خطأ برمجي خطير في بوابات الدفع

كارثة أمنية شفتها بعيني
من فترة، أحد العملاء كلّمني وطلب مني أضيف بوابة الدفع Paymob
لنظام حجوزات جاهز كان شاريه من Codecanyon.
النظام شكله محترم:

• Design حلو
• شغل Plugins
• Payment Gateways
• Documentation
• مبيعات بالهبل

قلت تمام… شغل سهل.
لكن بعد ما قعدت ألف شوية جوّه الكود، فهمت:

• Structure الـ Plugins
• نظام الـ API
• الـ Rules اللي بتسمح تركّب بوابة دفع جديدة

كل ده كان جميل…
لحد ما وصلت للحته اللي حرفيًا خلتني أمسك دماغي

---

​

الكارثة الحقيقية: الثقة في الـ Frontend ​

عملية الدفع في النظام كانت ماشية كده:

$credit = $request->input('credit', 0);
$paymentGateway->process($credit, $payment);

هتقولي:
فين المشكلة؟ الكود عادي أهو…
هقولك:
الكود ده كارثة أمنية مكتملة الأركان
ليه؟
لأن قيمة الدفع جاية من: الـ Frontend
وأي حاجة جاية من الـ Frontend:
لا تُوثق
لا تُصدق
لا تُستخدم في فلوس

---

​

يعني إيه Frontend Value؟ ​

المبرمجين عاملين سعر الخدمة كده في الـ HTML:

<input name="credit" type="hidden" value="1150" />

يعني إيه الكلام ده؟
يعني:

• السعر موجود في Hidden Input
• المستخدم يبعته زي ما هو
• السيرفر يستقبله
• الدفع يتم على أساسه

طب لو المستخدم:

• فتح Inspect Element
• غيّر الرقم
• بقى 1 بدل 1150

يحصل إيه؟

---

​

الاختراق في 5 ثواني ​

من غير:

• برامج
• Tools
• Burp
• SQL Injection
• XSS

كل اللي محتاجه:
Click يمين
Inspect
أغير: value="1150"
لـ: value="1"
Pay
مبروك:

• خدمة بـ 1150 دولار
• اشتريتها بـ 1 دولار

وده اسمه: Business Logic Vulnerability

---

​

ليه دي من أخطر أنواع الثغرات؟ ​

لأن:

• مفيش Error
• مفيش Log
• مفيش Crash
• مفيش Alert

العملية:
ناجحة
فلوس اتدفعت
النظام مبسوط
لكن الحقيقة:
الشركة اتسرقت : ودي ثغرة أخطر من SQL Injection في حالات كتير.

---

الغلطة الشائعة عند المبتدئين ​

ناس كتير لسه بتتعلم بتفكر: طالما input hidden يبقى آمن وده أكبر غلط.
Hidden ≠ Secure
أي حاجة:

• Hidden
• Disabled
• Readonly

المستخدم يقدر:

• يغيرها
• يبعتها
• يلعب فيها

خصوصًا لو فلوس

---

​

القاعدة الذهبية: لا تثق في الـ Frontend أبدًا ​

خدها قاعدة واحفرها في دماغك: الـ Frontend مكان عرض… مش حساب
يعني:

• يعرض السعر
• يعرض التفاصيل
• لكن مبيحسبش
• ومبيقررّش

كل الحسابات الحساسة: لازم Backend فقط

---

​

الحل الصح 100% ​

الطريقة السليمة:

• تباصي ID الخدمة
• تباصي Coupon (لو موجود)
• والباقي كله Backend

مثال صح

Frontend​

<input type="hidden" name="service_id" value="12" />
<input type="hidden" name="coupon" value="SALE10" />

Backend​

$serviceId = $request->input('service_id');
$couponCode = $request->input('coupon');

// جلب الخدمة من الداتابيز
$service = Service::findOrFail($serviceId);

// السعر الحقيقي
$price = $service->price;

// التحقق من الكوبون
if ($couponCode) {
    $coupon = Coupon::where('code', $couponCode)
        ->where('is_active', 1)
        ->first();

    if ($coupon) {
        $price -= $coupon->discount;
    }
}

// هنا فقط يتم الدفع
$paymentGateway->process($price, $payment);

كده:

• السعر من الداتابيز
• الكوبون متحقق منه
• المستخدم مالوش أي سلطة

---

​

Paymob نفسها مش المشكلة ​

خلّينا نكون واضحين:

• Paymob محترمة
• Stripe محترمة
• PayPal محترمة

المشكلة: في الكود اللي قبل بوابة الدفع
أي Gateway:

• هتدفع الرقم اللي انت بعته
• مش هتراجع نيتك

المسؤولية كلها عليك كمبرمج.

---

​

الصدمة الأكبر: النظام عامل مبيعات بالهبل ​

بعد ما شوفت الكود، دخلت أشوف:

• النظام على Codecanyon
• عامل أكتر من 1500 عملية بيع
• سعره 70$

يعني تقريبًا:

• 105,000 دولار
• أكتر من 1,600,000 جنيه مصري

وسايبين ثغرة زي دي؟
سبحان الله…

---

​

هل الثغرة دي منتشرة؟ للأسف أيوه ​

شفتها في:

• أنظمة حجوزات
• أنظمة اشتراكات
• كورسات أونلاين
• Membership Systems
• SaaS صغير

خصوصًا:

• المنتجات الجاهزة
• Scripts الرخيصة
• أنظمة Codecanyon

---

​

نصايح سريعة لأي مبرمج ​

• متحسبش فلوس في Frontend
• متصدقش Hidden Input
• متثقش في JavaScript
• اعتمد على Database
• اعمل Validation
• اعمل Logs
• اختبر Business Logic

---

​

لو انت Pentester أو بتتعلم أمن معلومات ​

الثغرة دي:

• مطلوبة جدًا
• موجودة في الواقع
• سهلة الاكتشاف
• مربحة للمهاجم

دور دايمًا على:

• price
• credit
• amount
• total
• balance

وشوف: جايين منين؟

---

​

الخلاصة: الثغرات مش دايمًا كود معقد ​

مش كل اختراق:

• SQL
• XSS
• RCE

أحيانًا: سطرين كود غلط
يكلفوا الشركة:

• فلوس
• سمعة
• ثقة

خلي بالك… واللي لسه بيتعلم: إوعى تقع في الفخ ده