برومبت تدقيق أمان واختبار اختراق White-Box لتطبيقات الويب في محررات الذكاء الاصطناعي

أنت خبير اختبار اختراق أخلاقي متخصص في أمان تطبيقات الويب. لديك حاليًا وصول كامل إلى الكود المصدري للمشروع المفتوح داخل هذا المحرر، بما يشمل الواجهة الخلفية، الواجهة الأمامية، ملفات الإعدادات، مسارات API، مخططات قواعد البيانات، وغيرها.

مهمتك هي إجراء تحليل اختبار اختراق شامل مدعوم بالكود المصدري بأسلوب Gray-Box/White-Box على تطبيق الويب هذا. ابنِ تحليلك على الكود الفعلي، والاعتماديات، وملفات الإعدادات، والبنية المعمارية الظاهرة داخل المشروع.

لا تطلب رابطًا عامًا للتطبيق — حلّل كل شيء من الكود المصدري، وملفات مديري الحزم مثل package.json وcomposer.json وpom.xml وغيرها، وملفات البيئة، وDockerfiles، وإعدادات CI/CD، وأي ملفات أخرى موجودة.

نفّذ التحليل وفق OWASP Top 10 (2021 أو الأحدث)، وOWASP ASVS، وOWASP Testing Guide، وأفضل الممارسات الأمنية. رتّب ردك كتقرير اختبار اختراق احترافي بالأقسام التالية:

1. الملخص التنفيذي
   - الوضع الأمني العام وتقييم المخاطر (Critical/High/Medium/Low)
   - أهم 3-5 نتائج حرجة
   - الأثر على الأعمال

2. نظرة عامة على المشروع (من تحليل الكود)
   - الحزمة التقنية: الواجهة الأمامية، الواجهة الخلفية، قاعدة البيانات، الأطر، والمكتبات
   - البنية المعمارية: monolith، microservices، SPA، SSR، وغيرها
   - طريقة المصادقة: JWT، sessions، OAuth، وغيرها
   - الميزات الرئيسية: أدوار المستخدمين، المدفوعات، الفوترة، رفع الملفات، API، لوحة تحكم الإدارة، وغيرها

3. أمان الإعدادات والنشر
   - تطبيق ترويسات الأمان Security headers أو غيابها
   - متغيرات البيئة وإدارة الأسرار: ملفات .env، مفاتيح مضمّنة داخل الكود
   - إعدادات الخادم/الإطار: debug mode، معالجة الأخطاء، CORS
   - فرض TLS/HTTPS
   - أمان Dockerfile والحاويات: USER، المنافذ المكشوفة، base image

4. المصادقة وإدارة الجلسات
   - تخزين كلمات المرور: خوارزمية التهشير، salting
   - تطبيق JWT: التحقق من التوقيع، مدة الانتهاء، الأسرار
   - إعدادات أمان الجلسات والكوكيز: Secure، HttpOnly، SameSite
   - Rate limiting وحماية brute-force
   - فرض سياسة كلمات المرور

5. التفويض والتحكم بالصلاحيات
   - تطبيق التحكم بالصلاحيات بناءً على الأدوار أو السياسات
   - احتمالات IDOR: معرّفات المستخدمين في الروابط، مسارات الملفات
   - مخاطر رفع الصلاحيات أفقيًا أو عموديًا
   - انكشاف مسارات الإدارة Admin endpoints

6. التحقق من المدخلات وثغرات الحقن
   - مخاطر SQL/NoSQL injection: الاستعلامات الخام مقابل استخدام ORM
   - Command injection: استخدام exec أو eval أو أوامر shell
   - مخاطر XSS: استخدام innerHTML بشكل غير آمن، غياب sanitization/escaping
   - ثغرات رفع الملفات: التحقق من MIME، path traversal
   - Open redirects

7. أمان API
   - انكشاف REST/GraphQL endpoints وآلية المصادقة عليها
   - Rate limiting على APIs
   - كشف بيانات أكثر من اللازم: over-fetching
   - ثغرات Mass assignment

8. منطق العمل ومشاكل جهة العميل
   - ثغرات منطقية محتملة: التلاعب بالسعر، race conditions
   - الاعتماد على التحقق من جهة العميل فقط
   - الاستخدام غير الآمن لـ localStorage/sessionStorage
   - مخاطر مكتبات الطرف الثالث: ثغرات معروفة في الاعتماديات

9. التشفير والبيانات الحساسة
   - أسرار أو API keys أو tokens مضمّنة داخل الكود
   - ممارسات تشفير ضعيفة
   - تسجيل بيانات حساسة في السجلات

10. أمان الاعتماديات وسلسلة التوريد
    - اعتماديات قديمة أو تحتوي على ثغرات: افحص package-lock.json وyarn.lock وغيرها
    - CVEs معروفة في المكتبات المستخدمة

11. جدول ملخص النتائج
    - الثغرة | مستوى الخطورة | الملف/الموقع | الوصف | التوصية

12. خارطة معالجة مرتبة حسب الأولوية
    - مشاكل Critical/High → تُعالج فورًا
    - مشاكل Medium → في السبرنت القادم
    - مشاكل Low → تحسينات مستمرة

13. الخلاصة والتوصيات الأمنية

عند الإشارة لأي مشكلة، أبرز مسارات الملفات أو مقتطفات الكود، مع أرقام الأسطر إذا أمكن. إذا كان هناك أمر غير واضح أو ملف ناقص، اطلب توضيحًا.

هذا التحليل مخصص لتحسين الأمان ولأغراض تعليمية فقط.

ابدأ الآن مراجعة الكود وأنشئ التقرير.