الفرق بين XSS و CSRF للمبتدئين ببساطة

كتير من المبتدئين بيخلطوا بين XSS و CSRF، خصوصًا إن الاتنين ليهم علاقة بالمتصفح
بس الحقيقة إن الفكرة مختلفة تمامًا، وكل واحد ليه أسلوب وتأثير مختلف

ما هي ثغرة XSS (Cross-Site Scripting)؟ ​

XSS هي ثغرة بتسمح للمهاجم إنه:
يشغّل JavaScript جوه صفحة من صفحات الموقع نفسه

XSS بتحصل فين وإزاي؟ ​

بتظهر لما الموقع:

• يعرض مدخلات المستخدم
• من غير Output Encoding صح

زي:

• التعليقات
• البحث
• البروفايل

​

XSS بتعمل إيه؟ ​

لما الكود يشتغل جوه المتصفح، يقدر:

• ينفذ أفعال باسم المستخدم
• يقرأ أو يعدّل DOM
• يسرّب بيانات ظاهرة للمستخدم

كل ده بيحصل من داخل الصفحة نفسها

​

مثال XSS بسيط ​

<script>alert('XSS')</script>

لو الكود ده اتعرض من غير ترميز يبقى الموقع عنده XSS

---

​

ما هو هجوم CSRF (Cross-Site Request Forgery)؟ ​

CSRF هو هجوم بيجبر الضحية وهو مسجّل دخول يبعت طلب للموقع من غير ما ياخد باله

CSRF بينجح ليه؟ ​

لأن المتصفح:

• بيبعت Cookies / Session تلقائيًا
• مع أي طلب للموقع الهدف

السيرفر يشوف الطلب ➜ يصدّق إنه من المستخدم

CSRF بيحقق إيه؟ ​

تنفيذ أفعال باسم الضحية زي:

• تغيير الإيميل
• تعديل إعدادات الحساب
• شراء / حذف / تحويل

ملحوظة مهمة: CSRF غالبًا ينفّذ الفعل لكن مش شرط يقدر يقرأ رد السيرفر

---

​

الفرق بين XSS و CSRF في سطر واحد ​

• XSS ➜ تشغيل كود داخل المتصفح (Code Execution)
• CSRF ➜ تزوير طلب باسم مستخدم موثّق (Request Forgery)

مقارنة سريعة بين XSS و CSRF ​

المقارنة	XSS	CSRF
نوع الهجوم	تشغيل كود	تزوير طلب
مكان التنفيذ	داخل الصفحة	خارج الموقع
يعتمد على Cookies	لا	نعم
قراءة الرد	ممكن	غالبًا لا

​

إزاي نحمي نفسنا من XSS؟ ​

• Output Encoding حسب السياق
  • HTML
  • Attribute
  • JavaScript
• Sanitization للمحتوى الغني
• تفعيل Content Security Policy (CSP)

---

​

إزاي نحمي نفسنا من CSRF؟ ​

• استخدام CSRF Token والتحقق منه
• تفعيل SameSite Cookies
• التحقق من Origin / Referer للطلبات الحساسة

الخلاصة ​

لو فاهم الفرق بين XSS و CSRF إنت كده قطعت خطوة كبيرة في طريق Web Security
وافتكر دايمًا:

• XSS = كود اشتغل جوه الصفحة
• CSRF = طلب اتبعت باسمك