إزاي بتتكشف ثغرات المواقع؟ دليل عملي مبتدئين!

المقدمة - تحذير صغير قبل ما نبدأ
أكتشاف ثغرات في أجهزة باناسونيك، وكتير سألوك: إزاي الناس بتطلع ثغرات في شركات كبيرة؟
الحكاية مش دايمًا إن الشخص عبقري - الموضوع ليه طرق وأدوات وسياسات.

البوست ده هيشرحلك الفكرة بشكل بسيط، هتتعرف على الفرق بين Bug Bounty وVulnerability Disclosure Programs (VDP)، هتشوف أدوات الفحص، وإزاي تقيم قيمة الثغرة لو لقيتها - وكل ده بلغة بسيطة وقريبة.

إيه هي برامج الإفصاح عن الثغرات (VDP) وBug Bounty؟ ​

• برنامج الإفصاح عن الثغرات (VDP): دي سياسة بتعملها الشركات علشان الناس تبلغهم عن ثغرات بطريقة قانونية وآمنة. الفكرة إن الباحث يبلغ عن الثغرة، والشركة تتعامل معاها وتصلّحها. في كتير من الـ VDPs مفيش دفع فلوس - ممكن الباحث ياخد شهادة تقدير أو يُكتب اسمه في صفحة Hall of Fame على موقع الشركة.
• Bug Bounty: هنا الموضوع مختلف - الشركات أو منصات وسيطة (زي HackerOne, Bugcrowd) بتعرض مكافآت مادية مقابل ثغرات محددة بحسب خطورتها. يعني لو لقيت ثغرة شديدة الخطورة (مثلاً P1) ممكن تاخد مبلغ محترم.

ليه الشركات بتعمل السياسات دي؟ ​

الشركات الكبيرة مش دائمًا تقدر تلاقي كل الثغرات بنفسها، ومفيش حاجة أحسن من إن في ناس برا بتحاول وتبلغك. بدل ما الهاكر يستغل الثغرة ويرّوجها، هما بيشجعوا البلاغ الأخلاقي عشان يحافظوا على سمعة الخدمة ويقفلوا الثغرات بدري.

هل كل واحد يبقى هاكر ويستنى فلوس؟ ولا لأ؟ ​

لا مش كل واحد هيكسب. في منصات الكشف عن الثغرات بيصنفوا التقارير من P1 لحد P5:

• P1–P4: ممكن تاخد مكافأة حسب السياسة.
• P5 أو ثغرات ضعيفة جدًا: ساعات مجرد شكر أو ذكر بالاسم، وممكن مكافآت رمزية أو حتى لا شيء.

كمان في شركات (خصوصًا اللي بتطبق VDP) مش هيدفعوا فلوس أصلاً - هما بس بيقدّروا المجهود وبيكتبوا اسمك في صفحة الشكر.

مين اللي بيلاقي الثغرات؟ هل لازم يكون عبقري؟ ​

مش شرط. في حاجات كتير بتبقى نتيجة:

1. أدوات فحص أوتوماتيكيّة: فيه سكريبتات وبرامج بتلف على الموقع وتدور على حاجات متكررة: صفحات خطأ، header مفقود، حقول تقدر تدخل فيها SQL، الخ. الشركات نفسها بتستخدم الأدوات دي علشان تفحص مواقعها.
   مثال أوامر بسيطة:
   # مثال لفحص بسيط بـ nmap لاكتشاف خدمات على السيرفر
   nmap -sV example.com
   # مثال لاستخدام sqlmap لفحص نقطة قابلة لـ SQL injection
   sqlmap -u "http://example.com/page?id=1" --batch
2. باحثين يدويين: الناس اللي عندهم خبرة بيلاقوا حاجات مش بتظهر في الفحص الآلي - context-specific bugs، wrong business logic، authorization issues.
3. الصدفة أو متابعة تغييرات الكود في المواقع المفتوحة.

يعني مش شرط تكون عبقري - ممكن تستخدم أدوات وتتعلم الخطوات الصح.

ليه كتير من الناس بتتبهر من اللي بيشاركوا الثغرات على السوشيال؟ ​

اللي بتحس بيه إن الناس "بتجيب كم ثغرة" ممكن يكون مش عيشة فعلية. كثير من الثغرات بتبقى ضعيفة: مثلاً header ناقص أو autocomplete مفعّل للـ password - شركات كتير بتقبل البلاغات دي لأنها ما بتدفع فلوس، فكل مجهود يُحتسب حتى لو مش خطير. المثال بتاع وزارة الدفاع الأمريكي عنده آلاف بلاغ سنويًا - ده معناه إنهم شجعوا الناس تبلغ مش إن موقعهم ضعيف.

ازاي تميز الثغرة المهمة عن الضعيفة؟ ​

• هل بتخترق بيانات؟ لو بتسمح بالوصول لبيانات حساسة → مهمة.
• هل تسمح بتنفيذ كود عن بُعد؟ → مهمة جدًا.
• هل بتأثر على الخدمة بالكامل (DoS)؟ → مهمة.
• هل مجرد ملاحظة تصفح غير آمن أو header ناقص؟ → ضعيفة أو متوسطة.

خطوات عملية لو لقيت ثغرة وعايز تبلغ بأمان ​

1. اقرأ سياسة الشركة (VDP / Bug Bounty) - اعرف هل بيتقبلوا تقارير خارجية وبيدفعوا فلوس ولا لأ.
2. جهّز دليل بسيط: خطوات إعادة الإنتاج (repro steps)، سكريenshots، HTTP requests لو موجودة.
3. ابعت بلاغ محترم ومهذب - مش تهديد ولا دعوة للتشهير.
4. منتظرش مكافأة - تقبل إن ممكن مجرد شكر أو لا شيء.

مثال عملي: إيه اللي ممكن تحطه في تقرير؟ (نموذج قصير) ​

الملخص:
- موقع: example.com
- الوصف: صفحة تسجيل بتقبل password autocomplete = on
- التأثير: إمكانية كشف كلمات المرور على أجهزة مشتركة
- خطوات إعادة الإنتاج:
1. افتح example.com/register
2. شوف حقل password في الـ form
3. autocomplete attribute = "on"
- التوصية: إضافة attribute autocomplete="off" لحقل الباسورد

أدوات مشهورة بتساعد الباحثين (مذكورة عشان تتعلم تستخدمها) ​

• HackerOne و Bugcrowd: منصات للـ Bug Bounty.
• sqlmap: لفحص SQL injection.
• nmap: مسح خدمات الشبكة.
• Burp Suite: بروكسي وتحليل طلبات الويب - أداة أساسية للباحثين.
• OpenVAS / Nessus: ماسحات ثغرات احترافية.

الخلاصة - متنبهرش من الكم، ركّز على القيمة ​

لو شايف حد على السوشيال بيعرض آلاف الثغرات - مش لازم يكون أستاذ. معظم الثغرات ممكن تكون بسيطة ومُبلّغ عنها كتير. الشركات الكبيرة بتشجّع البلاغ الأخلاقي عشان يبقى في مراقبة شعبية للمشاكل، ومش معناه إن الموقع ضعيف. لو عايز تتعلم المجال:

• ابدأ بالأدوات الأساسية.
• اتعلم تفرق بين اللي خطير واللي ضعيف.
• احترم سياسات الإفصاح القانونية وبلغ بشكل مهذب.
• متستناش فلوس دايمًا - الخبرة والسمعة أهم.