قائمة OWASP Top 10

لماذا يهم

نادراً ما تظهر العيوب الأمنية في الاختبارات الوظيفية، لأن التطبيق يتصرف كما هو محدد مع المستخدم النزيه. وتظهر حين يرسل أحدهم طلباً لا ترسله الواجهة أبداً: معرّف مستخدم آخر، أو مسار المسؤول، أو رمزاً بعد تسجيل الخروج، أو علامة اقتباس داخل حقل. وتسمّي القائمة فئات نقاط الضعف التي تُظهر بيانات الاختبار انتشارها، مرجَّحةً بمدى سهولة استغلالها وحجم ضررها، فتغطيتها تغطي إخفاقات شائعة وخطيرة معاً.

وهي أيضاً لغة مشتركة: فالمطورون ومختصو الأمان والمدققون يعرفون معنى «ملاحظة من فئة A01»، فيُفهم التقرير الذي يسمّي الفئة ويُرتَّب حسب الأولوية أسرع. كما تحدّد ما يغطيه مختبِر الجودة قبل أن يتعمّق اختبار الاختراق المتخصص في الفئات نفسها.

ما هي القائمة، وما ليست هي

تنشر OWASP إصداراً جديداً كل بضع سنوات؛ وقد حلّ إصدار 2025 محلّ إصدار 2021. تأتي ثمانٍ من الفئات العشر من بيانات اختبار تساهم بها مؤسسات تختبر التطبيقات، وتُرتَّب بدرجة تجمع بين مدى تكرار العثور على كل نقطة ضعف (معدل الحدوث، Incidence Rate) وقابلية استغلالها وأثرها؛ ويضيف استطلاع مجتمعي للممارسين الفئتين الأخريين لمخاطر لا تُظهرها البيانات بما يكفي (تذكر صفحة A09 في إصدار 2025 أنها أُدرجت بالتصويت، وكانت A03 أعلى المخاوف ترتيباً في الاستطلاع). وثلاثة تغييرات تهمّ في 2025: الفئة A10 سوء التعامل مع الحالات الاستثنائية جديدة، وتوسّعت A03 من فئة 2021 «المكوّنات الضعيفة والقديمة» (Vulnerable and Outdated Components) إلى سلسلة البناء والتوزيع والتحديث كاملة، وأُعيدت تسمية A09 لتأكيد التنبيه لا التسجيل فقط. وترتبط كل فئة بقائمة من مدخلات CWE؛ وتعداد نقاط الضعف الشائعة (Common Weakness Enumeration) فهرس تصدره MITRE لأنواع نقاط الضعف (أما CVE فيسمّي ثغرة واحدة في منتج واحد)، ويَسِم كثير من أدوات الفحص نتائجها بمعرّفات CWE.

والقائمة ليست معياراً ولا قائمة فحص كاملة. فمعيار التحقق من أمان التطبيقات (ASVS) يحوّل الأمان إلى متطلبات قابلة للتحقق، ودليل اختبار أمان الويب (WSTG) يقدّم إجراءات اختبار خطوة بخطوة، وقائمة OWASP API Security Top 10 لعام 2023 تغطي المخاطر الخاصة بواجهات API. استخدم القائمة لتقرر أين تنظر أولاً، وASVS وWSTG لتقرر إلى أي عمق.

• اذكر السنة دائماً: فالمواقع تتغيّر بين الإصدارات، وA03 كانت تعني الحقن في 2021 وتعني إخفاقات سلسلة توريد البرمجيات في 2025.
• اختبر فقط الأنظمة التي تملكها أو لديك إذن كتابي باختبارها. وكل فحص في هذا الدرس ملاحظة غير مدمِّرة، لا استغلال لثغرة.

فئات 2025 العشر والفحص الأول للمختبِر

لكل فئة فيما يلي: ما تجمعه، ثم الفحص الأول الذي يجريه المختبِر. وتتعمّق دروس لاحقة في هذه الوحدة في كل مجال؛ والهدف هنا أن تتعرّف كل فئة وتعرف أين تنظر.

• A01:2025 خلل التحكم في الوصول (Broken Access Control): التصرف خارج الصلاحيات، مثل قراءة سجل مستخدم آخر بتغيير المعرّف. الفحص: أعد الطلب برمز صالح للمستخدم الخطأ وللدور الخطأ؛ وتوقّع 403 أو 404.
• A02:2025 سوء الإعداد الأمني (Security Misconfiguration): حسابات افتراضية، وميزات غير ضرورية، وأخطاء مفصّلة، وترويسات أمان مفقودة، وأذونات متساهلة. الفحص: اقرأ ترويسات الاستجابة، وتسبّب في ظهور صفحة خطأ، وجرّب بيانات الاعتماد الافتراضية الموثّقة في بيئة الاختبار.
• A03:2025 إخفاقات سلسلة توريد البرمجيات (Software Supply Chain Failures): مكوّنات وأدوات بناء وقنوات تحديث ذات ثغرات أو غير مصانة أو غير متتبَّعة أو مخترقة. الفحص: اطلب جرد الاعتماديات بإصداراتها، واسأل إن كانت التحذيرات الأمنية تُراجع قبل كل إصدار.
• A04:2025 إخفاقات التشفير (Cryptographic Failures): بيانات حساسة تُرسل أو تُخزَّن دون تشفير، وخوارزميات ضعيفة، ومفاتيح مضمّنة في الشيفرة. الفحص: تأكد من TLS على كل نقطة نهاية، وابحث عن كلمات مرور أو أرقام بطاقات أو رموز مخزّنة أو مسجّلة بنص واضح.
• A05:2025 الحقن (Injection): مدخلات غير موثوقة تصل إلى مفسِّر (SQL أو أمر نظام أو قالب أو HTML) دون تهريب (Escaping)؛ وتنتمي إلى هنا البرمجة النصية عبر المواقع (Cross-Site Scripting, XSS)، حين ينتهي المدخل سكربتاً يعمل في متصفح مستخدم آخر. الفحص: علامة اقتباس أو قوس زاوية أو فاصلة منقوطة في كل حقل؛ وراقب ظهور أخطاء أو تغيّر النتائج أو وسوماً يعرضها المتصفح عناصرَ لا نصاً.
• A06:2025 التصميم غير الآمن (Insecure Design): منطق العمل يسمح بالإساءة حتى مع شيفرة صحيحة، مثل قسيمة تُطبَّق مرتين. الفحص: اسلك المسار بعقلية مستخدم غير نزيه وحاول خرق القاعدة دون أي حيلة تقنية.
• A07:2025 إخفاقات المصادقة (Authentication Failures): قبول كلمات مرور ضعيفة، ولا قفل ولا تقييد للمحاولات، وتعداد المستخدمين، وجلسات تبقى بعد تسجيل الخروج. الفحص: محاولات بكلمة مرور خاطئة، ورسائل تختلف بين حساب موجود وآخر غير موجود، ورمز قديم بعد تسجيل الخروج.
• A08:2025 إخفاقات سلامة البرمجيات أو البيانات (Software or Data Integrity Failures): شيفرة أو بيانات تُعامل كموثوقة دون تحقق: سكربتات من CDN غير موثوق، وتحديثات غير موقّعة، وخط CI/CD غير محمي. الفحص: اسأل كيف يُتحقق من مخرجات البناء (Artefacts) والتحديثات، وهل تُقبل بيانات يعيدها العميل، مثل كائن مُسلسَل (Serialised) داخل ملف تعريف ارتباط، دون فحص لسلامتها.
• A09:2025 إخفاقات التسجيل الأمني والتنبيه (Security Logging and Alerting Failures): عمليات الدخول والمحاولات الفاشلة والمعاملات عالية القيمة غير مسجّلة، والسجلات غير مراقبة، ولا تنبيهات تُطلق. الفحص: بعد اختباراتك، اسأل هل ظهرت طلباتك المرفوضة في السجلات وهل نُبّه أحد.
• A10:2025 سوء التعامل مع الحالات الاستثنائية (Mishandling of Exceptional Conditions): أخطاء لا تُعالج في موضع حدوثها، والفشل المفتوح (Failing Open) أي السماح بالفعل حين يتعطّل الفحص نفسه، وتتبّعات مكدس (Stack Traces) مكشوفة، وحالة غير متسقة بعد الفشل. الفحص: أرسل معاملاً مفقوداً أو قيمة ضخمة أو نوعاً خاطئاً؛ وتوقّع خطأً نظيفاً وباباً مغلقاً.

جرّبها: محلّل ترويسات الأمان جرّبها: مختبِر مصادقة API جرّبها: محلّل ملفات تعريف الارتباط (Cookies)

مثال تطبيقي: نقطة نهاية واحدة عبر الفئات العشر

تتيح بوابة عملاء للعميل المسجّل دخوله تنزيل فاتورته بصيغة PDF. والمرور بهذا الطلب عبر القائمة يستغرق بضع دقائق ويعطي مجموعة قصيرة مرتّبة بالأولوية من شروط الاختبار.

• A01: أعد الطلب برمز العميل ب للفاتورة 8812 التي تعود للعميل أ. المتوقع: 403 أو 404، ولا PDF أبداً. واسأل أيضاً هل للملف المخزَّن عنوان URL مباشر يمكن توقّعه فيتخطى هذا الفحص. الأولوية الأولى: فالفواتير تحمل بيانات شخصية ومالية.
• A07 وA04: دون رمز يجب أن يُرَدّ الطلب بالحالة 401؛ ويجب أن يتوقف الرمز عن العمل بعد تسجيل الخروج وبعد انتهاء صلاحيته؛ ويجب أن تمرّ الاستجابة عبر TLS وألا تكون قابلة للتخزين في ذاكرة مؤقتة مشتركة (Cache-Control: no-store أو private).
• A02 وA10: اطلب /api/invoices/abc/pdf و/api/invoices/99999999/pdf. المتوقع: خطأ قصير بالحالة الصحيحة، ولا تتبّع مكدس، ولا إصدار إطار عمل في الترويسات.
• A05 وA09: المعرّف رقمي، فأرسل أيضاً معرّفاً يحوي علامة اقتباس، 8812'؛ ورسالة خطأ من قاعدة البيانات في الاستجابة ملاحظة حتى دون استغلال. وبعد التشغيل اطلب من المطور أن يجد طلباتك المرفوضة في السجل.
• A03 وA06 وA08 أسئلة للفريق: أي مكتبة PDF وأي إصدار يولّد الفاتورة (A03)، وهل يمكن إنتاج فاتورة لطلب لم يُدفع (A06)، وهل يُبنى ملف PDF من سجلات الخادم نفسه أم من قيم يرسلها العميل، كالمبلغ، دون تحقق (A08).

GET /api/invoices/8812/pdf HTTP/1.1
Host: portal.example.com
Authorization: Bearer <access token of customer A>
Accept: application/pdf

جرّبها: منشئ طلبات API جرّبها: محلّل مطالبات JWT جرّبها: مولّد مجموعات الأحرف الخاصة

أسئلة شائعة

المراجع

• OWASP Top 10:2025OWASP Foundation · 2025أخطر عشرة مخاطر أمنية لتطبيقات الويب، مع كيفية اختبار كل منها والوقاية منه.
• OWASP Web Security Testing Guide (WSTG)OWASP Foundationالمنهجية المرجعية لاختبار تطبيقات الويب وواجهات API بحثاً عن نقاط الضعف الأمنية، اختباراً تلو الآخر.
• OWASP Application Security Verification Standard (ASVS)OWASP Foundationقائمة تحقق بمتطلبات أمنية قابلة للتحقق لتطبيقات الويب، مصنّفة في ثلاثة مستويات ضمان.
• OWASP API Security Top 10 (2023)OWASP Foundation · 2023أكثر عشر نقاط ضعف شيوعاً في واجهات API: خلل التفويض على مستوى الكائن، وخلل التوثيق، والاستهلاك غير المقيد للموارد، وغيرها.