اختبار اختراق الويب — دروبال (CVE-2018-7600)

النوع: مشروع تدريب | الشركة: BB CyberSec | الفترة: نوفمبر 2024 – يناير 2025

📋 نظرة عامة على المشروع

يوثّق هذا المشروع اختبار اختراق كاملًا تم إجراؤه على تطبيق ويب مبني على دروبال ضمن تدريبي في مجال الأمن السيبراني في BB CyberSec. ركّز التقييم على تحديد واستغلال الثغرة الحرجة CVE-2018-7600 (Drupalgeddon 2)، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد تؤثر على نواة دروبال.

🎯 الأهداف

إجراء تدقيق أمني منظم لتطبيق ويب مبني على دروبال
تحديد الثغرات باستخدام أدوات معيارية في المجال
استغلال CVE-2018-7600 لإظهار الأثر ومدى الخطورة
توثيق النتائج والتوصية بإجراءات أمنية ملموسة

🛠️ الأدوات المستخدمة

الأداة	الغرض
Nmap	فحص الشبكة وتعداد الخدمات
Burp Suite	تحليل حركة مرور تطبيق الويب والاختبار اليدوي
Metasploit	استغلال CVE-2018-7600
Droopescan	اكتشاف إصدار دروبال وتعداد الإضافات
Nikto	ماسح ثغرات خادم الويب

🔍 المنهجية

اتبع اختبار الاختراق المنهجية المعيارية PTES (Penetration Testing Execution Standard) (المعيار القياسي لتنفيذ اختبار الاختراق):

1. الاستطلاع والتعداد

فحص الهدف باستخدام Nmap لتحديد المنافذ المفتوحة والخدمات قيد التشغيل
اكتشاف إصدار دروبال باستخدام Droopescan
تعداد أدلة الويب ونقاط النهاية

2. تحليل الثغرات

تحديد CVE-2018-7600 (Drupalgeddon 2) — وهي ثغرة RCE حرجة (CVSS: 9.8)
تحليل سطح الهجوم باستخدام Burp Suite
فحص نقاط الضعف الإضافية باستخدام Nikto

3. الاستغلال

استخدام وحدة Metasploit exploit/unix/webapp/drupal_drupalgeddon2 لاستغلال CVE-2018-7600
نجح في الحصول على تنفيذ تعليمات برمجية عن بُعد على النظام المستهدف
إظهار إمكانية تصعيد الصلاحيات

4. ما بعد الاستغلال وإعداد التقرير

توثيق جميع النتائج مع تصنيفات الخطورة
تقييم الأثر التجاري لكل ثغرة
اشتقاق توصيات علاجية ملموسة

🚨 تفاصيل الثغرة

✅ النتائج والتوصيات

🛡️ المهارات المُبرزة

Penetration Testing Ethical Hacking Web Application Security Vulnerability Analysis Exploit Development Security Reporting Nmap Metasploit Burp Suite CVE Research

⚠️ إخلاء مسؤولية

أُجري هذا المشروع في بيئة مختبرية خاضعة للتحكم ضمن تدريب مُصرَّح به في BB CyberSec. تم تنفيذ جميع الاختبارات بإذن صريح. التقنيات الموثقة هنا هي لأغراض تعليمية فقط. اختبار الاختراق غير المصرح به غير قانوني.

👤 المؤلف

Erman Bölükbasi — مهندس أمن سيبراني وطالب علوم حاسوب

معرّف الثغرة (CVE ID)	CVE-2018-7600 (Drupalgeddon 2)
درجة CVSS	9.8 (حرجة)
الإصدارات المتأثرة	Drupal < 7.58, < 8.3.9, < 8.4.6, < 8.5.1
نوع الثغرة	تنفيذ التعليمات البرمجية عن بُعد (RCE)
ناقل الهجوم	الشبكة — لا يتطلب مصادقة
الأثر	اختراق كامل للنظام

1	CVE-2018-7600 — RCE بدون مصادقة	🔴 حرجة	تحديث دروبال إلى أحدث إصدار فورًا
2	نواة دروبال قديمة	🔴 حرجة	تطبيق عملية إدارة التصحيحات
3	منافذ مفتوحة غير ضرورية	🟡 متوسطة	تطبيق مبدأ الامتياز الأقل على جدار الحماية
4	ترويسات أمنية مفقودة	🟡 متوسطة	تكوين CSP وHSTS وX-Frame-Options
5	سرد الدلائل مفعّل	🟠 عالية	تعطيل سرد الدلائل على خادم الويب

web-penetration-drupal

الأكثر شعبية