السبب الجذري

يفشل التطبيق في تنقية مدخلات المستخدم بشكل صحيح في حقل السيرة الذاتية قبل تخزينها في قاعدة البيانات وعرضها على صفحة الملف. يتم عرض HTML مباشرة دون ترميز الأحرف الخاصة أو إزالة الوسوم ومعالجات الأحداث الخطرة.

ناقل الهجوم

• نوع الهجوم: XSS مخزنة
• ناقل الإدخال: حقل السيرة الذاتية في ملف المستخدم
• سياق التنفيذ: أي مستخدم يشاهد ملف المهاجم
• المصادقة المطلوبة: نعم (يحتاج المهاجم إلى حساب صالح)

إثبات المفهوم

المتطلبات الأساسية

• نسخة قيد التشغيل من تطبيق FreelanceHub
• متصفح ويب (Chrome، Firefox، Edge، إلخ)
• إمكانية إنشاء حساب مستخدم

إعادة الإنتاج خطوة بخطوة

الخطوة 1: إنشاء حساب جديد

1. انتقل إلى http://localhost:8080/auth
2. سجّل للحصول على حساب مستخدم جديد باستخدام بيانات اعتماد صالحة
3. أكمل عملية التسجيل وسجّل الدخول

الخطوة 2: الانتقال إلى صفحة الملف الشخصي

1. بعد تسجيل الدخول بنجاح، انتقل إلى http://localhost:8080/profile
2. حدد موقع حقل السيرة الذاتية في نموذج تحرير الملف الشخصي

الخطوة 3: حقن حمولة XSS

1. في حقل السيرة الذاتية، أدخل الحمولة التالية:
   root@kitploit:~

الخطوة 4: إرسال النموذج

1. انقر على زر حفظ أو تحديث الملف الشخصي
2. انتظر تأكيد تحديث الملف الشخصي

الخطوة 5: تشغيل XSS

1. قم بزيارة أو إعادة تحميل صفحة الملف الشخصي: http://localhost:8080/profile
2. سيتم تنفيذ مربع تنبيه JavaScript تلقائيًا
3. النتيجة: يتم تنفيذ كود JavaScript بنجاح، مما يؤكد وجود ثغرة XSS المخزنة

السلوك المتوقع

يجب على التطبيق تنقية الإدخال وإما:

• إزالة جميع وسوم HTML من حقل السيرة الذاتية
• ترميز الأحرف الخاصة (<, >, ", '، إلخ)
• تنفيذ ترويسات سياسة أمان المحتوى (CSP)

السلوك الفعلي

يتم تخزين حمولة HTML/JavaScript الخبيثة في قاعدة البيانات وتنفيذها عند عرض صفحة الملف الشخصي، دون أي تنقية أو ترميز.

تقييم الأثر

درجة الخطورة: عالية

درجة CVSS v3.1: 8.1 (عالية)
سلسلة المتجه: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

الأثر في العالم الحقيقي

1. اختطاف الجلسات: يمكن للمهاجمين سرقة رموز الجلسات وانتحال شخصية المستخدمين
2. سرقة بيانات الاعتماد: يمكن للبرامج النصية الخبيثة إنشاء نماذج تسجيل دخول مزيفة لالتقاط بيانات الاعتماد
3. تسريب البيانات: يمكن إرسال بيانات المستخدم الحساسة إلى خوادم يتحكم فيها المهاجم
4. توزيع البرامج الضارة: يمكن إعادة توجيه المستخدمين إلى مواقع ويب خبيثة
5. هجمات التصيد: يمكن استخدام النطاق الموثوق لاستضافة محتوى تصيد مقنع
6. الاستيلاء على الحسابات: بالاقتران مع ثغرات أخرى، يمكن أن يؤدي هذا إلى اختراق كامل للحساب