الثغرة
عيب في التصميم أو التكوين أو الكود قد يسمح لشخص غير مصرح له بالحصول على الوصول أو تغيير البيانات أو تعطيل الخدمة.
- 01
لماذا هو مهم؟
معظم الهجمات لا تبدأ بتقنية جديدة، بل بثغرة معروفة لم يُتم إصلاحها أبدًا. قد تكون إضافة قديمة، أو إعدادًا خاطئًا، أو عملية تحقق نُسيت في الشيفرة. المهم ليس عدد الثغرات، بل أيها يمكن استغلاله فعلًا وما الذي ستكلّفكم إياه. ولهذا تُرتَّب النتائج حسب الأولوية، ويُعاد التحقق من إصلاحها.
- 02
مثال
في متجر إلكتروني، إذا كان زائر يغيّر رقم الطلب في شريط العنوان قادرًا على رؤية اسم وعنوان عميل آخر، فهذه ثغرة في التفويض. تبدو الشيفرة تعمل، لكنها لا تتحقق أبدًا مما إذا كان الطلب يخص الشخص الذي يطلبه.
- 03
خطأ شائع
الاكتفاء بالنظر إلى تقرير فحص آلي والاستنتاج بأنه لا توجد مشكلات حرجة. تكتشف أدوات الفحص التواقيع المعروفة؛ وعادةً ما تفوّت ثغرات منطق الأعمال مثل الوصول إلى بيانات شخص آخر.
- 04