Cross-Site Scripting and HTML Injection Testing
اختبار تطبيقات الويب للثغرات الأمنية من نوع XSS
تواجه تطبيقات الويب تهديدات مستمرة بهجمات XSS التي تعرض جلسات المستخدمين وبياناتهم للخطر. توفر هذه المهارة لمحترفي الأمن منهجيات اختبار منهجية لتحديد وإصلاح ثغرات حقن الكود من جانب العميل قبل أن يستغلها المهاجمون.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "Cross-Site Scripting and HTML Injection Testing". اختبر معامل البحث ?q= للبحث عن XSS منعكس
النتيجة المتوقعة:
عرضة للخطر: الإدخال منعكس بدون ترميز. الحمولة <img src=x onerror=alert(document.domain)> تُنفذ بنجاح. يعيد الخادم مصطلح البحث في جسم HTML بدون ترميز كيان HTML، مما يسمح بتنفيذ نصوص برمجية تعسفية.
استخدام "Cross-Site Scripting and HTML Injection Testing". حلل حقل التعليق للبحث عن XSS مخزن مع حماية CSP
النتيجة المتوقعة:
محمي: بينما يُخزن الإدخال ويُنعكس، فإن رأس CSP 'script-src 'self'' يمنع تنفيذ النصوص البرمجية المضمنة. المتجهات البديلة المختبرة (نقاط نهاية JSONP، عناوين data:) محظورة أيضًا بواسطة CSP. نوصي بالحفاظ على تكوين CSP الحالي.
استخدام "Cross-Site Scripting and HTML Injection Testing". اختبر DOM XSS في توجيه تطبيق الصفحة الواحدة
النتيجة المتوقعة:
عرضة للخطر: معامل المسار مكتوب إلى innerHTML في السطر 47 بدون تنظيف. URL /profile/<img src=x onerror=alert(1)> يُطلق تنفيذ النص البرمجي. هجوم من جانب العميل فقط - الحمولة لا تصل أبدًا إلى سجلات الخادم.
التدقيق الأمني
مخاطر منخفضةThis skill is documentation for authorized XSS and HTML injection security testing. Static analyzer flagged markdown code examples as threats, but these are educational payloads for penetration testers, not executable malicious code. The skill includes proper legal/ethical guardrails requiring written authorization. Risk is low as content is instructional documentation, not functional exploit code.
مشكلات منخفضة المخاطر (1)
عوامل الخطر
⚡ يحتوي على سكربتات (1)
🌐 الوصول إلى الشبكة (2)
درجة الجودة
ماذا يمكنك بناءه
مراجعة أمنية لتطبيقات الويب
إجراء تقييم شامل لثغرات XSS على مواقع العملاء قبل النشر لتحديد ثغرات الحقن التي قد تعرض بيانات المستخدمين وجلساتهم للخطر.
التدريب الأمني للمطورين
استخدام أمثلة XSS والحمولات في بيئات معمل خاضعة للتحكم لتعليم فرق التطوير حول الأسباب الجذرية لثغرات الحقن وتقنيات الوقاية.
أبحاث مكافآت الأخطاء
اختبار التطبيقات ضمن النطاق المحدد بشكل منهجي للبحث عن ثغرات XSS باستخدام الحمولات الموثقة وتقنيات التجاوب لاكتشاف مشكلات أمنية قابلة للإبلاغ.
جرّب هذه الموجهات
حلل حقل الإدخال في تطبيق الويب هذا للبحث عن ثغرات XSS. اختبر باستخدام حمولات أساسية مثل <script>alert(1)</script> و <img src=x onerror=alert(1)>. أبلغ عما إذا كان الإدخال منعكسًا وإذا كانت النصوص البرمجية تُنفذ.
اختبر نظام التعليقات على هذه المدونة للبحث عن XSS مخزن. أنشئ حساب اختبار، قدم حمولات في نصوص التعليقات، ثم تحقق مما إذا كانت تبقى وتُنفذ للمستخدمين الآخرين. وثّق نقطة الحقن والحمولة التي نجحت.
افحص كود JavaScript الذي يتعامل مع تجزئات عنوان URL وأحداث postMessage. حدد المصارف الخطرة مثل innerHTML و eval التي تعالج بيانات يتحكم فيها المستخدم. قدم حمولات استغلال لكل نمط ضعيف تم العثور عليه.
الموقع المستهدف يحتوي على رأس CSP مع script-src 'self' https://cdn.trusted.com. ابحث عن نقاط نهاية JSONP على CDN الموثوق التي يمكن إساءة استخدامها لتنفيذ JavaScript تعسفي. اختبر كل نقطة نهاية مع استدعاء alert(1).
أفضل الممارسات
- احصل دائمًا على تفويض خطي يحدد النطاق والأهداف وإجراءات التعامل مع البيانات قبل الاختبار
- استخدم حسابات اختبار وبيئات معزولة لتجنب التأثير على المستخدمين الحقيقيين أو بيانات الإنتاج
- وثّق جميع النتائج مع خطوات إعادة الإنتاج وتقييمات الشدة وإرشادات الإصلاح للمطورين
تجنب
- لا تختبر أبدًا حمولات XSS على أنظمة الإنتاج بدون تفويض خطي صريح من المالك
- لا تستخدم حمولات شبيهة بالديدان تنتشر تلقائيًا إلى مستخدمين آخرين خارج نطاق الاختبار الخاص بك
- تجنب استخراج بيانات مستخدمين حقيقيين - التقط فقط ملفات تعريف الارتباط الاختبارية الخاصة بك لأغراض العرض التوضيحي