More Related Content Similar to Secureing cloud computing applications against sql injection and xss vulnerabilities
Similar to Secureing cloud computing applications against sql injection and xss vulnerabilities (20) Secureing cloud computing applications against sql injection and xss vulnerabilities1. 1
تأمينالسحابية الحوسبة تطبيقاتضدثغرتيSQL injectionوXSS
Secureing cloud computing applications against SQL injection and XSS
vulnerabilities
علي الدين شمس العليم عوض الرحمن فتح
الحاسوب علوم ماجستير
إلكتروني بريد:fatahosoft@hotmail.com
الخرطوم–السودان
شرق الجريف كلية–التقانية السودان جامعة
هاتف:9015338100
المفتاحية الكلمات:السحابية الحوسبة تطبيقات–الحسابة أمن–ثغراتالسحابة تطبيقات–ثغراتSQLو
XSS
مستخلص:
اإلستعالم حقن هجمات إنSQLثغرة هجمات وXSSتهديدا تشكلخطيراتطبيقات ألمن
السحابية الحوسبة.ألالبياهنات االدة ي المزنهنة البياهنات لم بالحوو لممهاممين تسم هنهاوإلتراض
التطبيق لبر المرسمة البياهنات.و، المشكمة هذه لمعالجةتقدمالوراةهجمات من مزتمفة ألهنواع شاممة مرامعة
حقنSQLهجمات وXSS، الهجوم من هنوع لكل اآلن حت المعرويةوتنفيذ لكيفية اوصفالمن هجمات
خالهذو الثغرات من األهنواع هلمنع منهجية تقديمال هذههجماتالسحابية الحوسبة تطبيقات لم.حتم يت
حمو تقديمالثغرات هذه لمعالجة مقترحة،الدوا بعض استزدام وشرحيتم الت المدخالت لفمترة الجاهنة
إذا الثغرات هذه إستغال خاللها منالسحابية الحوسبة بتطبيق مومودة كاهنت.
Abstract:
SQL injection attacks and XSS vulnerability attacks pose a serious threat to
the security of cloud applications, because it allows attackers to obtain data stored
in the database and to intercept data sent through the application. To solve this
problem, this paper provides a comprehensive review of the various types of SQL
injection attacks and XSS attacks known to date for each type of attack, a
description of how to implement attacks through these types of vulnerabilities and
provide a methodology to prevent these attacks on cloud applications. While
proposed solutions were introduced to address these gaps, and explained useing of
some of the pre-fabricated input filtering functions that would exploit ed if they
exist in the application of cloud computing.
2. 2
مقدمة:
السحابة-Cloud-مزططات ي وذلك اإلهنترهنت إل لإلشارة البداية ي يستزدم كان تعبير هو
إل البياهنات مراكن من البياهنات هنقل لتمثيل استزدامها يتم لسحابة أول رسم أهنه لم لرف حيث الشبكات
السحابة من اآلخر الجاهنب ي النهائ مواعها.
السحابية الحوسبة وظهرت-cloud computing-الموارد تقديم ييها يتم الت ،الحوسبة أساليب كأحد
اإلهنترهنت شبكة لبر إليها الوصو لممستزدمين ويتاح ،كزدمات الحاسوبية(السحابة)إل الحامة دون ،
الزدمات هذه تدلم الت التحتية بالبن التحكم حت أو ،الزبرة أو ،المعرية امتالك.من وتعتبرالتومهات
الحوسبية اإلحتيامات لتمبية اإلهنترهنت شبكة لم اإللتماد يكرة ي تشترك الت التقنية لالم ي الحديثة
لممستزدمين.
يمنها التجارية السحابية الحوسبة لمنوات بالنسبة أماAmazon EC2،Microsoft Azure Services
Platform،Google App Engineالشركات من العديد تعط والتالموارد إل الوصو مروهنة
من يزمو ال لميها اإللتماد لكن ،الناشئة لمشركات التحتية البنية تكاليف تقميل ي وتساهم ،الالزمة الحاسوبية
،األمن ،الزووصية مثل مواضيع يثيرون المستزدمين من يكثير ،المشاكل...لن الحديث يدور لندما إلخ
"السحابة."متناي اهتمام يهناك لذلكمن الشركات تمكن الت ،المودر مفتوحة السحابية الحوسبة بأدوات د
وتزويص بناء"سحبهم"األاوى التجارية الحمو بجاهنب لتعمل الحوسبية.
إن"السحابية الحوسبة"التعهيد صنالة لن تزتمف"الـOutsourcing"لحساب خدمات تقديم ليست يه
إ ي تساهم تقنية تجهينات ه وإهنما الغيربتويير الزاصة التحديثات لتمق التحتية والبنية الشبكة ستعداد
القادمة سنوات الزمس خال بقوة سيظهر ما وهذا المستقبل ي سحابية حوسبة.
ومنااشة بتحميل سأاوم ،الوراة هذه ويمن منءاألمن الجاهنبلالسحابية محوسبةيزص ييمااإلستعالم حقن
SQL injectionثغرة وXSS،العديد وهناك ،ضزم موضوع هو السحابية الحوسبة أمن يإن ذلك ومع
وكث ،به المرتبطة القضايا منحمها يجري ينا ال منها ير.
السحابية الحوسبة تقنية مفهوم(Cloud Computing:)
هنقل لم تعتمد تكنولوميا هالمعالجةالزاصة التزنين ومساحةبالحاسوبالسحابة يسم ما إل
مهاز وهخادمطريق لن إليه الوصو يتماإلهنترهنتبرامج تتحو وبهذا ،المعمومات تكنولوميامن
منتجاتإلخدمات.المعموما تقنية برامج وتطوير صياهنة مشاكل إبعاد ي التكنولوميا هذه تساهم وبذلكت
،لها المستزدمة الشركات لنويقط الزدمات هذه استزدام لم المستفيدة الجهات مجهود يتركن.البنية وتعتمد
لم السحابية لمحوسبة التحتيةا مراكنلبياهناتكما لممستزدمين كبيرة تزنين مساحات تقدم والت المتطورة
تقنيات ويرتها الت اإلمكاهنيات لم ذلك ي وتعتمد ،لممستزدمين كزدمات البرامج بعض توير أهنهاويب
0,2و ،بر تتحو بهذاخدمات إل منتجات من المعمومات تكنولوميا امج[1].
السحابية الحوسبة تعريف:
والتكنولوميا لممعايير القوم المركن يعرف"السحابة"أهنها لم:مناسب وصو لتويير هنموذج
وتوييرها هنشرها يمكن والت الحوسبية الموادر من كبيرة مجمولة لمشاركة ،الشبكة إل وات أي ي ودائم
الزدمة موير مع تفالل أو مجهود بأدهن[1].
السحابية الحوسبة أمن:
البياهنات لحماية والضوابط والتقنيات السياسات من واسعة مجمولة إل السحابية الحوسبة أمن يشير
والتطبيقاتالسحابية بالحوسبة المرتبطة التحتية والبنية.الحوسبة خدمة منودي لم يجب الحاالت معظم ي
السحابضمان يةأنبهم الزاصة التحتية البنيةآمنةمحمية وتطبيقاتها لمالئها بياهنات وأن،العميل أن حين ي
معموماتهم لحماية المناسبة األمنية التدابير اتزذ اد المنود أن يضمن أن يجب.مهددات ومنتطبيقات أمن
التطبيقات بهذه المومودة البرمجية الثغرات السحابية الحوسبة[1].
3. 3
السحابية الحوسبة تطبيقات ثغرات:
توميم ي ضعف هنقطة ومود تعن الثغرة(Design)تزنين اوالد أو ، البرمجيات تهيئة أو
تطبيق برمجة أو ،اإلهنترهنت مواع توميم أو ،المعمومات ييها تحفظ الت األمهنة أو والمعمومات البياهنات
تمر الت الشبكات تشغيل برامج أو السحابية الحوسبةخاللها من المعمومات.الثغرات ه هذه الضعف وهنقاط
يريد الذي الدمار إلحداث خاللها من المهامم يتسمل التسراتها يريد الت المعمومات أو ه[0].
لممف يوصل أو خبيثة بياهنات يدخل لك المهامم يستغمه البرمج الكود ي هنقص أو خطأ بأهنها تعرف وأيضا
توري بغير ما[3].
الشبكات كاية يحص ييجب السحابية والحوسبة الويب وتطبيقات المعمومات أهنظمة لحماية هنسع كنا وإذا
معالجتها وكيفية المومودة الضعف هنقاط لتحديد والبرمجيات والمعدات[0].
السحابية الحوسبة ثغرات أنواع:
كالتال وه الويب تطبيقات ثغرات من رئيسية أهنواع ثالثة وتومد:
-الدخل ثغراتinput-based vulnerabilitiesالسيرير ماهنب من:اوالد تعميمات حقن مثل
التشغيل هنظام تعميمان وحقن البياهنات.
-مثل المستزدم ماهنب من الدخل ثغراتCross-site Scripting XSS.
-الويب وتطبيق المتوف بين واإلمابة الطمب دورة يحص خال من تحديدها يتم الت الثغراتمثل
كل ي الهدف لمهاممة تستزدم الثغرات هذه ،مشفرة الغير السر وكممات محمية الغير كوكير إرسا
منالتطبيقالسحابالتطبيق ومستزدم[3].
الحقنInjection:
خال من يتم الكود حقن ثغرة استغال أن هنجدمدخالت إدخاخبيثبطريقة ةيدويةتجعلالتطبيق
مسموح غير بعمل يقومالحساسة المعمومات كعرض به(السر وكممات األسماء)النظام تعميمات تنفيذ أو
(مدير حساب إضاية)[3].هجومحقناإلستعالمالويب تطبيقات لها تتعرض الت الهجمات أهنواع أخطر من
السحابيةالذي المستزدمين ولدد تأثيرها اوة بسبب اليومنتطبيقاتهم ي منتشرة الثغرة زالت ما.وهنتيجة يتم
،الحماية إمراءات ي لنقصبعض أواألخطاءالبرمجية.
الويب تطبيقات ي الحقن أهنواع بعضالسحابيةه:
طمبات حقنStructured query language (SQL)
طمبات حقنLightweight directory access protocol (LDAP)
طمبات حقنXML path language (XPATH)
تعميمات حقنالتشغيل هنظام.
الويب تطبيق أو السحابية الحوسبة تطبيق إل بياهنات بإرسا به موثوق غير مستزدم يقوم لندما ويحدث
طمب أو تعميمة من كجنء.غير تعميمات بتنفيذ ليقوم التطبيق تزدع أن يمكن خبيثة تكون البياهنات وهذه
الويب تطبيقات ضد الهجمات أهنواع أادم من النوع هذا ويعتبر ،لمبياهنات به مسموح الغير لموصو أو مرغوبة
بشكل واهنتشارا استزداما األكثر زا ما ولكنهواسعمدا خطير وهو.ي المستزدمة والثغراتالحقن لممية
مك كل ي تظهر أن يمكنانداخلالتطبيق[3].
تطبيقات أمان يعدالسحابيةلبر المعمومات إل لموصو كنتيجة أهمية أكثر الويبالتطبيق.ظهرُت
أمن خطر أكبر أصبحت الويب تطبيقات ثغرات أن األخيرة التحقيقات.والطريقة وحمها الثغرات اكتشاف يعد
الويب أمان لتعنين الفعالة.لم السحابية والحوسبة الويب تطبيق يحتويو طبقاتأكثرهذهالطبقاتأهمية
هال بها ألن التحتية البنية طبقةيه ، تزنينتتطبيق يستزدمها الت الحساسة البياهنات مميع لم حتوي
اويركن ،السحابية لحوسبةالمزترقي تدميرا األكثر ولكن الهجوم من مزتمف هنوع باستزدام ذلك لم لادة
حقن هجومSQL.
4. 4
بهجمات هنهتم أن يجبSQLبالكامل استغاللها يمكن ال التطبيقات أمن ي الثغرات معظم أن ه والحقيقة ،
التحتية البنية ي تكميمية ليوب بدونحقن ،SQLالويب لتطبيقات هجمات لشرة ألم ي اليوم ينا ال
السحابية والحوسبة.الحقن هجمات أصبحتSQLاألخيرة لمبياهنات ويقا ، المتسممين بين استزداما أكثر[4].
وحقن إدخا تم اد يكون أن المحتمل منSQLبياهنات اوالد توصيل تم أن منذSQLمرة ألو
الويب بتطبيقاتالسحابية،أو اإلدراج من يتكون الذي الهجوم"الحقن"الستعالمSQLاإلدخا بياهنات لبر
التطبيق إل العميل من.لـ يمكنحقنSQL، البياهنات االدة من الحساسة البياهنات اراءة استغال الناممثل
البياهنات االدة بياهنات(إدراج/تحديث/حذف)البياهن االدة لم اإلدارة لمميات تنفيذ ،ات(تشغيل إيقاف مثل
DBMS)ممف ي مومود معين ممف محتوى استرداد ،DBMSتودر الحاالت بعض وي النظام
التشغيل لنظام األوامر.أوامر بحقن المهامم اامSQLأوامر تنفيذ أمل من البياهنات مستوى إدخا يSQL
امسبق المعرية.لدم مشكمة تعتبر الالتحويني اأيض تحدث أن يمكن بل ، يحسب بالويب مرتبطة هذه
لزادم الزمفية الوامهة تستزدم الت المكتب سط تطبيقاتSQL.األمنية الثغرات هذه اكتشاف اابمية تعتمد
المعن التطبيق تعقيد لم[4].
إستعالم حقن ثغرةSQL(SQL injection:)
ال تطبيقات ثغرات أادم تعتبر الثغرة وهذهوتعتبر الثغرة هذه خطر اآلن حت مستمرا زا وما ويب
الويب تطبيقات لم المزاطر أكبر منالسحابية[3].
هما لسببين الثغرة هذه وتحدث:
تنقي لممية ي ضعف(ترشي–يمترة)المستزدم مدخالت(أو يمترة بعممية يقوم لم المبرمج
الويب برمجة لغة ي اإلدخا لمتغيرات توفية.)
النقل اناة هنفس ي مدمجان والتحكم البياهنات.
بالبياهنات الزاص الجنء من بالقفن لممهامم تسم المستزدم مدخالت تنقي لممية ي الضعف(السمسمة
مفردة تنويص إشارات بين المومودة النوية)مثل تحكم تعميمات حقن إل(SELECT , UNION,
And, OR.)ي المعمومات تديق لممية وتتمالويب وسيرير المستزدم ه صفوف ثالثة من مؤلفة بنية
التال الشكل ي كما البياهنات االدة وسيرير.
رام شكل(1)السحابية الحوسبة تطبيق بيئة ي المعمومات تديق يوض
وإ بارسال الخاصة العمل آلية شرحإلى المزود من البيانات ستقبالمستخدمالتطبيق:
1.إل طمب يرسل المستزدمالويب سيريرالسحاب التطبيق به يومد الذي.
0.لبارة بزمق ويقوم المستزدم ادخمها الت البياهنات بسحب يقوم الويب سيريرSQLدخل لم تحوي
البياهنات االدة سيرير إل كطمب ويرسمها المستزدم[3]
.
3.طمب بتنفيذ يقوم البياهنات االدة سيريرSQLيقوم يقط ،التطبيق منطق يعرف أن بدونالطمب بتنفيذ
الويب سيرير إل النتيجة ويعيد.
5. 5
4.صفحة بزمق يقوم الويب سيريرHTMLمن إليه القادمة اإلمابة لم بااللتماد ديناميك بشكل
المستزدم إل ويرسمها البياهنات االدة سيرير.
ط بزمق يقوم يقط الويب سيرير ،منفوالن البياهنات االدة وسيرير الويب سيرير أن هنالحظمبSQL
طمب يستقبل يهو البياهنات االدة سيرير أما لممستزدم ويعرضها النتيجة ويترممSQLإل النتيجة ويعيد
ثغرات إستغال المهامم يستطيع وهنا الويب سيريرSQL injectionبعبارة التاللب يستطيع ألهنهSQL
المستزد أسماء مثل مهمة بياهنات يعيد البياهنات االدة سيرير ومعلالمرور وكممات مين[3].
لندما الويب سيرير من المزترق لميها سيحول والت البياهنات االدة من المزتمفة الزطأ رسائل يإن ولميه
ثغرة باختبار يقومSQL injection.
خطأ يحدث كيف يظهر التال الشكلSQL injectionمعه الويب سيرير يتعامل وكيف:
رام شكل(0)خطأ حدوث يوضSQL injection
1.ثغرة كاهنت إذا معرية لمحاولة طمب يرسل المستزدمSQL injection،التطبيق هذا ي مومودة
مفردة تنويص لالمة إليه مضايا اإلسم أو القيمة يرسل المستزدم الحالة هذه ي.
0.طمب ويرسل المستزدم بياهنات يسحب الويب سيريرSQLالمثا هذا ي البياهنات االدة سيرير إل
لبارة يإنSQLالتنويص ولالمة مستزدم دخل لم تحوي سوف الويب سيرير سينشئها الت
التطبيق يقوم أخرى مفردة تنويص لالمة إل باإلضاية المستزدم ابل من المضاية المفردة
بإضايتها[3].
3.طمب يستقبل البياهنات االدة سيريرSQLو المشوهالويب سيرير إل خطأ رسالة يعيد.
4.وسوم شكل لم كإمابة ويرسمها البياهنات االدة سيرير من الزطأ رسالة يستقبل الويب سيرير
HTMLالمستزدم إل[3].
س شرح تم السابقة الحالة يي الذي المستزدم من الطمب يناريوعباإللتماد البياهنات االدة ي خطأ رسالة رض
التطبيق كود لمالطرق هذه بإحدى الرابعة الزطوة ي النتيجة إلادة سيتم يإهنه:
1.SQL errorالمستزدم متوف لم يعرض.
0.SQL errorصفح مودر ي يزفةاألخطاء توحي ألغراض الويب.
3.أخرى لوفحة التوميه إلادة.
4.HTTP error code 500(بالسيرير داخم خطأ)أوHTTP redirection code 302.
5.ي التطبيقلام خطأ صفحة يظهر أو هنتيجة يومد ال أهنه ويظهر يوري بشكل الزطأ مع تعامل.
طرقحقنإستعالمSQL:
إستعالمات لحقن تستزدم رئيسية طرق ثالثة تومدSQLكالتال وه:
Error-Based SQL injection
Union-Based SQL injection
Blind SQL injection
6. 6
طريقةاألخطاء توليدError:
يجبالمطولة الزطأ رسائل مميع تعطيل،هدف كان خطأ رسائل بدون بأهنه الزاطئ االلتقاد ي
لتحقيقه المستحيل هو لممهامم البياهنات استرداد.داخل األخطاء بحور المطورون يقوم ، الحاالت بعض ي
لممستزدم أخطاء أي لرض يتم لن أخرى حاالت ي بينما ، لامة خطأ رسائل ولرض التطبيق[4].
طم إرسا لم تعمل الطريقة هذهرسالة من المعمومات وممع خطأ يسبب البياهنات االدة إل ب
الحقن لممية ي المعمومات هذه وتستزدم الزطأ[3].مينة يإن ، لذلكSQLالزطأ لم القائمة البرمجية
الويب صفحات معالجة ي األخطاء معالجة سوء من تستفيد.معمومات ممع ه الطريقة هذه وراء والفكرة
البياهن االدة حووسموك اتالتطبيق.وهذا ، لميه التعميق طريق لن االستعالم كسر المهامم حاو أوال
خطأ رسالة إهنشاء التطبيق خادم سيجعل.لمسالدة ، إضايية معمومات لم الرسائل هذه معظم تحتوي
االدة مزطط حو معمومات لم الحوو ي المهاممين تسالد كما ، تطبيقاتهم توحي لم المبرمجين
الزمفية البياهنات.هذا لدينا أن لنفترض المثا سبيل لمالسحاب التطبيق:
http://localhost/sqlia/Less-1/?id=1,
هذه الزطأ رسالة لم هنحول وسوف واحد ااتباس إلضاية يقط لدينا االستعالم لكسر(بناء ي خطأ لديك
مممةSQLخادم إصدار مع يتوايق الذي الدليل من تحقق ؛MySQLالوحي الجممة لبناء بك الزاص
من بالقرب الستزدامه'LIMIT 0،1"السطر ي1."معها هنتعامل أهننا هنعرف الت الزطأ رسالة من
MySQL DBMA.مفرد ااتباس مجرد وليس مزتمف هنص حقن يمكنه المهامم أن الحظ.التالية الزطوة
ا لالمة إضاية طريق لن البحث طمب بين التوازن تحقيق هأخرى مفردة اتباس-إضاية يقط+و ،#
األلمدة لدد لم لمحوو بأمر األمر استزدام يمكنه المهامم أن ولعمم االستعالم بقية لم لمتعميق:
http: // localhost / sqlia / Less-1 /؟ id = 1 'order by 1 - +.
هذه الزطأ رسالة يتمق حت األلمدة لدد إدخا ي المهامم يستمر(معروف غير لمود"4"ي"مممة
الطمب".)هو األلمدة لدد أن يعن هذا3
(http: // localhost / sqlia / Less-1 /؟ id = 1 'order by 1 ،2 ،3 - +).
من معينة أمناء يستهدف الذي الهجوم من منيد إهنشاء ذلك بعد لممهامم يمكن ، المعمومات هذه باستزدام
االد اسم مثل المعموماتإصدار أو البياهنات ةDBMAالجدو محتوى أو[4].
طريقةاإلتحاد عمليةSQL Union:
البياهنات لن االستعالم هجمات يتعميمة تستزدمunionلبارة من أكثر هنتيجة لدمجSQLي
واحد طمبالمهامم يستزدم واد ،شفرةSQLخبيثةواالسم واإلصدار البياهنات االدة مستزدم الستزراج
باستزدام آخر مدو من ذلك إل وما الجدو ومعموماتUNIONاالستعالم ضمن.األسموب هذا باستزدام
المطور يقوده كان الذي ذلك لن مزتمف مدو من البياهنات إرماع إل التطبيق خداع لممهامم يمكن ،.يقوم
ال بحقن أوال المهامممن المنيد لجمع هذا ويستزدم البياهنات بعض ويجمع الجدو صف مثل الدائم تزنين
البياهنات االدة.لمبيان خطأ أو معل يمكننا ، يعمل هنجعمه لك ، ٍثان بحث طمب أهنه لم البيان هذا يعامل.
األ االستعالم هنتائج اتحاد هو بياهنات مجمولة بإرماع البياهنات االدة ه الهجوم هذا هنتيجةوهنتائج األصم و
المحقون الثاهن االستعالم.بإصدار المثا هذا سيعودDBMS[5.]
http: // localhost / sqlia / Less-1 /؟ id = -1 'union select 1 ،version (),3.
الحقن هذا هنتيجة ستكون5.5.15.[4]
األعمى الحقن(المخفي)Blind injection:
تتمالبياهنات االدة سؤا لمميةtrue/false questionأم صحيحة صفحة إلادة تم إذا ييما والنظر
ال[3].يحقن ي المتسممينSQLمن البياهنات االدة من إرمالها تم الت الزطأ رسائل لم يعتمدون العادي
بعض منحهم أملوالمعمومات الدالئلكيفية لمتنفيذحقن هجومSQLبهم الزاصة.حقنة مع ولكنSQL
يحتاج ال ، المزفيةالمزترقتشغيل أمل من خطأ رسائل أي رؤية إلوشنالبياهنات االدة لم هجومه-
7. 7
حقن ُسمي أهنه ي السبب بالضبط هو وهذاSQLالمكشوية.خطأ رسائل تشغيل إيقاف تم إذا حت ، لذا
حقن هجوم تشغيل متسمل أي بإمكان ينا يال ، البياهنات االدةSQLألم.المهامم يقوم ، الحالة هذه ي
ي األوامر بضربالتطبيقوظيفة تتغير كيف يرااب ثم/استجابةالتطبيق.مالحظ خال منتهلندما بعناية
يتورفالتطبيقمعينة معممات كاهنت إذا ما يقط ليس يستنتج أن لممهامم يمكن ، سموكه يتغير ولندما بنفسه
البياهنات االدة ي القيم حو إضايية معمومات اأيض ولكن ، ضعيفة.
يتم لكسموك من المعمومات استنتاج يجب ، التقنية هذه ي المنطق األلم الحقنالتطبيقلن
صواب أسئمة طرح طريق/الزادم لم خطأ.إل المحقوهنة العبارة تقييم تم إذاtrueي المواع يستمر ،
طبيع بشكل العمل.إل العبارة تقييم تم إذاfalseيإن ، وصفية خطأ رسالة ومود لدم من الرغم لم ،
طبيع بشكل تعمل الت الوفحة لن كبير بشكل تزتمف الوفحة.ي ألهنه لمغاية بطيئة التقنية هذهتأخذ أن جب
االحتما كل االلتبار ي.األو الحرف كان إذا لما سيسأ هذا المثا سبيل لم(e)البياهنات االدة من
http: // localhost / sqli / Less-5 /؟ id = 1 'و( ascii (substr ((select table_name from
information_schema_tables) ،1،1))) = 101 -.+
تسريع يمكنناالثنائ البحث استزدام طريق لن التقنية.ايمة كاهنت إذا المهامم يسأASCII
ايمة تساوي أو من أال أو من أكبر لمحرفX.تأخر بمالحظة ذلك يعرف المهامم يإن ، أكبر القيمة كاهنت إذا
لمدة إضاي5البياهنات االدة من االستجابة ي ٍثوان.طريق لن ثنائ بحث استزدام ذلك بعد لممهامم يمكن
ايمة تغييرXاألو الحرف ايمة لتعريف.يكون أن البياهنات االدة من هنطمب أن يمكننا ، المثا سبيل لم
االي األو سمASCIIمن أكبر110الحرف يساوي والذي(r)األو الحرف إل الوصو يمكننا وبذلك ،
أسرع بشكل.
بياهنات االدة من معمومات لم بالحوو لممهامم توايت هجوم يسم األلم الحقن هجمات توايت
البياهنات االدة استجابة ي التوايت تأخيرات مراابة خال من.الهجوم هذا، البول األلم لمحقن امد مشابه
لالستدال مزتمفة طريقة يستزدم ولكنه.، الوات من محددة لفترة البياهنات لقالدة المؤات اإليقاف لم وتعتمد
استعالم تنفيذ إل مشيرة ، النتائج بإرماع تقوم ثمSQLبنجاح.كل مهامم تعداد ، األسموب هذا باستزدام
البياهنات اطعة من حرفالتال المنطق باستزدام المطموبة:البياهنات االدة اسم من األو الحرف كان إذا
هو األول'A'لمدة اهنتظر ،12ٍنثوا.هو األول البياهنات االدة اسم من األو الحرف كان إذا'B'اهنتظر ،
لمدة12إلخ ، ٍثوان.ي وظيفتان هناكMySQLكبير اتأخير تعط.
1. Sleep ( ).
0Benchmark ( ).
يمنحكSleep ( )معيار أن حين ي التأخير من ثابتا مقدارا()Benchmarkالتأخير مقدار يزتمف
الزادم لم التحميل حسب.بعد لممواع المتأخرة االستجابة ه الحقن من النوع لهذا الكشف معايير وستكون
الحقن.
حقن من أكثر اكتشافSQLالتأخير لممية باستزداماالدة من المعمومات إلستزالص أكثر يستزدم يإهنه ،
البياهنات.من المقدمة االستجابة ي التأخير طريق لن البياهنات االدة ي المومودة المعمومات تأكيد إل يشار
الحقن بعد البياهنات االدة.االكتشاف من السابق الترشي منهجية من أكثر هو[4].
المعموما إخراج كيفية لم مثاالتأخير باستزدام البياهنات االدة من ت.باستزدام الحقن سيتمsleep()ي
االستعالم[4].
http://localhost/sql/Less-5/? Id=1' UNION select if (SYSTEM_USER='root', sleep
(100), 1);--
ومدمرة مدا يعالة ولكنها مطولة اميال الحقن سمسمة لدينا المرة هذه.بحقن امنا"1"
UNION select if (SYSTEM_USER = 'root' ،sleep (100) ،1(; -" as an injection .
8. 8
المدمجة النتيجة وإلطاء التال االستعالم إدخا بدمج االتحاد مممة ستقوم.كان إذا ما تحقق سوف كان إذا
هو النظام مستزدم دخو"الجذر"ال أم.تنفي إل ذلك يسيؤدي ، امذر المستزدم كان إذاالسكون يترة ذ
سيعط وإال ، الوات من مقدار إللطاء"1"االتحاد لعبارة.
الطرق بعضلحقن الشائعةSQLيمكنحقن ييهاSQLاأللم:
1.استعالم معل إل يؤدي استغال إرسا لندSQLبينما ، لامة خطأ صفحة إرماع يتم ، صال غير
إرسا يؤديSQLالتحك يمكن صفحة إرماع إل الوحيحةما حد إل محتواها ي م.ذلك وينطبق
المثا سبيل لم ؛ المستزدم اختيار إل ااستناد المعمومات لرض ييها يتم الت الوفحات لم لادة
البياهنات االدة ي منتج بتعريف تقوم معرف معممة لم يحتوي ارتباط يوق بالنقر المستزدم يقوم ،
طمب بإرسا المستزدم يقوم أو ، يريد بشكلبحث.ي التحكم لممستزدم يمكن ، الحالتين كمتا ي
مما ، صال غير أو صال معرف إما تقديم يمكن أهنه دلوي ي الوفحة تويرها الت المزرمات
ولرضه استرداده تم ما استرماع إل سيؤدي.
0.معل إل يؤدي استغال إرسا لند لامة خطأ صفحة إرماع يتمSQLqueryبينما ، صال غير
إرسا يؤديSQLمحتواها ي التحكم يمكن ال صفحة إرماع إل الوحيحة.هذه توادف اد
استعالمات لم الوفحة تحتوي لندما الوفحةSQLيكون األو االستعالم يقط ولكن متعددة
االهنتاج تنتج ال اضعيف.إدخا هو السيناريو لهذا المشترك الثاهن المثاSQLلب يارات
UPDATEأوINSERTلنها ينتج وال البياهنات االدة ي المقدمة المعمومات كتابة يتم حيث ،
لامة أخطاء لنها ينتج اد ولكن ، مزرمات.
3.إرساSQLطريقة بأي الوفحة إخراج لم يؤثر أو خطأ صفحة ينتج ال صحي غير أو معطوب.
من الفئة هذه ي إرمالها يتم ال األخطاء ألن اهنظرحقن سيناريوهاتSQLاأللميإن ،
اهنجاح األكثر ه النطاق خارج تأثيرات تنتج والت الوات إل المستندة االستغالالت أو االستغالالت
الهشة المعممات تحديد يلإلختراق القابمة.
االالمزدو ستعالمDouble query:
سيكون حيث الهجمات صد حوامن ي لمغاية مفيدة تقنية هذهلن الت المرات من العديد هناكيعمل
اأحياهن تفسيرها ويوعب طويال اوات تستغرق األلم والحقن يقط باالتحاد الحقن ييها.
بياهنات اوالد استعالم وتعنSQLواحد استعالم بيان ي امع استعالمين باستزدام.األساس ي هذا
أخطاء ي والتسبب الزمفية البياهنات االدة بين الزمط ينته.المعمومات لم تمقيها تم الت األخطاء ستحتوي
حقنة مثل اتمام ، استزرامها هنحاو التSQLالسابقة الزطأ إل المستندة.بالتأك أهنه من الرغم لمأسرع يد
باستزدام ء ش أي إل الوصو من المهاممون يتمكن يمن ، والوات المكفويين الحقن من
GROUP_CONCAT)(لم بشدة االلتماد إل سنحتاج أهننا يعن مماCONCAT)(ومينةLIMIT
البياهنات االدة من المعمومات مميع لم لمحوو.المثا سبيل لم[4]:
http://localhost/sqlia/Less-1/?id=1'and (select 1 FROM(select
count(*),concat((select (select concat(database())) FROM
information_schema.tables LIMIT 0,1),floor(rand(0)*2))a FROM
information_schema.tables GROUP BY a)b)--+
مدا بسيطة المندوج الحقن ي المهاممين ابل من المستزدمة التقنية.من كل تستزدم وهfloor ( )و
rand( )المعمومات لن لالستعالم_الكممة ألن الطمب هذا ي إلغاءها يتم الت الموطمحات(rand (0) *
2)الحال البياهنات االدة وإرماع الطمب بقية بمعالجة يسم مما ، خاليةاسم ية.الجممة بناء يعيد سوف
الفور لم التقاطه يتم لم إذا الوات بمرور التقاطه يمكنك بحيث هنفسه األساس.لرضة أهنه لممنا أن بعد اآلن
المستزدم ومعمومات اإلصدار معمومات إل باإلضاية ، إضايية بياهنات اوالد اختبار يمكننا ، لمزطر.بمجرد
األسا النظام معمومات استيعاباأخير البياهنات واستزالص واأللمدة الجداو إل االهنتقا يمكننا ، سية[4].
9. 9
هجومTautologies:
منء إدخا طريق لن الهجوم هذا يعمل"ادائم"مممة يWHEREلبارة منSQLما اوغالب
مندومة شرطة دمج مع هذا يستزدم-أو#االستعالم موازهنة محاولة أو.تجاهل إل ذلك سيؤديمن تبق ما
البياهنات من كمية أكبر استزالص يضمن مما ، البياهنات.صفحات لتجاوز التقنية هذه استزدام لممهامم يمكن
الحساسة البياهنات استزراج حت أو المواداة.مثا:، اواحد اااتباس المهامم يرسل ، المثا هذا هجوم ي
OR 1 = 1إد لحقل مندومة تجنئة أو بواصمة امتبولالدخو تسجيل خا(األخرى لمحقو المقدم اإلدخا.
هو الناتج واالستعالم:
SELECT accounts FROM users WHERE login =''أو1=1- AND pass = '' AND
pin =
الشرط ي حقنها يتم الت الشفرة(OR 1 = 1)مممة بتحويل تقومWHEREوتستزدم ، حشو إل بالكامل
من أي وتحديد صف كل لتقييم األساس الشرطية البياهنات االدةonestoحشو لن لبارة الشرطية ألن اهنظر
إل االستعالم تقييم يتم ،trueتم الت المجمولة تقييم يتم ، مثالنا وي ، وإرماله الجدو ي صف لكل
يؤدي مما ، خالية غير ايمة إل إرمالهاهنامحا كان المستزدم من التحقق أن التطبيق استنتاج إل.
الحرف تعطيل الويب تطبيق مبرمج لم)=(، العبارة مثل استزدامه لممهامم يمكن الذي
SELECT accounts FROM users WHERE login=’’ or 1 like 1 -- AND pass=’’
AND pin=
هنفسها النتيجة لم ويحول المهامم سينج[4].
4-62-3دالة استخدامmysql_real_escape_string:
تبحذف الدالة هذه قومالسمسمة ي خاصة أحرف(المدخمة البياهنات)لبارة ي الستزدامهاSQL.السمسمة
تجنبها يجب الت.ه المشفرة األحرفNUL (ASCII 0)وnوrو"'و"وControl-Z[05].
ثغرةCross Site Scripting (XSS):
الواسع االهنتشار ذات الثغرات من الثغرة هذه تعتبر،لرض الادة يتم لندما خطرها يظهر حيث
لمتطبيق المستزدمين ابل من ادخاله تم محتوى.
ثغرةXSSتسملممسكريبت بتنفيذ زترقScriptبسراة له يسم وهذا المستزدم متوف داخل
بتنويب يقوم أن ويمكن المستزدم ممسة(Keylogger)إل أو خبيثة موااع إل المستزدم توميه إلادة أو
االختراق مزتبر يريده أخر ء ش أي.
يستطيعالمزترقيكون ما غالبا خبيث سكريبت حقنJavaScriptيكون أن يمكن أوVBScript
الهدف متوف يإن التطبيق إمابة من منء هو السكريبت هذا وألن ،الهدف متوف إل ويسممهبه يثق
بالعمل لمتطبيق ويسم[3].
وثغرةXSSوالمزنن المنعكس هنولين لهاreflectedوstoredكالتال وتفويمها:
نوعXSS reflected:
،ضررا األال ويعتبر الويب تطبيقات ي إهنتشارا أكثر هوألن وذلكإرسا يتم لندما لممه
payloadيقط واحد لطمب ويعا شرل يكون يإهنه الهجوم هذا ي.
المواب أو المتأثر الوحيد الشزص سيكون الزبيث السكريبت يحوي الذي الرابط لم يضغط مستزدم وأي
معد له لام بشكل الهجوم بهذا مباشرة1:1hacker to victim.
الرابط لنوان هنفس يرسل أن لممهامم ويمكنURLمال إل الزبيثالضحا من يينياالشزص يقط ولكن
يتأثر سوف الذي هو الرابط لم سيضغط الذي.مستزدم كل يإن السحاب التطبيق هجوم تم حالة ي ولكن
به يتأثرون التطبيق[3].
10. 10
نوعStored XSS:
لبر يستمر ألهنه مدا كبير ضرره ولكن السحابية والتطبيقات الويب تطبيقات ي ايجاده الوعب من
لم اادر المهامم يكون لندما ويحدث ،واحد هجوم ي المستزدمين من لدد يستغل أن ويمكن طمب من اكثر
االدة ي يكون أن ويمكن المستزدمين لكل متاح السكريبت ويكون التطبيق ي الزبيث السكريبت حقن
لممست البياهنات يعرض الذي التطبيق وامهة أو صحفة ابل من تستزدم الت البياهناتتقوم تقنية أي ي أو زدم
المدخالت بتزنين.
الوامهة أو الوفحة يطمبون الدخو صالحية لديهم الذين التطبيق مستزدم أي الشرليون المستزدمون
اإلستغال يإن ولندهاXSS exploitالمستزدمين متوفحات كل ي يعمل سوف.
معد له الهجوم وهذاn:1many hacker to victimذ أهنه أيمدا كبير تأثير و.من النولين كالXSS
هنفس لهماpayloadمزتمفة بطرق تسميمها يتم ولكن.
الثغرة وهذهلممهاملوفحات خبيثة ماياسكربت أكواد إضاية مhtmlالتطبيق يعرضها الت,ولندما
ماياسكربت اهنه بما مباشرة الكود ُنفذيس الوفحات تمك بفت الضحية يقومfront-endالمتوف ابل من
بالطبع,الوفحة غمق حت او توميه الادة او كوكين سراة من لزطر والمستزدمين اهنت يعرضك مما.
المثا سبيل لم سكربت مايا لغة اوة إن,وسكربت االلضاء الحد بياهناات هنستقبل اهننا لنفترض
phpكاالت سيبدو بسيط[0]:
<?php echo $_POST['name']; ?>
وهنموذجاإلدخا(form)بمغةhtmlكالتال:
<html> <body> <form action="p.php" method="post">
<input type="text" name="name"> <input type="submit"> </form> </body>
</html>
الكود واض هو كما،الثغرة لتوضي يقط مدا بسيطمتغيير ان مثال$_POST['data']لن لبارة هو
لند الفارغ الحقل ي ماياسكربت كود اضاية لند تكمن الزطورة لضو كل برويايل ي شزوية هنبذةhtml
بسيط كمثا
<script> alert('hi, this is xss') </script>.
شز أي يقوم لندما الرسالة هذه ستعرض بالطبع ألاله النص تحوي منبثقة رسالة بعرض يقوم المثا هذاص
منبثقة رسائل لرض ي يقط ليست الثغرة خطورة أن يعن وهذا بها وابةُمال الوفحة يت بمجرد,تتي بل
وتنفيذه يريد ماياسكربت كود أي كتابة لممهامم.الحالة هذه ي مدا اوي يكون ان يمكن ماياسكربت كود
وزرع المتوف وإغالق الكوكين كسراةkeyloggerويقوم الضحية متوف ياالرام و االسماء بسراة
السرية[0].
الهجمات من النوع هذا ضد الحماية السهل ومن,زترقُمال ُدخلي ان بعد اي المتوف ي تنفذ الثغرة أن وبما
بفمترة سنقوم الزبيث كوده"escaping output"بترممتها المتوف يقوم ال لك الممينة الحروف تزط او
والتبارهاStringلادية هنوية سمسمة أي[0.]
ثغرةCross-Site Request Forgery (CSRF):
خبيث طمب بزمق االختراق مزتبر يقوم أن وتتطمب الويب بتطبيق المتوف ثقة تتطمب الثغرة هذه
ي كما الزبيث السكربت حقت من بدال ولكن الزبرة اميل أو ماهل مستزدم ابل من لميه الضغط ليتمXSS
هجوم يإنCSRFالهدف المستزدم معرية بدون التطبيق ي طبيع لمل بتنفيذ يقوم.
محتوى حذف أو السر كممة تغيير أو مديد مستزدم إهنشاء مثل التطبيق يدلمها الت العمميات معظم
بهجوم المستزدم إدراك بدون تتم أن يمكن التطبيقCSRF.الطمب بتنوير تسميته سبب وهذاRequest
Forgery[0].
11. 11
بين الفرقXSSوCSRF:
بين يزمطون األشزاص من الكثيرXSSوCSRFطمب خمق تتطمب الثغرتين كال أن بسبب وذلك
إدراكه بدون الويب تطبيق من طمب بعمل يقوم لجعمه المستزدم مع والتفالل هنظام ويب.بين الفرق
االستغال لتفيذ المستزدم الشئ هو التقنيتينXSSبينما المتوف ي سكريبت تستزدمCSRFأي تستزدم
طمبGETأوPOSTالتطبيق ي الشرل العمل إلكما[3].
ثغراتDom Based Xss:
الـ دوا تقومjavascriptدون ه ايضا المدخل بطبالة تقوم وأيضا المستزدم من المدخل بأخذ
حت او أخرى برمجة لغات اي إل الحامةweb serverالممفات تشغيل و لترممةالت الدوا لم ويطمق
المدخالت دوا المستزدم من المدخل بأخذ تقوم(الـموادر)sourcesهذا بطبالة تقوم الت الدوا ان و
المدخلإظهاره ويhtmlهsinks.الدوا هذه بعض وsourcesوsinksإل تؤدي ان يمكن
ثغراتXSS[5].
المصادر دوال(المدخالت)sources:
لغة ي دوا هjavascriptالحالة هذه ي الوفحة إل مدخل بإرسا تقوم ان يمكن خاللها من الت و
أو الوفحة رابط خال من مرسل المستزدم من المدخل يكون غالباurlالتال الرابط لدينا مثال:
http://site.com/home/file.html?name=fataho#fatahosoft
الوفحة مسار يقط او بالكامل الوفحة رابط بقراءة تقوم ان الدوا هذة خال من الممكن يمن
home/file.html/المدخل االسم ايمة اوfatahoتاج الهاش أو(#)fatahosoftتقوم بالضبط كأهنك
إ تقسيمه و الرابط تحميل بعملالمتغيرات ه منء و الوفحة ممف اسم و الوفحة مسار هو منء ، إمناء ل
أوparametersالوفحة إل المرسمة[05].
خال من ذلك لمل يمكن وjavascriptبالكامل الوفحة رابط بقراءة تقوم الدوا طريق لن ببساطة:
document.URL
document.documentURI
document.URLUnencoded
document.baseURI
location
location.href
او المدخالت بقراءة تقوم دواparametersالوفحة إل المرسمة يقط
location.search
مثال المدخالت بعض اليها ارسمت و الدالة بهذة الوفحة بتشغيل امت ذلك لم مثا
http://fatahosoft.com/page.html?name=ali
الدالة هذه هنتيجة تكون?name=ali.
الدالة تقومlocation.hashبعد تكتب الت القمية باستزراج#مثالali#.
دوالSinks:
دوا من داله خال من المرسمة القيمة كتابة و إظهار لن المسؤلة هsourcesكداله بالظبطprintي
البرمجة لغات[5].
الدوال هذه ومن:
1.دالةdocument.writeودالةdoucment.writeln:
لدالة مكايئة داله هechoوprintالنص بطبالة مباشرة يتقوم البرمجة لغات يشفرة داخلHTML
12. 12
0.دالةdocument.body.innerHTML:
وسم محتوى بقراءة تقوم سوف<body> </body>أ الوفحة مسم داخل مكتوب هو ما كل أي بالكاملو
وثيقةHTML
بعمل امت اذا وdocument.body.innerHTML = ‘fatahosoft.com’استبدا بعمل يقوم سوف
وسم لمحتوى كاملbodyالكممة ييه كتابة وfatahosoft.com.
4-32ثغرات حدوثDom-Based Xssدوال باستخدامSourcesوSinks
المستزدم يرسل لندما الثغرة هذه تحدثلرضه و المدخل بأخذ الوفحة تقوم و مدخل لموفحة
ان كيف أيضا و كمدخل الوفحة رابط من منء بقراءة تقوم أن الممكن من وكذلك الوفحة داخل مباشرة
خال من كالم بكتابة هنقومjavascriptبإحداث تقوم الت المعادلة طري لدهنيا يتحقق األن اذا الوفحة بداخل
ثغراتXSS.
إستخدامدالةhtmlspecialchars:
كياهنات إل امسبق المحددة األحرف بعض بتحويل الدالة هذه تقومHTML.ه امسبق المحددة األحرف:
-&ersandتوب&؛
-("مندوج ااتباس)يوب"؛
-("منفرد ااتباس)يوب"
-<(من أال)يوب<؛
->(من أكبر)يوب>؛
ثالثة تاخذ والدالةإمبارية معامالت(اختيارية أثنان وهناك)كالتال:
$unsave_name = $_POST['name'];
$save_name = htmlspecialchars($unsave_name, ENT_QUOTES, "utf-8");
معامالت ثالثة تتطمب الدالة هذه:
1.المستزدم مدخالت لم المحتوي المتغير.
0.التأمين هنوع.
3.اختيار ويفضل الترمين لغةUTF-8.
$save_name = htmlspecialchars($unsave_name, ENT_QUOTES, "utf-8");
مثال الكممات من لمرادياتها المفتاحية الرموز بتحويل الدالة ستقوم<SCRIPT>ستعرض
كالتال</script>تنفذ ولن البرمجية ايمتها ستفقد وبالتال[0].
الثالث التأمين أهنواع شرح:
1.ENT_COMPATالثنائية التنويص لالمات تحويل النوع هذا ي سيتم) " (ال
الرمن"االحادية التنويص لالمة بينما(')تتحو لن.
0.ENT_QUOTESالثنائية التنويص لالمات تحويل النوع هذا ي سيتم) " (ال
الرمن"األحادية التنويص لالمة بينما(')لم سستحورمن'
3.ENT_NOQUOTESايم أي تحويل يتم لن النوع هذا ي.
يعرض احد ال غالبا االرم وهو مثال منسق بشكل ولرضها المستزدم مدخالت بجمب يقوم التطبيق كان إذا
صفحةhtmlتنسيقات أو وسوم بدون[0].
$unsave_name = "<strong>".$_POST['name']."</strong>";
$save_name = htmlspecialchars($unsave_name, ENT_QUOTES, "utf-8");
كذلك المفتاحية الرموز مميع بتحويل تقوم آهنفا المذكورة الدالة الن مشاكل المطور توامه اد<و>ولن
تنسيق يظهر<strong>طبقته الذي.البديمة الرموز تستزدم ان هو الحل<و>يمثالن<و>
بالترتيب[0].
13. 13
دالة استخدامhtmlentities:الدالة ولمل خوائص هنفس تحمل الت وhtmlspecialchars.
الدالة إستخدامstrip_tags:الدالة تقوم و المدخالت بفمترة الدالة هذه تقومstrip_tagsمن سمسمة بإزالة
لالماتHTMLوXMLوPHPثنائية آمنة الوظيفة وهذه ،[0].
الملفات دليل مستكشفDirectory Files Listing:
إذايدل مجمد يومدimagesداخلالالرئيس مسارwww.site.comلزطر التطبيق يعرض ذلك يإن
بكتابة المستزدمين احد اام إذا ،الفرلية لممجمدات ورحُم غير دخوwww.site.com/imagesي
ب المجمد هنحو توميه الادة سيتم المتوفله متاحة وتكون محتوياته كاية.
االلدادت بتغيير سنقوم ذلك لتجنب,المشتركة االستضاية ي غالباshared hostingيكون لن
ممف لتعديل صالحية لديكphp.iniلغة بالدادت المعنphpالرئيس المجمد ي ستنشئ ذلك من بدال
باسم ممف.htaccessوالمجمدات الروت المجمد ي االلدادات تعديل من يمكنك اهنه الممف هذا ويكرة
القيمة باضاية وستقوم يقط بك الزاصة منها الفرليةIndexIgnore *الدخو بمنع بدورها ستقوم والت
يرلية المجمدات لكاية،وم اكثر يومدهنفس ال يؤدي كتابته يمكن امر نالنتيجة[0].
ا لحماية خطواتلتطبيق:
حقن هجمات ضد الدفاع مقترحة طرقSQL:
ضد لمدياع به القيام السحابية الحوسبة وتطبيقات الويب موااع لمالك يمكن مما الكثير الوااع ي لكن
حقن هجماتSQL.ضمان مثل ء ش ومود لدم من الرغم لم122وضع يمكن ، الشبكة أمان ي ٪
حقن محاوالت مسار ي الهائمة العقباتSQL.
1.ويب تطبيق حماية مدار استزدام:مثلالبرمجياتالمجاهنية المودر المفتوحة
ModSecuritywhichويب لزوادم متاحةApacheوMicrosoft IIS.
ModSecurityprovides.
0.السياق حسب البياهنات اوالد امتيازات من الحد:لقوالد متعددة مستزدمين حسابات بإهنشاء ام
بهم الزاصة االستزدام لبيئة االمتيازات من األدهن الحد مع البياهنات.أن يجب ، المثا سبيل لم
البياهنات االدة لن بالبحث الدخو تسجيل صفحة خمف المومودة البرمجية التعميمة تقومباستزدام
الومة ذات االلتماد بياهنات مدو لم يقط يقتور حساب.من االستفادة يمكن ال ، الطريقة بهذه
بأكممها البياهنات االدة لتهديد القناة هذه اختراق.
3.استعالمات إهنشاء تجنبSQLمعيبة تكون أن يمكن البياهنات تعقيم إمراءات حت المستزدم بإدخا
، المثالية الناحية منمتغير ربط استزدامSQLمن أماهنا أكثر المزنهنة اإلمراءات أو ةّدمع بياهنات مع
الكاممة االستعالمات إهنشاء.
4.الهجمات ي استزدامها من لمقراصنة يتمكن ال حت تامة بعناية الحريية الزطأ رسائل أكتب
المستقبمية.
5.حقن ضد المزنهنة اإلمراءات حمايةSQL:المزنن اإلمراء يائدةء ش كل لالاة له حماية كإمراء
المزنن اإلمراء كتابة بكيفية.
5.تدري ال يأهنت لمعامة التطبيق أو الزدمة تنشر لندما المستزدم مدخالت كاية ترشي أو يمترة يجب
التطبيق أو لمزدمة الولوج يحاو اد من.التسمل يحاو ن بينهم يومد بل لاديين المستزدمين كل ليس
لمتطبيق.يجب لذلكبسيطة كاهنت مهما ويمترتها المستزدم مدخالت من التاكد.
7.والحاالت المدخالت أبسط من حت التحقق يجب,بياهنات االدة ألن وذلكmysqlمدا حساسة
حقيقية مشاكل يسبب اد بها خاطئة بياهنات وإدخاالتطبيق ي وكارثية.
8.(اختياري)مثل الغريبة الرموز لم يحتوي ال النص ان من تأكد$#*%@:ان يمكن وغيرها
القياسية التعابير باستزدام ببساطة هذا تحقق.
14. 14
الخاتمة:
إني السحابية الحوسبةالزدمات من مزتمفة مستويات تويير أمل من مستمر تطويرالمتاحةحسب
لمعمالء الطمب.يتمتع حين يالمستزدمينتحدي يشكل السحب ي األمن يإن ، السحابية الحوسبة بفوائدا
ارئيسي.وال السحاب ي الضعف من الكثير هناك ينا الالث هذه يستغمون المتسممون يناغراتاألمنية.تنبع
الوراة هذه أهمية، السحابية المستزدمين لزدمة أيضل مودة تويير أمل منواألمنية العيوب تحديد.هذه ي
، الوراةامتبعض بتوضيالاألمنية ثغراتاإلستعالم حقن ثغرت لم بالتركينSQL injectionو
XSSالسحب يلم الهجوم لمميات إل تؤدي والتالبياهناتالسحابية التطبيقات يو ،الهجماتلم
كبيرا تهديدا وتمثل السحابية المواردألمانالزدماتالسحابية،ثم ومنلرضتال بعضتدابيراللتمك مضادة
األمن الزروااتية.المشكمة هذه لتالي المقترحة الحمو وبعض.
المراجع:
1.،ويكيبيديا ةرالح الموسوعة موقعhttp:www.wikipedia.comيخربتا تهرياز تمت ،
5-1-7112الساعة ،م17:11ظ.
7.موقعhttps://3alam.pro/mephistopheles/articles/secure-php-code-تتهرياز مت
يخربتا15/6/7112الساعة م11:02ص.
3.إ،طويلة حسين جميل ،الويب وتطبيقات اترفرسي اقراخت ختبارط ،دمشق ،يارسو17117م.
0.الكشفعنةرثغحقنsqlوتجاوزالترشيح،ةرمنشو علمية قةرو ،عباس محمد اهلل عبد إسالم ،
مجلةاساترالدالعليا،جامعةالنيلي،ن7115م.
5.NIST Special Publication 500-293, US Government Cloud Computing
Technology Roadmap, Volume I and Volume II, October 2014.
6.موقعhttp://devlopertechnology.blogspot.com/2016/03/platform-as-
services.htmlيخربتا تهرياز تمت ،11/2/7112الساعة م11:12صباحا.