع تنفيذ السكربتات المضمنة

المستوى التالي العودة إلى الدرس