وهيب الحميري ᴡᴀʜᴇᴇʙ ᴀʟ-ʜɪᴍʏᴀʀɪ

افضل مسار لتعلم الأمن السيبراني.

‎
‎

استكشاف ثغرات تطبيقات سطح المكتب، منهجية تحليلية لاختبار أمان:

🖥 Thick Client Applications 🖥

عندما نتحدث عن اختبار الاختراق، غالبًا ما يتبادر إلى الذهن تطبيقات الويب والخوادم، لكن هناك عالم موازٍ يُغفل عنه كثيرًا، تطبيقات سطح المكتب (Thick Clients)، هذه التطبيقات التي تعمل مباشرة على أجهزة المستخدمين تمثل ساحة معركة أمنية فريدة، حيث يفقد المطورون السيطرة الكاملة على بيئة التنفيذ.

فهم الأساسيات والفرق بين Thin و Thick Client:

1️⃣ الـ Thin Client:
يعتمد بشكل كامل على الخادم في معالجة البيانات والمنطق البرمجي، المتصفح هنا مجرد واجهة عرض، مثل تطبيقات الويب ك Gmail.

2️⃣ الـ Thick Client:
ينفذ جزءًا كبيرًا من المنطق البرمجي ومعالجة البيانات محليًا على جهاز المستخدم، ويتواصل مع الخادم للحصول على البيانات أو تخزينها أمثلة: Adobe Photoshop المتصل بالإنترنت، تطبيقات البنوك.

💥 المشكلة الجوهرية: المطور لا يتحكم في البيئة التي سيعمل عليها التطبيق، مما يفتح أبوابًا واسعة للثغرات الأمنية.

منهجية الاختبار، ثلاث طبقات رئيسية:

1_التحليل الثابت (Static Analysis):
الهدف هنا فهم البنية الداخلية للتطبيق دون تشغيله.
أدوات التفكيك الأساسية:
تطبيقات .NET: استخدم dnSpy لتحويل ملفات EXE إلى كود C # قابل للقراءة.
تطبيقات Java: أداة JD-GUI هي الخيار الأمثل.
تطبيقات C/C++ : Ghidra أو IDA Pro لتفكيك الكود إلى Assembly.

🧐 ما نبحث عنه:
مفاتيح API وكلمات المرور المخزنة في الكود (Hardcoded Secrets).
منطق المصادقة والتحقق من الهوية.
خوارزميات التشفير المخصصة الضعيفة.
معلومات حساسة في ملفات التكوين (XML, JSON, Config).

2_ التحليل الديناميكي (Runtime Analysis):

💥هنا نراقب سلوك التطبيق أثناء عمله الفعلي.

اعتراض الاتصالات (Network Interception):
التحدي أن تطبيقات سطح المكتب لا تثق بوكلاء النظام افتراضيًا، الحل يكمن في استخدام أدوات مثل Burp Suite أو Proxifier لإجبار كل حركة المرور على المرور عبر أداة الاعتراض.

🧐 نبحث عن:
اتصالات HTTP غير مشفرة.
ضعف التحقق من شهادات الخادم.
إمكانية التلاعب بالبارامترات (Parameter Tampering).

2️⃣ التلاعب بالذاكرة:
باستخدام Cheat Engine يمكننا مسح ذاكرة التطبيق والبحث عن قيم محددة (أرصدة، نقاط، صلاحيات) ثم تعديلها مباشرة لاختبار ما إذا كان التطبيق يعتمد على التحقق المحلي أم من الخادم.

3️⃣ حقن المكتبات (DLL Injection):
تقنية متقدمة لحقن كود خاص داخل مساحة عمل التطبيق لتجاوز آليات الحماية أو سرقة البيانات من الذاكرة.

3️⃣ اختبار جانب الخادم:
حتى مع تأمين التطبيق نفسه، يجب التأكد من أن الخادم لا يثق عمياً في الطلبات الواردة، نختبر هنا:
✅ SQL Injection.
✅ API Abuse.
✅ Privilege Escalation.
✅ Broken Access Control.
🔥 مثال عملي:
تطبيق إدارة مشاريع للشركات:
السيناريو:
1️⃣ التحليل الثابت (dnSpy): وجدنا دالة validateLicense() تتحقق من صلاحية الترخيص محليًا فقط.
2️⃣ فحص الملفات: اكتشفنا ملف license.config يحتوي على نوع الترخيص وتاريخ انتهائه.
3️⃣ التلاعب: عدّلنا نوع الترخيص من Trial إلى Enterprise
4️⃣ اعتراض الاتصالات: لاحظنا إرسال بارامتر role=viewer عند إنشاء مشروع
5️⃣ رفع الصلاحيات: غيّرنا البارامتر إلى role=admin
6️⃣ النتيجة: الخادم منحنا صلاحيات المدير دون التحقق!

⚠️ الثغرات المكتشفة:
🔴 Client-Side License Validation.
🔴 Insecure Direct Object Reference (IDOR).
🔴 Missing Server-Side Authorization.

الخلاصة:
اختبار اختراق تطبيقات سطح المكتب يتطلب مهارات متعددة تجمع بين الهندسة العكسية وتحليل الشبكات واختبار تطبيقات الويب، المفتاح هو فهم أن التطبيق يعمل في بيئة معادية محتملة "جهاز المستخدم" وأن أي بيانات أو منطق موجود محليًا يمكن التلاعب به.

لو تذاكر، أو تشتغل على مشروع، أو حتى تقرأ كتابًا 📚
في أداة من Google اسمها NotebookLM لازم تجربها!!

تلخّص لك الملفات، تسوي خرائط ذهنية، تعمل شروحات فيديو، تقارير، اختبارات، بودكاست، وحتى ترد على أسئلتك من نفس الملف! 🤯

باختصار: مساعد ذكي يخلي شغلك ومذاكرتك أسهل وأسرع 👏🏻💪🏻

🔗 https://notebooklm.google/

داخل تتعلم برمجة في أمان الله
الهندي اللي يقابلك على اليوتيوب:

دليلك السريع لتنظيف كودك الفظيع ✔️

انا ما بقولك كيف تكتب Clean code لكن بديك أدوات تعلي من جوده كودك وتنضف كودك شويه تخليه مقري أكثر علشان السباجيتي ذا مش عاجب حد ولا عاجبك أنت نفسك 😆

عندك في كذا أداه مشهوره تشغلها ع الكود عندك وهى تنضفه من حاجه ما وفي الأخر بقولك كيف تخلي الموضوع بشكل أوتوماتيك على الـGit عندك.
بديك الأسامي وأنت أبحث وحملها بس كلهم بيتحملوا عن طريق pip عادي:

👈 أداه isort
بترتب الـimports تبعك وتصنفهم لثلاث تصنيفات ورا بعض بحيث يبقى المكتبات اللي جايه مع البايثون في البدايه بعدها المكتبات الخارجيه بعدها أي import داخلي أنت عامله لملفات المشروع عندك وكذا كذا ذا الترتيب الصح اللي المفروض تستخدمه دايما

👈 أداه autoflake
بتمسح الـimports والمتغيرات الغير مستخدمه من الكود تبعك

👈 أداه pylint
أداه مشهوره قديمه بتنضفلك حاجات كتير أو بشكل عام بتعملك linting يعني

👈 أداه pyupgrade
لو أنت كاتب كود قديم شويه فا الأداه ذي بتغير طريقه كتابه الكود تبعك بحيث يستخدم أحدث حاجه زي مثلا أنه يغير طريقه الـformatting القديمه بالـf-strings وهكذا

👈 أداه black
أداه قديمه مشهوره جدا ه
بتغير شكل كودك وتحافظ على ستايل واحد دايما للملفات كلها. بتبقى مفيده جدا لتوحيد ستايل الكود لما يكون أكتر من حد شغال على نفس المشروع و كل واحد بيكتب الكود بطريقته.

👈 أدوات pydocstyle/interrogate/darglint
لو أنت عامل doc strings للدوال عندك فا الأدوات ذي بتشيك عليهم وتقولك لو في مشاكل وتقولك أيه الأجزاء اللي من الكود عندك ملهاش documentation وتقولك لو في documentation غير متطابقه مع الكود

👈 أداه ruff
أداه جديده عظيمه جدا مبنيه بـRust بتستبدل عشرات الأدوات المشهوره منهم كل اللي أنا شرحتهم فوق لكن بتستغل سرعه Rust أنها تعمل كذا بسرعه جدا!

👈 أداه bandit😍محبوبة عندي
أشهر أداه linter تعرفك لو في أي مشاكل سيكيورتي في كودك أو حاجه المفروض تعملها بشكل تاني علشان تبقى أمن أكتر

👈 أداه vermin
تقدر تقلها أنت تريد الكود تباعك يدعم أصدار أيش على الأقل من البايثون وهى بتشيك على الكود كله وتقلك لو في مشاكل تخليه مايدعمش الأصدار ده زي مثلا match case اللي مدعومه من أول أصدار 3.10 وأنت طالع

👈 أداه pyright/mypy
لو انت تكتب بالكود حقك Type annotations علشان الكود يطلع مفهوم أكثر والـautocompletion يشتغل تمام، استخدم لك أداة من هذولا، زي pyright أو mypy، عشان يخلوك تكره حياتك لما تكتشف أي غلطة صغيرة في الكود، خصوصاً pyright، هذا ما يرحمش 😅.
بس عاد في أداة جديدة طالعة، شكلها بتنافسهم، اسمها ty، من نفس الشركة اللي سوت ruff و uv، بس لسه الأداة في طور النمو.

👈 أداه vulture
تعرفك أيش الأجزاء اللي مش مستخدمه في الكود عندك بحيث تقدر تمسحها بأمان

✍️ كيف أعمل الكلام ذا بشكل أوتوماتيك؟

عندك طريقتين:

👈 الطريقه الأولى أنك تنزلها كا أضافات عندك على الـIDE/Editor اللي بتستخدمه سواء PyCharm/VS Code أو غيره فا أغلب الكلام اللي فوق ذا معموله أضافات ليهم تخليها شغاله أوتوماتيك معاك طول الوقت وأنت بتكتب

👈 الطريقه التانيه أنك تستخدم pre-commit
هذي أداه مشهوره جدا بتعمل هوك على الـGit عندك بتخليك قبل ما تعمل push أنك تشغل hooks للأدوات اللي فوق ذي وغيره أنها تشتغل ومابتقدر تعمل push غير لو كل الـhooks قالت تمام

تثبيتها بسيط جدا وبعدها بتعمل ملف config بتكتب فيه الـhooks تبعك وكل حد بيستخدم الريبو ذي يعمل عنده pre-commit install ونفس الـhooks بتتثبت عنده.

انتهى زمن الأعذار يا طلاب!
الكورسات الإنجليزية ما عاد هم … لأن CyberSub معك 😎

برنامج سطح مكتب يترجم اي فيديو ، يطلّع لك النص بدقة ويترجمه لأي لغة تريدها —والأجمل؟
شغال بدون إنترنت في الاستخراج… فقط ترجمة النص مايخذ حتى 1 ميجاء

CyberSub
لأنك تستحق تتعلم بدون ما تتعذب 💛

رابط التحميل:
https://t.me/SyberSc71/3992

مرحباً أصدقائي! 👋 التحديث الجديد تم حل مشاكل التطبيق ليس مثبٱ

هل سئمت من تطبيقات الدردشة الروبوتية المملة؟ 🤔 هل تحتاج إلى مساعدة في فهم صورك بشكل أعمق؟ 👀

دعني أقدم لكم CYBER AI، تطبيق الذكاء الاصطناعي الجديد الذي سيغير نظرتكم للترفيه والتحليل! 🤩

مع CYBER AI، ستحصلون على:

• دردشة ممتعة ومسلية: سأتحدث معكم بطريقة طبيعية وممتعة، وكأنكم تتحدثون مع صديق مقرب. سأشارككم النكات، وأجيب على أسئلتكم بمرح، وأساعدكم على قضاء وقت ممتع. 😄

• تحليل صور دقيق: هل لديكم صور تحتاجون لفهمها بشكل أفضل؟ CYBER AI سيحللها بدقة عالية، ويساعدكم على استخراج المعلومات المهمة منها. 📸

أنا سايبر، بوت تليجرام يمني من صنع ، ويسرني أن أكون صديقكم الجديد في عالم الذكاء الاصطناعي. ❤️ سأكون هنا لمساعدتكم في كل ما تحتاجونه، بإجابات ذكية وواقعية، وبروح مرحة. 😉

جربوا CYBER AI الآن، ولن تندموا! ⬇️ 🚀
رابط التطبيق على التلجرام وقريبا على جوجل بلاي:

https://t.me/SyberSc71/3142

ملاحظة: سأبذل قصارى جهدي لأكون إنسانياً قدر الإمكان في ردودي، وأرجو أن تحبوا أسلوبي! 🤗 إذا كان لديكم أي استفسار، فلا تترددوا في السؤال على تطبيق الاندرويد . 😊

Telegram: Contact @SyberSc71

‏تبي تتعلم الأمن السيبراني بشكل مجاني 📝!
هذه افضل قنوات اليوتيوب اللي تبدأ منها 📚🧑🏻‍💻

https://youtube.com/?si=Vgoj5bXhMfgL8xZ9

sybersc I am Wahib Al-Sharabi from Yemen, a beginner in the field of cybersecurity, and we will learn together 👌🧑🏽‍🤝‍🧑🏿

2️⃣الحلقة الثاني🚨
من كورس برمجة بوتات التلجرام باستخدام بايثون

https://youtu.be/FfkhdBavPTo?si=HQHncqEtXJtXwRT_