لمن هذه الدورة
- مختبرو الاختراق المبتدئون والمتوسطون الذين يريدون منهجية بمستوى المهام الاحترافية لا قائمة حمولات.
- صائدو الثغرات (Bug Bounty) الذين يريدون فهم سبب وجود الثغرة والإبلاغ عنها بأثرها الحقيقي.
- المطورون ومهندسو أمن التطبيقات الذين يختبرون تطبيقات شركاتهم.
ما الذي ستتمكن من فعله
- تحدد نطاق اختبار الويب أو API بتفويض مكتوب وقواعد اشتباك وخطة اختبار.
- ترسم سطح الهجوم من التطبيق وهو يعمل ومن كوده المصدري معًا.
- تكتشف ثغرات المصادقة والتحكم في الوصول وعزل المستأجرين وتؤكدها بمنهجية قابلة للتكرار.
- تستغل ثغرات جهة الخادم وجهة المتصفح في المختبر، وتختار إثباتات آمنة للأنظمة الحية.
- تختبر منطق العمل وحالات التسابق التي لا تستطيع أدوات الفحص الآلي نمذجتها.
- تكتب تقريرًا يوضح الأثر والدليل والمعالجة، ثم تتحقق من الإصلاح على نسخة مُصلَحة.
قبل أن تبدأ
- تفهم HTTP وملفات تعريف الارتباط والترويسات وطريقة عمل تطبيقات الويب وواجهات API.
- استخدمت Burp Suite أو Caido وحللت بعض مختبرات أمن الويب، مثل مختبرات PortSwigger Web Security Academy.
- تستطيع قراءة بعض الكود والعمل على Linux وDocker. نبدأ بتقييم قصير لمستواك.
المنهج
ثماني وحدات بترتيب المهمة الحقيقية، مكيّفة على مستواك.
أساسيات المهمةاتفق على ما يحق لك اختباره وكيف، قبل أن ترسل أي طلب.
- التفويض المكتوب وقواعد الاشتباك
- تحديد نطاق التطبيقات وواجهات API والبيئات والحسابات والأدوار
- خطة اختبار مربوطة بـ OWASP WSTG وASVS
- التعامل الآمن مع الأدلة والبيانات الشخصية
الاستطلاع ورسم سطح الهجوماعثر على كل مدخل، من الخارج ومن الكود.
- الزحف مقارنةً بالمسارات التي يعرّفها الكود المصدري
- مواصفات OpenAPI ومخططات GraphQL وحزم JavaScript
- مصفوفة الأدوار مقابل نقاط النهاية
- اختيار ما يُختبر أولًا
اختبار المصادقة والجلساتاختبر كيف يقرر التطبيق من أنت.
- تسجيل الدخول والمصادقة متعددة العوامل واستعادة كلمة المرور وإدارة الجلسات
- ثغرات JWT وOAuth وOpenID Connect
- سلاسل الاستيلاء على الحسابات
- تأكيد السبب في الكود
التحكم في الوصول وتعدد المستأجرينأثبت ما إذا كان مستخدم يستطيع الوصول إلى بيانات مستخدم آخر أو وظائفه.
- منهجية الحسابين لاختبار BOLA وIDOR وBFLA
- تصعيد الصلاحيات والخروج من حدود المستأجر
- فحوص صلاحيات شبه آلية
- قراءة الفحص الناقص في الكود المصدري
الحقن وتزوير الطلبات من جهة الخادماستغل الخادم، واعرف إلى أي حد تذهب على نظام حي.
- حقن SQL والأوامر والقوالب
- SSRF واجتياز المسارات وXXE وإلغاء التسلسل غير الآمن
- رفع الملفات وإساءة استخدام المحلّلات
- الإثبات الآمن في بيئة الإنتاج مقارنةً بالاستغلال الكامل في المختبر
ثغرات جهة المتصفحاختبر ما يتيحه التطبيق للمهاجم داخل متصفح الضحية.
- XSS بحسب السياق، وما تمنعه CSP وما لا تمنعه
- CSRF وCORS وClickjacking
- postMessage والتوجيه من جهة العميل
- إظهار الأثر بمسؤولية
منطق العمل وحالات التسابق وإساءة استخدام APIاكسر قواعد المنتج، لا محلّله فقط.
- إساءة استخدام سير العمل والحالة
- حالات التسابق في الحدود والأرصدة والقسائم
- الإسناد الجماعي وحدود المعدّل وwebhooks
- قائمة OWASP API Security Top 10 عمليًا
الأثر والتقرير وإعادة الاختبارحوّل الثغرات إلى قرارات، ثم تأكد من الإصلاحات.
- ربط الثغرات وبيان الأثر الحقيقي
- تقدير الخطورة بـ CVSS v4.0 وسياق العمل
- أدلة قابلة لإعادة الإنتاج وملخص تنفيذي
- التحقق من المعالجة على نسخة مُصلَحة
العمل التطبيقي
مختبرات الوحدات
مختبرات على تطبيقات أعددتها للدورة مع كودها المصدري، لتؤكد كل ثغرة عند سببها.
تمارين الحسابين
تمارين قابلة للتكرار في اختبار التحكم في الوصول وعزل المستأجرين، وهو المجال الذي تخفق فيه التطبيقات الحقيقية أكثر من غيره.
عيادات التقارير
تمارين كتابة قصيرة تحوّل الملاحظات الخام إلى بنود تقرير يستطيع المطور والمدير التصرف بناءً عليها.
التقييم النهائي
مهمة كاملة من النطاق إلى إعادة الاختبار
اختبار محدد بوقت لتطبيق SaaS متعدد الأدوار بُني للدورة، مع إتاحة الكود. تكتب النطاق وخطة الاختبار، وتختبر، وتكتب التقرير، ثم تعيد اختبار نسخة مُصلَحة. ونراجع تقريرك معًا.
معايير التقييم
- نطاق وخطة اختبار متوافقان مع قواعد الاشتباك
- تغطية المصادقة والتحكم في الوصول ومنطق العمل
- ثغرات مؤكدة قابلة لإعادة الإنتاج مع تقدير سليم للخطورة
- إثباتات آمنة ومتناسبة
- تقرير يستطيع المطور والمدير التصرف بناءً عليه
- إعادة اختبار دقيقة للإصلاحات
ما الذي يميّز هذه الدورة
متدرّب واحد ومدرّب واحد
تختبر وأنا معك، وتبدأ كل جلسة مما وجدته منذ الجلسة السابقة.
الصندوق الأسود والأبيض معًا
تختبر التطبيق وهو يعمل وتؤكد كل ثغرة في كودها المصدري، وهكذا تميّز الثغرة الحقيقية من المصادفة.
مهمة كاملة
يُدرَّس تحديد النطاق والتقرير وإعادة الاختبار ويُقيَّم كل منها إلى جانب الاستغلال، مع ثغرات CVE حديثة حلّلتها حالاتٍ دراسية.
الأدوات المستخدمة
المعايير والمراجع
- OWASP Web Security Testing Guide (WSTG)
- OWASP API Security Top 10
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-115, Technical Guide to Information Security Testing
- FIRST CVSS v4.0
حالات دراسية يمكنك قراءتها الآن
- CVE-2026-104935: Ivanti تثق بالترويسة لا بالرابط
- CVE-2026-85097: ثغرة رفع الملفات في Bricksforge
- مراجعة أمان الشيفرة أم اختبار اختراق: أيهما يحتاج إليه منتجك؟
أسئلة عن هذه الدورة
هل هذه دورة اختراق أخلاقي للمبتدئين؟
لا. تفترض الدورة أنك تعرف أساسيات أمن الويب. إن كنت تبدأ من الصفر، فالموارد المجانية مثل PortSwigger Web Security Academy هي الخطوة الأولى المناسبة، ويوضح التقييم الأولي ما إذا كنت مستعدًا لهذه الدورة.
كم تستغرق الدورة؟
يعتمد ذلك على مستواك عند البداية والوقت المتاح لك بين الجلسات. نتفق على خطة بعد التقييم الأولي ونعدّلها مع تقدّمك.
هل أحتاج إلى Burp Suite Professional؟
لا. تعمل المختبرات مع Burp Suite Community أو Caido، وحيثما توفّر ميزة في النسخة الاحترافية الوقت، أعرض عليك بديلًا مجانيًا.
هل تغطي الدورة الشبكات أو Active Directory؟
لا. تركّز الدورة على تطبيقات الويب وواجهات API، وهو المجال الذي أعمل فيه بنفسي.
متى يمكنني البدء؟
أرسل رسالة قصيرة عن مستواك وأهدافك، وسأرد خلال ثلاثة أيام لنحدد مكالمة تقييم مجانية مدتها 20 دقيقة، ثم نتفق على خطتك وموعد البدء.
كم تكلّف الدورة؟
سعر الدورة الواحدة 1,490 دولارًا مقابل نحو 10 جلسات فردية مدة كل منها 90 دقيقة، مع المختبرات ومراجعة التمارين والتقييم النهائي والشهادة. الدورتان معًا بـ2,690 دولارًا، والجلسة المنفردة (90 دقيقة) بـ150 دولارًا. وللمتدربين المقيمين في مصر وبلاد الشام والعراق وشمال أفريقيا سعر إقليمي قدره 790 دولارًا للدورة.
كيف يسير التدريب الفردي؟
نلتقي عبر الإنترنت في جلسات مباشرة. وبين الجلسات تعمل على مختبرات وتمارين أحددها لمستواك، ثم نراجع نتائجك في الجلسة التالية. يتبع الإيقاع تقدّمك، لا جدولًا ثابتًا.
هل يمكنني التعلم بالعربية؟
نعم. تُقدَّم الدورتان بالعربية أو بالإنجليزية، وتحتفظ الجلسات العربية بالمصطلحات الإنجليزية التي ستراها في الأدوات والتقارير وإعلانات الوظائف.
هل يُقدَّم أي جزء من التدريب حضوريًا؟
لا. كل الجلسات والمختبرات والتمارين والملاحظات عبر الإنترنت.
هل أحصل على شهادة؟
تحصل على شهادة إتمام عند اجتياز التقييم النهائي. أصدرها أنا، وهي ليست شهادة مهنية معتمدة مثل OSWE. ما يمكن لصاحب العمل التحقق منه هو العمل نفسه: تقريرك النهائي.
هل التمارين العملية قانونية؟
نعم. يجري كل العمل العملي على تطبيقات أعددتها للدورة وعلى مشاريع مفتوحة المصدر بإصدارات لها تنبيهات أمنية منشورة، وكلها تعمل على جهازك. لن تختبر أي نظام لا تملكه أو لم تحصل على إذن مكتوب باختباره.
ماذا لو احتجت إلى وقت إضافي؟
إذا احتجت إلى جلسات أكثر مما خططنا له، فالجلسة الإضافية بـ150 دولارًا، ونتفق عليها قبل موعدها.
الخطوة التالية
عمّق جانب الكود بدورة مراجعة الكود الأمني.