qazbnm456/awesome-web-security🐶 قائمة منسقة من المواد والموارد حول أمن الويب.
# قائمة رائعة لأمان الويب [](https://github.com/sindresorhus/awesome)
[<img src="https://upload.wikimedia.org/wikipedia/commons/6/61/HTML5_logo_and_wordmark.svg" align="right" width="70">](https://www.w3.org/TR/html5/)
> 🐶 قائمة منسقة من مواد وموارد أمان الويب.
غني عن القول، معظم مواقع الويب تعاني من أنواع مختلفة من الأخطاء التي قد تؤدي في النهاية إلى ثغرات أمنية. لماذا يحدث هذا كثيرًا؟ يمكن أن يكون هناك العديد من العوامل المتضمنة بما في ذلك سوء التكوين، ونقص مهارات الأمان لدى المهندسين، وما إلى ذلك. لمكافحة هذا، إليك قائمة منسقة من مواد وموارد أمان الويب لتعلم أحدث تقنيات الاختراق، وأشجعك بشدة على قراءة هذه المقالة "[So you want to be a web security researcher?](https://portswigger.net/blog/so-you-want-to-be-a-web-security-researcher)" أولاً.
*يرجى قراءة [إرشادات المساهمة](https://github.com/qazbnm456/awesome-web-security/blob/master/CONTRIBUTING.md) قبل المساهمة.*
---
<p align="center"><b>🌈 هل تريد تعزيز مهاراتك في الاختراق؟</b><br>أوصي بلعب بعض <a href="https://github.com/apsdehal/awesome-ctf" target="_blank">awesome-ctf</a>s.</p>
---
إذا أعجبتك هذه القائمة الرائعة وترغب في دعمها، تحقق من صفحتي على [Patreon](https://www.patreon.com/boik) :)<br>أيضًا، لا تنسَ التحقق من [مستودعاتي](https://github.com/qazbnm456) 🐾 أو قل *مرحبًا* على [X (تويتر سابقًا)](https://x.com/boik_su)!
---
### 🤖 هل تستخدم مساعد AI؟
هذه القائمة تأتي أيضًا كمهارة Claude Code Skill حتى يتمكن وكلاء AI من الاستعلام عنها في وقت التشغيل — لا لقطة قديمة، دائمًا تقرأ أحدث `data/index.json` من `master`.
**تثبيت** (سطر واحد، موصى به):```bash
npx skills add qazbnm456/awesome-web-security -a claude-code -g -y
```
أو داخل [Claude Code](https://claude.com/claude-code)، استخدم سوق الإضافات:```text
/plugin marketplace add qazbnm456/awesome-web-security
/plugin install awesome-web-security
```
بالنسبة لـ [Codex](https://github.com/openai/codex)، استبدل `-a claude-code` → `-a codex`.
ثم اطرح أي سؤال عن أمن الويب وسيتم تفعيل المهارة في مواضيع مثل XSS، SQLi، SSRF، JWT، OAuth، الاستطلاع، تجاوز WAF، إلغاء التسلسل، SAML، كتابة CTF، وغيرها. راجع [`skills/awesome-web-security/SKILL.md`](https://github.com/qazbnm456/awesome-web-security/blob/master/skills/awesome-web-security/SKILL.md) للحصول على قائمة التشغيل الكاملة.
## المحتويات
- [الملخصات](#digests)
- [المنتديات](#forums)
- [مقدمة](#intro)
- [XSS](#xss---cross-site-scripting)
- [تلوث النموذج الأولي](#prototype-pollution)
- [حقن CSV](#csv-injection)
- [حقن SQL](#sql-injection)
- [حقن الأوامر](#command-injection)
- [حقن ORM](#orm-injection)
- [حقن FTP](#ftp-injection)
- [XXE](#xxe---xml-external-entity)
- [CSRF](#csrf---cross-site-request-forgery)
- [النقر على الخداع](#clickjacking)
- [SSRF](#ssrf---server-side-request-forgery)
- [تسميم ذاكرة التخزين المؤقت للويب](#web-cache-poisoning)
- [الكتابة فوق المسار النسبي](#relative-path-overwrite)
- [إعادة التوجيه المفتوح](#open-redirect)
- [SAML](#saml)
- [الرفع](#upload)
- [Rails](#rails)
- [AngularJS](#angularjs)
- [ReactJS](#reactjs)
- [SSL/TLS](#ssltls)
- [البريد الإلكتروني للويب](#webmail)
- [NFS](#nfs)
- [AWS](#aws)
- [Azure](#azure)
- [البصمة](#fingerprint)
- [تعداد النطاقات الفرعية](#sub-domain-enumeration)
- [التشفير](#crypto)
- [شيل الويب](#web-shell)
- [OSINT](#osint)
- [إعادة ربط DNS](#dns-rebinding)
- [إلغاء التسلسل](#deserialization)
- [OAuth](#oauth)
- [JWT](#jwt)
- [طرق التجاوز](#evasions)
- [XXE](#evasions-xxe)
- [CSP](#evasions-csp)
- [WAF](#evasions-waf)
- [JSMVC](#evasions-jsmvc)
- [المصادقة](#evasions-authentication)
- [الحيل](#tricks)
- [CSRF](#tricks-csrf)
- [النقر على الخداع](#tricks-clickjacking)
- [تنفيذ الأوامر عن بعد](#tricks-rce)
- [XSS](#tricks-xss)
- [حقن SQL](#tricks-sql-injection)
- [حقن NoSQL](#tricks-nosql-injection)
- [حقن FTP](#tricks-ftp-injection)
- [XXE](#tricks-xxe)
- [SSRF](#tricks-ssrf)
- [تسميم ذاكرة التخزين المؤقت للويب](#tricks-web-cache-poisoning)
- [حقن الرؤوس](#tricks-header-injection)
- [URL](#tricks-url)
- [إلغاء التسلسل](#tricks-deserialization)
- [OAuth](#tricks-oauth)
- [أخرى](#tricks-others)
- [استغلال المتصفح](#browser-exploitation)
- [PoCs](#pocs)
- [قاعدة البيانات](#pocs-database)
- [أوراق الغش](#cheetsheets)
- [الأدوات](#tools)
- [التدقيق](#tools-auditing)
- [حقن الأوامر](#tools-command-injection)
- [الاستطلاع](#tools-reconnaissance)
- [OSINT](#tools-osint)
- [تعداد النطاقات الفرعية](#tools-sub-domain-enumeration)
- [توليد الكود](#tools-code-generating)
- [التلغيم](#tools-fuzzing)
- [المسح](#tools-scanning)
- [اختبار الاختراق](#tools-penetration-testing)
- [الهجومي](#tools-offensive)
- [XSS](#tools-xss)
- [حقن SQL](#tools-sql-injection)
- [حقن القوالب](#tools-template-injection)
- [XXE](#tools-xxe)
- [CSRF](#tools-csrf)
- [SSRF](#tools-ssrf)
- [التسريب](#tools-leaking)
- [الكشف](#tools-detecting)
- [المنع](#tools-preventing)
- [الوكيل](#tools-proxy)
- [شيل الويب](#tools-webshell)
- [مفكك التجميع](#tools-disassembler)
- [مفكك الكود](#tools-decompiler)
- [إعادة ربط DNS](#tools-dns-rebinding)
- [أخرى](#tools-others)
- [قاعدة بيانات الهندسة الاجتماعية](#social-engineering-database)
- [المدونات](#blogs)
- [مستخدمي تويتر](#twitter-users)
- [الممارسات](#practices)
- [التطبيق](#practices-application)
- [AWS](#practices-aws)
- [XSS](#practices-xss)
- [ModSecurity / مجموعة القواعد الأساسية لـ OWASP ModSecurity](#practices-modsecurity)
- [المجتمع](#community)
- [متنوع](#miscellaneous)
## الملخصات
- [CTF Field Guide](https://trailofbits.github.io/ctf/) - كتب بواسطة [Trail of Bits](https://www.trailofbits.com/).
- [Hacker101](https://www.hacker101.com/) - كتب بواسطة [hackerone](https://www.hackerone.com/start-hacking).
- [Infosec Newbie](https://www.sneakymonkey.net/2017/04/23/infosec-newbie/) - كتب بواسطة [Mark Robinson](https://www.sneakymonkey.net/).
- [PayloadsAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings/) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
- [The Daily Swig - Web security digest](https://portswigger.net/daily-swig) - كتب بواسطة [PortSwigger](https://portswigger.net/).
- [The Magic of Learning](https://bitvijays.github.io/) - كتب بواسطة [@bitvijays](https://bitvijays.github.io/aboutme.html).
- [Web Application Security Zone by Netsparker](https://www.netsparker.com/blog/web-security/) - كتب بواسطة [Netsparker](https://www.netsparker.com/).
- [tl;dr sec](https://tldrsec.com/) - ملخص أسبوعي لأفضل أدوات الأمان ومنشورات المدونات والأبحاث الأمنية.
## المنتديات
- [Dark Reading](https://www.darkreading.com/Default.asp) - ربط مجتمع أمن المعلومات.
- [HackDig](http://en.hackdig.com/) - تنقيب عن مقالات عالية الجودة في أمن الويب للمخترقين.
- [Phrack Magazine](http://www.phrack.org/) - مجلة إلكترونية كتبها وللمخترقين.
- [Security Weekly](https://securityweekly.com/) - شبكة البودكاست الأمنية.
- [The Hacker News](https://thehackernews.com/) - الأمن بطريقة جادة.
- [The Register](http://www.theregister.co.uk/) - تعض اليد التي تطعم تكنولوجيا المعلومات.
<a name="intro"></a>
## مقدمة
<a name="xss"></a>
### XSS - Cross-Site Scripting (البرمجة النصية عبر المواقع)
- [C.XSS Guide](https://excess-xss.com/) - كتب بواسطة [@JakobKallin](https://github.com/JakobKallin) و [Irene Lobo Valbuena](https://www.linkedin.com/in/irenelobovalbuena/).
- [Cross-Site Scripting – Application Security – Google](https://www.google.com/intl/sw/about/appsecurity/learning/xss/) - كتب بواسطة [Google](https://www.google.com/).
- [H5SC](https://github.com/cure53/H5SC) - كتب بواسطة [@cure53](https://github.com/cure53).
- [THE BIG BAD WOLF - XSS AND MAINTAINING ACCESS](http://www.paulosyibelo.com/2018/06/the-big-bad-wolf-xss-and-maintaining.html) - كتب بواسطة [Paulos Yibelo](http://www.paulosyibelo.com/).
- [AwesomeXSS](https://github.com/s0md3v/AwesomeXSS) - كتب بواسطة [@s0md3v](https://github.com/s0md3v).
- [XSS.png](https://github.com/LucaBongiorni/XSS.png) - كتب بواسطة @jackmasa.
- [PayloadsAllTheThings - حقن XSS](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
- [payloadbox/xss-payload-list](https://github.com/payloadbox/xss-payload-list) - كتب بواسطة [@payloadbox](https://github.com/payloadbox).
- [Laravel Content Security Policy: Complete Implementation Guide](https://blog.shakiltech.com/laravel-content-security-policy-guide/) - دليل عملي لتطبيق سياسة أمان المحتوى في Laravel — دورة حياة nonce، التكامل مع Vite و Livewire، تقارير الانتهاك، وقائمة التحقق قبل التطبيق، بواسطة [@itxshakil](https://github.com/itxshakil).
<a name="prototype-pollution"></a>
### تلوث النموذج الأولي (Prototype Pollution)
- [Prototype pollution attack in NodeJS application](https://github.com/HoLyVieR/prototype-pollution-nsec18/blob/master/paper/JavaScript_prototype_pollution_attack_in_NodeJS.pdf) - كتب بواسطة [@HoLyVieR](https://github.com/HoLyVieR).
- [Real-world JS - 1](https://blog.p6.is/Real-World-JS-1/) - كتب بواسطة [@po6ix](https://twitter.com/po6ix).
- [Exploiting prototype pollution – RCE in Kibana (CVE-2019-7609)](https://research.securitum.com/prototype-pollution-rce-kibana-cve-2019-7609/) - كتب بواسطة [@securitymb](https://twitter.com/securitymb).
<a name="csv-injection"></a>
### حقن CSV
- [CSV Injection -> Meterpreter on Pornhub](https://news.webamooz.com/wp-content/uploads/bot/offsecmag/147.pdf) - كتب بواسطة [Andy](https://blog.zsec.uk/).
- [The Absurdly Underestimated Dangers of CSV Injection](http://georgemauer.net/2017/10/07/csv-injection.html) - كتب بواسطة [George Mauer](http://georgemauer.net/).
- [PayloadsAllTheThings - حقن CSV](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/CSV%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="sql-injection"></a>
### حقن SQL
- [SQL Injection Cheat Sheet](https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/) - كتب بواسطة [@netsparker](https://twitter.com/netsparker).
- [SQL Injection Pocket Reference](https://websec.ca/kb/sql_injection) - كتب بواسطة [@LightOS](https://twitter.com/LightOS).
- [SQL Injection Wiki](https://sqlwiki.netspi.com/) - كتب بواسطة [NETSPI](https://www.netspi.com/).
- [PayloadsAllTheThings - حقن SQL](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/SQL%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
- [payloadbox/sql-injection-payload-list](https://github.com/payloadbox/sql-injection-payload-list) - كتب بواسطة [@payloadbox](https://github.com/payloadbox).
<a name="command-injection"></a>
### حقن الأوامر
- [Potential command injection in resolv.rb](https://github.com/ruby/ruby/pull/1777) - كتب بواسطة [@drigg3r](https://github.com/drigg3r).
- [PayloadsAllTheThings - حقن الأوامر](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Command%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
- [payloadbox/command-injection-payload-list](https://github.com/payloadbox/command-injection-payload-list) - كتب بواسطة [@payloadbox](https://github.com/payloadbox).
<a name="orm-injection"></a>
### حقن ORM
- [HQL : Hyperinsane Query Language (or how to access the whole SQL API within a HQL injection ?)](https://www.synacktiv.com/ressources/hql2sql_sstic_2015_en.pdf) - كتب بواسطة [@_m0bius](https://twitter.com/_m0bius).
- [HQL for pentesters](http://blog.h3xstream.com/2014/02/hql-for-pentesters.html) - كتب بواسطة [@h3xstream](https://twitter.com/h3xstream/).
- [ORM Injection](https://www.slideshare.net/simone.onofri/orm-injection) - كتب بواسطة [Simone Onofri](https://onofri.org/).
- [ORM2Pwn: Exploiting injections in Hibernate ORM](https://www.slideshare.net/0ang3el/orm2pwn-exploiting-injections-in-hibernate-orm) - كتب بواسطة [Mikhail Egorov](https://0ang3el.blogspot.tw/).
<a name="ftp-injection"></a>
### حقن FTP
- [Advisory: Java/Python FTP Injections Allow for Firewall Bypass](http://blog.blindspotsecurity.com/2017/02/advisory-javapython-ftp-injections.html) - كتب بواسطة [Timothy Morgan](https://plus.google.com/105917618099766831589).
- [SMTP over XXE − how to send emails using Java's XML parser](https://shiftordie.de/blog/2017/02/18/smtp-over-xxe/) - كتب بواسطة [Alexander Klink](https://shiftordie.de/).
<a name="xxe"></a>
### XXE - الكيان الخارجي XML
- [XXE](https://phonexicum.github.io/infosec/xxe.html) - كتب بواسطة [@phonexicum](https://twitter.com/phonexicum).
- [PayloadsAllTheThings - حقن XXE](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XXE%20Injection) - كتب بواسطة مساهمين مختلفين.
- [XML external entity (XXE) injection](https://portswigger.net/web-security/xxe) - كتب بواسطة [portswigger](https://portswigger.net/).
- [XML Schema, DTD, and Entity Attacks](https://www.vsecurity.com/download/publications/XMLDTDEntityAttacks.pdf) - كتب بواسطة [Timothy D. Morgan](https://twitter.com/ecbftw) و Omar Al Ibrahim.
- [payloadbox/xxe-injection-payload-list](https://github.com/payloadbox/xxe-injection-payload-list) - كتب بواسطة [@payloadbox](https://github.com/payloadbox).
<a name="csrf"></a>
### CSRF - تزوير الطلب عبر المواقع
- [Wiping Out CSRF](https://medium.com/@jrozner/wiping-out-csrf-ded97ae7e83f) - كتب بواسطة [@jrozner](https://medium.com/@jrozner).
- [PayloadsAllTheThings - حقن CSRF](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/CSRF%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="clickjacking"></a>
### النقر على الخداع (Clickjacking)
- [Clickjacking](https://www.imperva.com/learn/application-security/clickjacking/) - كتب بواسطة [Imperva](https://www.imperva.com/).
- [X-Frame-Options: All about Clickjacking?](https://github.com/cure53/Publications/blob/master/xfo-clickjacking.pdf?raw=true) - كتب بواسطة [Mario Heiderich](http://www.slideshare.net/x00mario).
<a name="ssrf"></a>
### SSRF - تزوير الطلب من جانب الخادم
- [SSRF bible. Cheatsheet](https://docs.google.com/document/d/1v1TkWZtrhzRLy0bYXBcdLUedXGb9njTNIJXa3u9akHM/edit) - كتب بواسطة [Wallarm](https://wallarm.com/).
- [PayloadsAllTheThings - تزوير الطلب من جانب الخادم](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Request%20Forgery) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="web-cache-poisoning"></a>
### تسميم ذاكرة التخزين المؤقت للويب
- [Practical Web Cache Poisoning](https://portswigger.net/blog/practical-web-cache-poisoning) - كتب بواسطة [@albinowax](https://twitter.com/albinowax).
- [PayloadsAllTheThings - خداع ذاكرة التخزين المؤقت للويب](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Web%20Cache%20Deception) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="relative-path-overwrite"></a>
### الكتابة فوق المسار النسبي
- [Large-scale analysis of style injection by relative path overwrite](https://blog.acolyer.org/2018/05/28/large-scale-analysis-of-style-injection-by-relative-path-overwrite/) - كتب بواسطة [The Morning Paper](https://blog.acolyer.org/).
- [MBSD Technical Whitepaper - A few RPO exploitation techniques](https://www.mbsd.jp/Whitepaper/rpo.pdf) - كتب بواسطة [Mitsui Bussan Secure Directions, Inc.](https://www.mbsd.jp/).
<a name="open-redirect"></a>
### إعادة التوجيه المفتوح
- [Open Redirect Vulnerability](https://s0cket7.com/open-redirect-vulnerability/) - كتب بواسطة [s0cket7](https://s0cket7.com/).
- [PayloadsAllTheThings - إعادة التوجيه المفتوح](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Open%20Redirect) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
- [payloadbox/open-redirect-payload-list](https://github.com/payloadbox/open-redirect-payload-list) - كتب بواسطة [@payloadbox](https://github.com/payloadbox).
<a name="saml"></a>
### لغة تأكيد الأمان القابلة للتوسع (SAML)
- [How to Hunt Bugs in SAML; a Methodology - Part I](https://epi052.gitlab.io/notes-to-self/blog/2019-03-07-how-to-test-saml-a-methodology/) - كتب بواسطة [epi](https://epi052.gitlab.io/notes-to-self/).
- [How to Hunt Bugs in SAML; a Methodology - Part II](https://epi052.gitlab.io/notes-to-self/blog/2019-03-13-how-to-test-saml-a-methodology-part-two/) - كتب بواسطة [epi](https://epi052.gitlab.io/notes-to-self/).
- [How to Hunt Bugs in SAML; a Methodology - Part III](https://epi052.gitlab.io/notes-to-self/blog/2019-03-16-how-to-test-saml-a-methodology-part-three/) - كتب بواسطة [epi](https://epi052.gitlab.io/notes-to-self/).
- [PayloadsAllTheThings - حقن SAML](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/SAML%20Injection) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="upload"></a>
### الرفع
- [File Upload Restrictions Bypass](https://www.exploit-db.com/docs/english/45074-file-upload-restrictions-bypass.pdf) - كتب بواسطة [Haboob Team](https://www.exploit-db.com/author/?a=9381).
- [PayloadsAllTheThings - رفع الملفات غير الآمنة](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Upload%20Insecure%20Files) - كتب بواسطة [@swisskyrepo](https://github.com/swisskyrepo).
<a name="rails"></a>
### Rails
- [Rails Security - First part](https://hackmd.io/s/SkuTVw5O-) - كتب بواسطة [@qazbnm456](https://github.com/qazbnm456).
- [Official Rails Security Guide](http://guides.rubyonrails.org/security.html) - كتب بواسطة [فريق Rails](https://rubyonrails.org/).
- [Rails SQL Injection](https://rails-sqli.org) - كتب بواسطة [@presidentbeef](https://github.com/presidentbeef).
- [Zen Rails Security Checklist](https://github.com/brunofacca/zen-rails-security-checklist) - كتب بواسطة [@brunofacca](https://github.com/brunofacca).
<a name="angularjs"></a>
### AngularJS
- [DOM based Angular sandbox escapes](http://blog.portswigger.net/2017/05/dom-based-angularjs-sandbox-escapes.html) - كتب بواسطة [@garethheyes](https://twitter.com/garethheyes).
- [XSS without HTML: Client-Side Template Injection with AngularJS](http://blog.portswigger.net/2016/01/xss-without-html-client-side-template.html) - كتب بواسطة [Gareth Heyes](https://www.blogger.com/profile/10856178524811553475).
<a name="reactjs"></a>
### ReactJS
- [XSS via a spoofed React element](http://danlec.com/blog/xss-via-a-spoofed-react-element) - كتب بواسطة [Daniel LeCheminant](http://danlec.com/).
<a name="ssl-tls"></a>
### SSL/TLS
- [SSL & TLS Penetration Testing](https://www.aptive.co.uk/blog/tls-ssl-security-testing/) - كتب بواسطة [APTIVE](https://www.aptive.co.uk/).
- [Practical introduction to SSL/TLS](https://github.com/Hakky54/mutual-tls-ssl) - كتب بواسطة [@Hakky54](https://github.com/Hakky54).
<a name="webmail"></a>
### البريد الإلكتروني للويب
- [Why mail() is dangerous in PHP](https://blog.ripstech.com/2017/why-mail-is-dangerous-in-php/) - كتب بواسطة [Robin Peraglie](https://www.ripstech.com/).
<a name="nfs"></a>
### NFS
- [NFS | PENETRATION TESTING ACADEMY](https://pentestacademy.wordpress.com/2017/09/20/nfs/?t=1&cn=ZmxleGlibGVfcmVjc18y&refsrc=email&iid=b34422ce15164e99a193fea0ccc7a02f&uid=1959680352&nid=244+289476616) - كتب بواسطة [PENETRATION ACADEMY](https://pentestacademy.wordpress.com/).
<a name="aws"></a>
### AWS
- [PENETRATION TESTING AWS STORAGE: KICKING THE S3 BUCKET](https://rhinosecuritylabs.com/penetration-testing/penetration-testing-aws-storage/) - كتب بواسطة Dwight Hohnstein من [Rhino Security Labs](https://rhinosecuritylabs.com/).
- [AWS PENETRATION TESTING PART 1. S3 BUCKETS](https://www.virtuesecurity.com/aws-penetration-testing-part-1-s3-buckets/) - كتب بواسطة [VirtueSecurity](https://www.virtuesecurity.com/).
- [AWS PENETRATION TESTING PART 2. S3, IAM, EC2](https://www.virtuesecurity.com/aws-penetration-testing-part-2-s3-iam-ec2/) - كتب بواسطة [VirtueSecurity](https://www.virtuesecurity.com/).
- [Misadventures in AWS](https://labs.f-secure.com/blog/misadventures-in-aws) - كتب بواسطة Christian Demko.
<a name="azure"></a>
### Azure
- [Cloud Security Risks (Part 1): Azure CSV Injection Vulnerability](https://rhinosecuritylabs.com/azure/cloud-security-risks-part-1-azure-csv-injection-vulnerability/) - كتب بواسطة [@spengietz](https://twitter.com/spengietz).
- [Common Azure Security Vulnerabilities and Misconfigurations](https://rhinosecuritylabs.com/cloud-security/common-azure-security-vulnerabilities/) - كتب بواسطة [@rhinobenjamin](https://twitter.com/rhinobenjamin).
<a name="fingerprint"></a>
### البصمة
<a name="sub-domain-enumeration"></a>
### تعداد النطاقات الفرعية
- [A penetration tester’s guide to sub-domain enumeration](https://blog.appsecco.com/a-penetration-testers-guide-to-sub-domain-enumeration-7d842d5570f6) - كتب بواسطة [Bharath](https://blog.appsecco.com/@yamakira_).
- [The Art of Subdomain Enumeration](https://blog.sweepatic.com/art-of-subdomain-enumeration/) - كتب بواسطة [Patrik Hudak](https://blog.sweepatic.com/author/patrik/).
<a name="crypto"></a>
### التشفير
- [Applied Crypto Hardening](https://bettercrypto.org/) - كتب بواسطة [فريق bettercrypto.org](https://bettercrypto.org/).
- [What is a Side-Channel Attack ?](https://www.csoonline.com/article/3388647/what-is-a-side-channel-attack-how-these-end-runs-around-encryption-put-everyone-at-risk.html) - كتب بواسطة [J.M Porup](https://www.csoonline.com/author/J.M.-Porup/).
<a name="web-shell"></a>
### شيل الويب
- [Hacking with JSP Shells](https://blog.netspi.com/hacking-with-jsp-shells/) - كتب بواسطة [@_nullbind](https://twitter.com/_nullbind).
- [Hunting for Web Shells](https://www.tenable.com/blog/hunting-for-web-shells) - كتب بواسطة [Jacob Baines](https://www.tenable.com/profile/jacob-baines).
<a name="osint"></a>
### OSINT- [اختراق عمال تعدين العملات المشفرة باستخدام تقنيات OSINT](https://medium.com/@s3yfullah/hacking-cryptocurrency-miners-with-osint-techniques-677bbb3e0157) - بقلم [@s3yfullah](https://medium.com/@s3yfullah).
- [ورشة عمل OSINT x UCCU حول الاستخبارات مفتوحة المصدر](https://www.slideshare.net/miaoski/osint-x-uccu-workshop-on-open-source-intelligence) - بقلم [Philippe Lin](https://www.slideshare.net/miaoski).
- [102 غوص عميق في الويب المظلم على طريقة OSINT مع Kirby Plessas](https://www.youtube.com/watch?v=fzd3zkAI_o4) - قدمها [@kirbstr](https://twitter.com/kirbstr).
- [الدليل الأكثر اكتمالاً للعثور على بريد أي شخص الإلكتروني](https://www.blurbiz.io/blog/the-most-complete-guide-to-finding-anyones-email) - بقلم [Timur Daudpota](https://www.blurbiz.io/).
<a name="dns-rebinding"></a>
### إعادة ربط DNS
- [مهاجمة الشبكات الخاصة من الإنترنت عبر إعادة ربط DNS](https://medium.com/@brannondorsey/attacking-private-networks-from-the-internet-with-dns-rebinding-ea7098a2d325) - بقلم [@brannondorsey](https://medium.com/@brannondorsey).
- [اختراق أجهزة التوجيه المنزلية من الإنترنت](https://medium.com/@radekk/hackers-can-get-access-to-your-home-router-1ddadd12a7a7) - بقلم [@radekk](https://medium.com/@radekk).
<a name="deserialization"></a>
### إلغاء التسلسل
- [ما القاسم المشترك بين WebLogic وWebSphere وJBoss وJenkins وOpenNMS وتطبيقك؟ هذه الثغرة.](https://foxglovesecurity.com/2015/11/06/what-do-weblogic-websphere-jboss-jenkins-opennms-and-your-application-have-in-common-this-vulnerability/) - بقلم [@breenmachine](https://twitter.com/breenmachine).
- [NET Roulette: استغلال إلغاء التسلسل غير الآمن في Telerik UI](https://www.youtube.com/watch?v=--6PiuvBGAU) - بقلم [@noperator](https://twitter.com/noperator).
- [مهاجمة إلغاء التسلسل في .NET](https://www.youtube.com/watch?v=eDfGpu3iE4Q) - بقلم [@pwntester](https://twitter.com/pwntester).
- [كيفية استغلال إلغاء تسلسل ملفات تعريف الارتباط في DotNetNuke](https://pentest-tools.com/blog/exploit-dotnetnuke-cookie-deserialization/) - بقلم [كريستيان كورنيا](https://pentest-tools.com/blog/author/pentest-cristian/).
- [كيفية استغلال CVE-2020-7961 في Liferay: رحلة سريعة إلى إثبات المفهوم](https://www.synacktiv.com/en/publications/how-to-exploit-liferay-cve-2020-7961-quick-journey-to-poc.html) - بقلم [@synacktiv](https://twitter.com/synacktiv).
<a name="oauth"></a>
### OAuth
- [ما الذي يحدث مع OAuth 2.0؟ ولماذا لا يجب استخدامه للمصادقة.](https://medium.com/securing/what-is-going-on-with-oauth-2-0-and-why-you-should-not-use-it-for-authentication-5f47597b2611) - بقلم [@damianrusinek](https://medium.com/@damianrusinek).
- [مقدمة إلى OAuth 2.0 وOpenID Connect](https://pragmaticwebsecurity.com/courses/introduction-oauth-oidc.html) - بقلم [@PhilippeDeRyck](https://twitter.com/PhilippeDeRyck).
<a name="jwt"></a>
### JWT
- [الأسرار المضمنة في الكود، والرموز غير الموثقة، وأخطاء JWT الشائعة الأخرى](https://r2c.dev/blog/2020/hardcoded-secrets-unverified-tokens-and-other-common-jwt-mistakes/) - بقلم [@ermil0v](https://twitter.com/ermil0v).
## التهرب
<a name="evasions-xxe"></a>
### XXE
- [تجاوز إصلاح OOB XXE باستخدام ترميز مختلف](https://twitter.com/SpiderSec/status/1191375472690528256) - بقلم [@SpiderSec](https://twitter.com/SpiderSec).
<a name="evasions-csp"></a>
### CSP
- [CSP: تجاوز form-action باستخدام XSS منعكسة](https://labs.detectify.com/2016/04/04/csp-bypassing-form-action-with-reflected-xss/) - بقلم [مختبرات Detectify](https://labs.detectify.com/).
- [تويتر XSS + تجاوز CSP](http://www.paulosyibelo.com/2017/05/twitter-xss-csp-bypass.html) - بقلم [Paulos Yibelo](http://www.paulosyibelo.com/).
- [تجاوز CSP بأناقة](https://lab.wallarm.com/how-to-trick-csp-in-letting-you-run-whatever-you-want-73cb5ff428aa) - بقلم [Wallarm](https://wallarm.com/).
- [التهرب من CSP باستخدام علامات معلقة قائمة على DOM](https://portswigger.net/blog/evading-csp-with-dom-based-dangling-markup) - بقلم [portswigger](https://portswigger.net/).
- [رحلة CSP في GitHub](https://githubengineering.com/githubs-csp-journey/) - بقلم [@ptoomey3](https://github.com/ptoomey3).
- [رحلة ما بعد CSP في GitHub](https://githubengineering.com/githubs-post-csp-journey/) - بقلم [@ptoomey3](https://github.com/ptoomey3).
- [هل هناك أي حماية ضد الاستيراد الديناميكي للوحدات؟](https://github.com/w3c/webappsec-csp/issues/243) - بقلم [@shhnjk](https://twitter.com/@shhnjk).
<a name="evasions-waf"></a>
### WAF
- [Airbnb – عند تجاوز تشفير JSON ومرشح XSS وWAF وCSP والمدقق يتحول إلى ثماني ثغرات](https://buer.haus/2017/03/08/airbnb-when-bypassing-json-encoding-xss-filter-waf-csp-and-auditor-turns-into-eight-vulnerabilities/) - بقلم [@Brett Buerhaus](https://twitter.com/bbuerhaus).
- [كيفية تجاوز libinjection في العديد من WAF/NGWAF](https://medium.com/@d0znpp/how-to-bypass-libinjection-in-many-waf-ngwaf-1e2513453c0f) - بقلم [@d0znpp](https://medium.com/@d0znpp).
- [تقنيات التهرب من جدران الحماية لتطبيقات الويب (WAF)](https://medium.com/secjuice/waf-evasion-techniques-718026d693d8) - بقلم [@secjuice](https://twitter.com/secjuice).
- [تقنيات التهرب من جدران الحماية لتطبيقات الويب (WAF) #2](https://medium.com/secjuice/web-application-firewall-waf-evasion-techniques-2-125995f3e7b0) - بقلم [@secjuice](https://twitter.com/secjuice).
<a name="evasions-jsmvc"></a>
### JSMVC
- [JavaScript MVC وأطر القوالب](http://www.slideshare.net/x00mario/jsmvcomfg-to-sternly-look-at-javascript-mvc-and-templating-frameworks) - بقلم [Mario Heiderich](http://www.slideshare.net/x00mario).
<a name="evasions-authentication"></a>
### المصادقة
- [Trend Micro Threat Discovery Appliance - تجاوز المصادقة عن طريق إنشاء الجلسة (CVE-2016-8584)](http://blog.malerisch.net/2017/04/trend-micro-threat-discovery-appliance-session-generation-authentication-bypass-cve-2016-8584.html) - بقلم [@malerisch](https://twitter.com/malerisch) و [@steventseeley](https://twitter.com/steventseeley).
## الحيل
<a name="tricks-csrf"></a>
### CSRF
- [استغلال CSRF على نقاط نهاية JSON باستخدام Flash وعمليات إعادة التوجيه](https://blog.appsecco.com/exploiting-csrf-on-json-endpoints-with-flash-and-redirects-681d4ad6b31b) - بقلم [@riyazwalikar](https://blog.appsecco.com/@riyazwalikar).
- [حيل أنيقة لتجاوز حماية CSRF](https://zhuanlan.zhihu.com/p/32716181) - بقلم [Twosecurity](https://twosecurity.io/).
- [سرقة رموز CSRF بواسطة حقن CSS (بدون iFrames)](https://github.com/dxa4481/cssInjection) - بقلم [@dxa4481](https://github.com/dxa4481).
- [كسر مولد الأرقام العشوائية في Java من أجل CSRF - Javax Faces ولماذا تعتبر عشوائية رمز CSRF مهمة](https://blog.securityevaluators.com/cracking-javas-rng-for-csrf-ea9cacd231d2) - بقلم [@rramgattie](https://blog.securityevaluators.com/@rramgattie).
- [إذا كان HttpOnly فلا يزال بإمكانك CSRF… بفضل CORS يمكنك ذلك!](https://medium.com/@_graphx/if-httponly-you-could-still-csrf-of-cors-you-can-5d7ee2c7443) - بقلم [@GraphX](https://twitter.com/GraphX).
<a name="tricks-clickjacking"></a>
### Clickjacking
---
[Read more](https://github.com/qazbnm456/awesome-web-security)