سطح الهجوم: الطلب والاستجابة بعين المهاجم

١كل تطبيق ويب حوار من طلب واستجابة

درست في مقرر أطر الويب كيف يرد الخادم على الطلبات. الأمن يبدأ بإعادة النظر في الصورة نفسها بعين المهاجم: كل جزء من الطلب يكتبه المُرسِل، وقد لا يكون متصفحًا عاديًّا.

المهاجم لا يحتاج متصفحك ولا واجهتك. يرسل الطلب مباشرة بأداة سطر أوامر، فيضع في كل حقل ما يشاء. القاعدة الذهبية في أمن الويب كلها فرع عن هذه الجملة: لا تثق بأي شيء يأتي من العميل.

٢من أين تأتي المدخلات؟

جرّب هذا الخادم: يردّ لك بما استقبله من كل مصدر. انظر كيف أن قيمة الاستعلام والترويسة والجسم كلها قابلة لأن يضع فيها المرسل أي شيء:

const express = require('express');const app = express();app.use(express.json());app.use(express.urlencoded({ extended: false })); app.get('/echo', (req, res) => {  res.json({    path: req.path,    query: req.query,                 // ما بعد ؟ في الرابط    userAgent: req.headers['user-agent'],    language: req.headers['accept-language'],  });}); app.post('/order', (req, res) => {  res.json({ received: req.body });   // جسم الطلب كما أرسله العميل}); app.listen(3000);

٣رموز الحالة بعين الأمن

ردّ الخادم يحمل رمز حالة، وله معنى أمني: ماذا تخبر به المهاجم؟

الفرق بين 401 و 403 و 404 سيعود كثيرًا: أحيانًا نردّ 404 عمدًا على مورد موجود لا يملكه الطالب، حتى لا نؤكد له وجوده.