ضمن مقرر الأمن السيبراني - قسم اختبار الاختراق
في هذه الوحدة، سنستكشف مفهوم اختطاف الجلسات وأبرز الأساليب التي يستخدمها المهاجمون للسيطرة على جلسات المستخدمين، بالإضافة إلى طرق الحماية والتصدي لهذه الهجمات. سنغطي أيضًا تهديدات البرمجيات الخبيثة المختلفة وكيفية تحليلها.
برامج ضارة تنتشر عن طريق إرفاق نفسها ببرامج أو ملفات أخرى. تتطلب تفعيلاً من المستخدم لتنفيذ شفرتها الخبيثة.
برامج ضارة تتخفى في صورة برامج شرعية. لا تنتشر ذاتيًا ولكنها تفتح أبوابًا خلفية أو تسرق معلومات.
برامج ضارة تنتشر ذاتيًا عبر الشبكات دون حاجة إلى تفعيل من المستخدم. غالبًا ما تستغل ثغرات في الأنظمة.
برامج آلية يتم التحكم فيها عن بعد لتشكيل شبكات botnet تستخدم في هجمات DDoS أو إرسال spam.
اختطاف الجلسات (Session Hijacking) هو عملية الاستيلاء على جلسة مستخدم صالحة للوصول غير المصرح به إلى نظام أو خدمة. يتم ذلك عادةً عن طريق سرقة معرف الجلسة (Session ID) أو ملفات تعريف الارتباط (Cookies).
يقوم المهاجم بقطع اتصال الضحية ثم يستخدم معرف الجلسة المسروق لانتحال شخصيته. يتطلب هذا النوع من الهجمات أن يكون المهاجم على نفس الشبكة.
يراقب المهاجم حركة المرور على الشبكة لجمع معلومات الجلسة دون قطع الاتصال. غالبًا ما يتم ذلك عبر شبكات WiFi غير الآمنة.
سرقة ملفات تعريف الارتباط التي تحتوي على بيانات الجلسة عبر ثغرات XSS أو التنصت على الشبكة. يمكن استخدام أدوات مثل Wireshark أو Burp Suite لاعتراض ملفات تعريف الارتباط.
اعتراض جلسات غير مشفرة على الشبكات اللاسلكية العامة. يتم تنفيذ هذا الهجوم باستخدام أدوات مثل Firesheep أو Wireshark لسرقة ملفات تعريف الارتباط المرسلة عبر HTTP غير الآمن.
حقن شفرات JavaScript خبيثة في صفحات الويب لسرقة ملفات تعريف الارتباط أو بيانات الجلسة. يمكن استخدام ثغرات XSS المخزنة أو المنعكسة لتنفيذ هذا الهجوم.
| البروتوكول | مستوى الأمان | التأثير على الجلسات |
|---|---|---|
| HTTP | غير آمن | بيانات الجلسة تنتقل كنص واضح، عرضة للتنصت والاختطاف |
| HTTPS | آمن | بيانات الجلسة مشفرة، تحمي من التنصت ولكن قد تكون عرضة للاختطاف إذا تم سرقة ملفات تعريف الارتباط |
| HTTP Strict Transport Security (HSTS) | آمن جدًا | يجبر المتصفح على استخدام HTTPS فقط، يمنع هجمات SSL Stripping |
أداة لاختبار ثغرات أمان الويب بما فيها اختطاف الجلسات
منصة متكاملة لاختبار أمان التطبيقات
أداة تظهر مخاطر عدم استخدام HTTPS
تقنيات اختطاف الجلسات المذكورة في هذه الوحدة هي لأغراض تعليمية واختبار اختراق قانوني فقط. استخدام هذه التقنيات على أنظمة دون إذن صريح يعتبر جريمة إلكترونية يعاقب عليها القانون في معظم الدول.