شرح صفوف ومحتوى الفقرة
إن فهمك لآلية عمل الرمز في الصعود إلى المجلد الأب يفسر لك مباشرةً واحدة من أخطر الثغرات الأمنية في تطبيقات الويب، وهي ثغرة التلاعب بمسار الملفات ():
- كيف تنشأ الثغرة برمجياً؟ لنفترض أن موقعاً يوفر رابطاً لتنزيل الكتيبات مثل ، وأن كود الخادم يدمج قيمة المعامل مباشرةً مع مسار المجلد دون فحص.
- استغلال تسلسل الصعود : إذا أرسل مهاجم القيمة أو ، فإن تكرار سيجعل المسار يخرج من مجلد التنزيلات العام صعوداً إلى ملفات النظام الحساسة أو ملف كلمات المرور وإعدادات البيئة ()!
- كيف تحمي الخوادم نفسها من ثغرة ؟
- 1. استخدام معرّفات أو قائمة بيضاء (): ربط الملفات المسموح بتنزيلها بمعرّفات رقمية أو أسماء محددة مسبقاً بدلاً من تمرير مسارات مفتوحة في الرابط.
- 2. تجريد المسار والاكتفاء بالاسم الأساسي (): استخلاص اسم الملف المجرد وحظر أي مدخلات تحتوي على أو أو .
- 3. التحقق من المسار الحقيقي بعد التحليل (): مطابقة المسار الفعلي النهائي والتأكد برمجياً من أنه يقع حصراً داخل المجلد المسموح قبل قراءة أي ملف.
ملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
تعلّمنا في هذا الدرس أهمية تنظيم ملفات ومجلدات الموقع، ودور المجلد الجذري () وملف البداية ، وقواعد التسمية القياسية بصيغة ، وسبب ظهور أخطاء نتيجة حساسية حالة الأحرف على خوادم لينكس مقارنةً بويندوز وماك، وكيفية كتابة المسارات النسبية ( و) والمسارات الجذرية والمطلقة بالشرطة الأمامية ، وطرق الحماية من ثغرات . الخطوة التالية: انتقل الآن إلى الدرس التالي محررات الأكواد وبيئات التطوير المتكاملة () لنتعرف على البرامج الاحترافية التي تفتح بها مجلد مشروعك وتكتب بداخلها أكواد الويب بكفاءة!