لمن هذه الدورة
- مختبرو الاختراق وصائدو الثغرات الذين يريدون الانتقال من الاختبار بالصندوق الأسود إلى الكود المصدري.
- مهندسو أمن التطبيقات الذين يحتاجون إلى منهجية مراجعة قابلة للتكرار وإلى فرز نتائج أدوات الفحص.
- المطورون الكبار وقادة الفرق التقنية الذين يراجعون طلبات الدمج ويريدون اكتشاف الثغرات قبل الدمج.
ما الذي ستتمكن من فعله
- ترسم خريطة لمستودع لا تعرفه: نقاط الدخول وحدود الثقة والأجزاء التي تستحق وقتك.
- تتتبّع المدخلات غير الموثوقة من المصدر (Source) إلى نقطة الخطر (Sink)، وتفرّق بين الثغرة الحقيقية والإنذار الكاذب من أدوات الفحص.
- تكتشف ثغرات المصادقة والصلاحيات وعزل المستأجرين ومنطق العمل التي تفوت الأدوات.
- تثبت قابلية الاستغلال في مختبر محلي، وتبرّر الخطورة بلغة يقبلها مالك المنتج.
- تعثر على أشكال أخرى من ثغرة معروفة بمقارنة الرقع واستعلامات Semgrep وCodeQL مخصصة.
- تكتب الثغرة بسببها الجذري ودليلها وإصلاحها، وتراجع ما إذا كان الإصلاح المقترح صامدًا.
قبل أن تبدأ
- تقرأ الكود بارتياح بلغة واحدة على الأقل من JavaScript/TypeScript أو PHP أو Java أو Python.
- تعرف HTTP وأصناف ثغرات الويب الشائعة بمستوى OWASP Top 10.
- تستخدم git وDocker وسطر الأوامر. نبدأ بتقييم قصير لمستواك حتى تناسبك الخطة.
المنهج
ثماني وحدات تتبعها خطتك بالترتيب والعمق المناسبين لمستواك: سريعًا فيما تعرفه، وأطول حيث تحتاج.
قراءة قاعدة كود غير مألوفة بعين أمنيةحوّل مستودعًا لم تره من قبل إلى خريطة لما يستطيع المهاجم الوصول إليه.
- نقاط الدخول: المسارات والمتحكمات والمهام الخلفية وwebhooks ومستهلكو الرسائل
- أعراف أُطر العمل التي تخفي التوجيه والبرمجيات الوسيطة
- نموذج تهديد في صفحة واحدة: الأصول والأطراف وحدود الثقة
- توجيه مراجعة محدودة الوقت إلى مواضع الخطر
المصادر ونقاط الخطر وتدفق البياناتتتبّع المدخلات غير الموثوقة حتى الموضع الذي تُحدث فيه الضرر.
- التتبّع اليدوي من المصدر إلى نقطة الخطر، بما فيه التدفقات من الدرجة الثانية
- التحقق والتعقيم والترميز، ومتى يحمي كل منها فعلًا
- نقاط الخطر في SQL والأوامر والقوالب ومسارات الملفات وSSRF وإلغاء التسلسل
- فرز نتائج SAST: تأكيد أو استبعاد أو مزيد من التحقيق
المصادقة والجلساتراجع الكود الذي يقرر من هو المستخدم.
- تدفقات تسجيل الدخول والتسجيل واستعادة كلمة المرور والمصادقة متعددة العوامل
- دورة حياة الرموز والجلسات: الإصدار والتحقق والانتهاء والإلغاء
- أخطاء التحقق من JWT، مع سلسلة رقع fast-jwt حالةً دراسية
- فحوص إعادة التوجيه وstate وaudience في OAuth وOpenID Connect
الصلاحيات وعزل المستأجريناعثر على الفحص الناقص الذي يتيح لعميل الوصول إلى بيانات عميل آخر.
- فحوص مستوى الكائن والوظيفة (BOLA وBFLA وIDOR) في المعالجات والبرمجيات الوسيطة واستعلامات ORM
- الإسناد الجماعي (Mass Assignment)
- تقييد المستأجر في الاستعلامات والذاكرة المؤقتة والمهام الخلفية
- محلّلات GraphQL ونقاط الإدارة
منطق العمل والحالة والتزامناعثر على الكود الذي يكسر القواعد التي يقوم عليها المنتج.
- الثوابت: ما يجب أن يبقى صحيحًا دائمًا، والكود الذي يخالفه
- حالات التسابق في المدفوعات والقسائم والحصص
- الثقة بالأسعار والأدوار والمعرّفات القادمة من العميل
- الحساب: الفيض والاقتطاع وعرض الإزاحة (CVE-2025-37858)
المحلّلات والمنصات وسلسلة التوريدراجع الافتراضات التي يبنيها الكود عن كل ما يحيط به.
- تطبيع المسارات واختلاف المحلّلات (CVE-2026-21589 وCVE-2026-104935)
- فحوص تختفي بعد فشل عملية البحث (CVE-2024-26855)
- حدود العرض من جهة الخادم بعد React2Shell
- الاعتماديات وسكربتات البناء وملفات القفل بعد اختراق حزمة Axios على npm
إثبات قابلية الاستغلال والأثرانتقل من سطر مشبوه إلى ثغرة مؤكدة ومرتبة حسب الأولوية.
- الشروط المسبقة وإمكانية الوصول وتحكّم المهاجم
- إثبات مختصر في مختبر محلي
- تقدير الخطورة بـ CVSS وسياق العمل
- مقارنة الرقع وتحليل الأشكال المشابهة باستخدام Semgrep وCodeQL
الإصلاحات والتقارير والكود المكتوب بالذكاء الاصطناعيأوصل الثغرة إلى إصلاح، واجعله يصمد.
- ثغرات يقبلها المطورون: الموضع والسبب الجذري والدليل والإصلاح
- مراجعة الإصلاح المقترح واختبار الانحدار الخاص به
- إعدادات افتراضية آمنة تُزيل صنفًا كاملًا من الأخطاء
- مراجعة الكود المولَّد بالذكاء الاصطناعي، والتحقق مما تقوله أدوات المراجعة الذكية
العمل التطبيقي
مختبرات التتبّع
مراجعات موجّهة لتطبيقات أعددتها للدورة، تتتبّع فيها المدخلات عبر كود أُطر عمل حقيقية حتى السطر المعرّض للثغرة.
البحث عن الأشكال المشابهة
تبدأ من رقعة منشورة في مشروع مفتوح المصدر، ثم تبحث عن الخطأ نفسه في مواضع أخرى من قاعدة الكود بإصدارها المعرّض للثغرة.
مراجعة الإصلاحات
تحدد ما إذا كان الإصلاح المقترح يُزيل السبب الجذري أم العَرَض المبلَّغ عنه فقط، وتكتب الاختبار الذي يثبت ذلك.
التقييم النهائي
مراجعة تطبيق ويب متعدد المستأجرين
مراجعة محددة بوقت لتطبيق بُني للدورة، مع كوده المصدري ونسخة تعمل منه. تكتب تقرير ثغرات احترافيًا، ونراجعه معًا في جلسة أخيرة.
معايير التقييم
- خريطة تغطية لنقاط الدخول وحدود الثقة
- ثغرات مؤكدة مع الدليل وخطوات إعادة الإنتاج
- سبب جذري صحيح لكل ثغرة
- تقدير للخطورة يستطيع مالك المنتج متابعته
- إصلاحات تُغلق السبب مع اختبار لها
- قلة الإنذارات الكاذبة، مع فصل واضح للأسئلة المفتوحة
ما الذي يميّز هذه الدورة
متدرّب واحد ومدرّب واحد
كل جلسة معي، والخطة تتبع تقدّمك لا جدول صف دراسي.
حالات حقيقية لا مقتطفات تعليمية
تراجع كودًا من ثغرات منشورة، منها ما حلّلته أو أصلحته بنفسي، إلى جانب تطبيقات أعددتها للدورة.
المنهجية قبل الأدوات
تُشرح أدوات الفحص فيما تُجيده، وتتعلم الحكم على نتائجها والعثور على ما لا تستطيع نمذجته.
الأدوات المستخدمة
المعايير والمراجع
- OWASP Code Review Guide
- OWASP Application Security Verification Standard (ASVS)
- OWASP Cheat Sheet Series
- CWE Top 25 Most Dangerous Software Weaknesses
- NIST SP 800-218, Secure Software Development Framework
حالات دراسية يمكنك قراءتها الآن
- fast-jwt: خلط خوارزميات JWT أُصلح من المحاولة الثالثة
- CVE-2026-21589: قراءة ملفات Atlassian المختبئة خلف «::»
- CVE-2024-26855: غياب التحقق من مؤشر في برنامج تشغيل Linux ice
- بعد React2Shell: ثلاثة حدود أمنية لمراجعة مكونات الخادم
أسئلة عن هذه الدورة
ما لغات البرمجة التي أحتاج إليها؟
تستخدم المختبرات TypeScript/Node.js وPHP وJava، مع C لحالات الكود الأصلي. يكفي أن تقرأ إحداها بارتياح؛ فالمنهجية تنتقل بين اللغات، ونتدرب على ذلك.
كم تستغرق الدورة؟
يعتمد ذلك على مستواك عند البداية والوقت المتاح لك بين الجلسات. نتفق على خطة بعد التقييم الأولي ونعدّلها مع تقدّمك.
هل هذه الدورة تحضير لشهادة OSWE؟
لا. تمنح OSWE شهادة في الاستغلال بالصندوق الأبيض عبر امتحان. أما هذه الدورة فتعلّم منهجية المراجعة وتحليل السبب الجذري وجودة الإصلاح، بإشراف شخصي. تتقاطع مهارات كثيرة بينهما، والدورة إعداد جيد لأي عمل بالصندوق الأبيض.
هل أحتاج إلى أداة فحص تجارية؟
لا. كل ما في الدورة يعمل بأدوات مجانية ومفتوحة المصدر.
متى يمكنني البدء؟
أرسل رسالة قصيرة عن مستواك وأهدافك، وسأرد خلال ثلاثة أيام لنحدد مكالمة تقييم مجانية مدتها 20 دقيقة، ثم نتفق على خطتك وموعد البدء.
كم تكلّف الدورة؟
سعر الدورة الواحدة 1,490 دولارًا مقابل نحو 10 جلسات فردية مدة كل منها 90 دقيقة، مع المختبرات ومراجعة التمارين والتقييم النهائي والشهادة. الدورتان معًا بـ2,690 دولارًا، والجلسة المنفردة (90 دقيقة) بـ150 دولارًا. وللمتدربين المقيمين في مصر وبلاد الشام والعراق وشمال أفريقيا سعر إقليمي قدره 790 دولارًا للدورة.
كيف يسير التدريب الفردي؟
نلتقي عبر الإنترنت في جلسات مباشرة. وبين الجلسات تعمل على مختبرات وتمارين أحددها لمستواك، ثم نراجع نتائجك في الجلسة التالية. يتبع الإيقاع تقدّمك، لا جدولًا ثابتًا.
هل يمكنني التعلم بالعربية؟
نعم. تُقدَّم الدورتان بالعربية أو بالإنجليزية، وتحتفظ الجلسات العربية بالمصطلحات الإنجليزية التي ستراها في الأدوات والتقارير وإعلانات الوظائف.
هل يُقدَّم أي جزء من التدريب حضوريًا؟
لا. كل الجلسات والمختبرات والتمارين والملاحظات عبر الإنترنت.
هل أحصل على شهادة؟
تحصل على شهادة إتمام عند اجتياز التقييم النهائي. أصدرها أنا، وهي ليست شهادة مهنية معتمدة مثل OSWE. ما يمكن لصاحب العمل التحقق منه هو العمل نفسه: تقريرك النهائي.
هل التمارين العملية قانونية؟
نعم. يجري كل العمل العملي على تطبيقات أعددتها للدورة وعلى مشاريع مفتوحة المصدر بإصدارات لها تنبيهات أمنية منشورة، وكلها تعمل على جهازك. لن تختبر أي نظام لا تملكه أو لم تحصل على إذن مكتوب باختباره.
ماذا لو احتجت إلى وقت إضافي؟
إذا احتجت إلى جلسات أكثر مما خططنا له، فالجلسة الإضافية بـ150 دولارًا، ونتفق عليها قبل موعدها.
الخطوة التالية
تابع بدورة اختبار اختراق تطبيقات الويب وواجهات API بمساعدة الكود.