يربط هذا المستند كل هجوم (www-community) وكل Cheat Sheet (CheatSheetSeries) من OWASP بفئة أمنية، مع رابط كل منها إلى صفحته العامة المرجعية. وداخل الفئة، تتشارك العناصر المتكافئة سطرًا واحدًا في قائمة التحقق: الهجمات و cheat sheets التي تعالج الخطر نفسه تُسرد معًا، مفصولة بفواصل. أما العناصر التي لا نظير مباشرًا لها فتأتي كل منها في سطر خاص.
- الفضل لـ OWASP. توجد الهجمات في
https://owasp.org/www-community/attacks/<attack>وتوجد cheat sheets فيhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. الحقن (عام)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. حقن SQL وقواعد البيانات
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. حقن أوامر نظام التشغيل
- Command Injection, OS Command Injection Defense (interpreter)
4. حقن LDAP و XPath و XML
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) و Clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. إعادة التوجيه والتمرير
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. التحكم في الوصول والتفويض
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. المصادقة وبيانات الاعتماد
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. إدارة الجلسات
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. الهوية الموحّدة (OAuth و SAML و JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. التشفير وأمان النقل
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Path Traversal والتعامل مع الملفات
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. إساءة استخدام بروتوكول HTTP (الترويسات، والتخزين المؤقت، والتقسيم)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (موزّع على: browser و transport و http-request و access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. الترميز وانتحال المحتوى
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. حقن CSV وجداول البيانات
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. حجب الخدمة
20. أمان الذاكرة والكود الأصلي
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. الكود المتنقل وتنفيذ الكود غير الموثوق
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. إلغاء التسلسل
- Deserialization (موزّع على: python و ruby و php و java و dotnet)
23. البرمجيات الخبيثة وتهديدات جهة العميل
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. التسجيل، والإنكار، ومعالجة الأخطاء
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. منطق الأعمال وإساءة استخدام الوظائف
لا يملك منطق الأعمال وإساءة استخدام الوظائف سطحًا واحدًا في الكود يدافع عنه تخصص خاص بسطح بعينه: فالدفاع تصميم خاص بالتطبيق، وهو الاستدلال نفسه الذي تقوده نمذجة التهديدات في المشروع. نُقل إلى "خارج النطاق".
26. أمن الذكاء الاصطناعي و LLM والوكلاء
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Prototype Pollution والتسريبات عبر المواقع
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. أطر العمل ومنصات اللغات
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. واجهة الويب الأمامية والمتصفح
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (موزّع على: access-control و browser)
30. واجهات API والخدمات
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. السحابة والحاويات والبنية التحتية
إعدادات الحاويات وأحمال العمل إعدادات ككود يشحنها المطوّر مع التطبيق (Dockerfile، و Compose، و securityContext الخاص بـ Pod)، وهي سطح حقيقي يُصلحه harden ويُثبته verify، لذلك هي ضمن النطاق. أما إدارة العنقود (RBAC، و etcd، وخادم API، و admission، وتقسيم الشبكة) فهي مجال المشغّل وتبقى خارج النطاق.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: جزء workload/Pod. وتبقى إدارة العنقود خارج النطاق)
- Serverless / FaaS Security (serverless)
32. سلسلة التوريد و CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. الأسرار والإعدادات
إدارة الأسرار مسألة تشغيلية: الخزائن، و CI/CD، وإعدادات السحابة، والتدوير. والجانب الوحيد على مستوى الكود (سر مكتوب مباشرة في المصدر) فحص حتمي، لا تخصص مخاطر. نُقل إلى "خارج النطاق".
34. العمليات والتصميم والحوكمة
حماية خصوصية المستخدم مسألة سياسات وتصميم (تقليل البيانات، والشفافية، والاحتفاظ)، لا سطح في الكود يدافع عنه تخصص. نُقل إلى "خارج النطاق".
35. المدفوعات والامتثال
36. الأنظمة المدمجة و IoT والمجالات المتخصصة
أمن السيارات والطائرات المسيّرة من مجالات الأنظمة المدمجة (ناقل CAN، وتحديثات البرامج الثابتة OTA، وسلامة المستشعرات والاتصال اللاسلكي، والوصول المادي)، لا من كود تطبيقات web/API الذي يدقّقه Lagune. نُقل إلى "خارج النطاق".
خارج النطاق (لا سطح في الكود)
هذه ليست ميادين للتخصصات ولا تحمل مربع اختيار: إنها حوكمة، أو عمليات، أو تحصين تشغيلي، أو استخدام لأطر عمل لا سطح واحدًا لها في الكود يدافع عنه تخصص خاص بسطح بعينه. قيمتها الأمنية حقيقية، لكنها تكمن في العمليات والبنية (أو، بالنسبة لإطار العمل، في المهارة الخاصة بتلك اللغة)، لا في دفاع يأتي به هذا الكتالوج. مسرودة للرجوع إليها، لا كعمل.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (تضخيم SOAP/WS-Addressing، وهو نوع تشغيلي من DoS لا سطح له في الكود)
- Cash Overflow
- Spyware, Trojan Horse (برمجيات خبيثة لدى المستخدم النهائي، لا سطح في كود المشروع المدقَّق. وجانب التوصيل داخل المتصفح موجود في
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (تصميم ومقايضات: IAM مقابل عناوين URL الموقّعة، و VPCs من نوع public/private، وحدود الثقة، والمسؤولية المشتركة. وعلى عكس
container، لا يملك إعدادات ملموسة يفحصها تخصص) - Infrastructure as Code Security (رغم اسمه، هو عمليات SDLC وأدوات لإدارة IaC: إضافات IDE، والتحليل الثابت، وفحص الصور، و CI/CD، والتوقيع. ولا يقدّم تحويلًا من نمط غير آمن إلى شكل آمن في ملف Terraform/CloudFormation)
- Kubernetes Security (جزء إدارة العنقود فقط: RBAC، و etcd، وخادم API، و admission. أما جزء workload/Pod فهو ضمن النطاق تحت
container) - Network Segmentation (بنية الشبكة وسياسة جدار الحماية)
- Subdomain Takeover Prevention (دورة حياة DNS ومراقبتها، لا كود)
- Secrets Management (الخزائن، و CI/CD، والتدوير. وجانب السر المكتوب في الكود فحص حتمي، لا تخصص مخاطر)
- C-Based Toolchain Hardening (خيارات المترجم والرابط والبناء، دون نقطة sink في المصدر)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (إعداد معالج الأخطاء العام لكل تقنية. والتسريب هو الإفصاح نفسه الذي تحكمه معالجة الأخطاء بالفعل)
- Abuse of Functionality, Business Logic Security, Abuse Case (historical) (تصميم خاص بالتطبيق، دون نقطة sink واحدة في الكود)
- User Privacy Protection (تقليل البيانات، والشفافية، وسياسة الاحتفاظ)
- Top 10 Automotive Security Vulnerabilities, Drone Security (مجالات الأنظمة المدمجة: ناقل CAN، وتحديثات OTA، وسلامة sensor/radio، لا كود web/API)
- Mobile Application Security (تحصين منصتي Android/iOS: التخزين، والقياسات الحيوية، والتثبيت، و PII. لا سطح واحدًا له في الكود، وانتقل جانب تحميل الكود غير الموثوق إلى
interpreter) - Threat Modeling, Threat Modeling (community page)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology