پرش به محتوای اصلی

خدمات

اطلاعات

دسته

آسیب‌پذیری‌های سایت

معرفی آسیب‌پذیری‌های رایج وب‌سایت و روش‌های شناسایی و کاهش ریسک آن‌ها.

آسیب‌پذیری‌های سایت

Cryptographic Failures چیست؟ بررسی ضعف‌های رمزنگاری در سایت و روش‌های جلوگیری

Cryptographic Failures به ضعف‌هایی گفته می‌شود که در اثر نبود یا استفاده نادرست از رمزنگاری، مدیریت ضعیف کلیدها، Password Hashing نامناسب، TLS ناامن یا تولید مقادیر تصادفی قابل پیش‌بینی ایجاد می‌شوند. این ریسک در OWASP Top 10 2025 با شناسه A04 معرفی شده و می‌تواند به افشای اطلاعات حساس، Credentialها و Tokenهای کاربران منجر شود. استفاده از الگوریتم‌ها و Libraryهای استاندارد، TLS مدرن، Password Hashing مناسب، Key Management امن و CSPRNG از مهم‌ترین روش‌های کاهش Cryptographic Failures هستند.

۳۴ دقیقه مطالعه
آسیب‌پذیری‌های سایت

OWASP Top 10 2025 چیست؟ معرفی ۱۰ آسیب‌پذیری مهم امنیت وب

OWASP Top 10 2025 فهرستی از مهم‌ترین ریسک‌های امنیتی برنامه‌های وب است که توسط OWASP برای افزایش آگاهی توسعه‌دهندگان و تیم‌های امنیتی منتشر شده است. در نسخه جدید، Broken Access Control، Security Misconfiguration و Software Supply Chain Failures در سه رتبه نخست قرار گرفته‌اند و مدیریت نادرست شرایط استثنایی نیز به فهرست اضافه شده است.

۳۵ دقیقه مطالعه
آسیب‌پذیری‌های سایت

Subdomain Takeover چیست؟ چگونه از تصاحب زیردامنه‌های سایت جلوگیری کنیم؟

Subdomain Takeover یا تصاحب زیردامنه معمولاً زمانی ایجاد می‌شود که یک رکورد DNS به Resource ابری یا سرویس خارجی حذف‌شده اشاره کند و Dangling DNS به وجود آید. این ضعف می‌تواند زمینه سوءاستفاده از اعتبار دامنه، Phishing و در برخی معماری‌ها خطر برای Cookie، OAuth یا سیاست‌های اعتماد سایت را ایجاد کند. مدیریت صحیح چرخه عمر DNS و Cloud Resource، استفاده از Domain Verification، پایش مستمر زیردامنه‌ها و حذف رکوردهای بلااستفاده مهم‌ترین راهکارهای پیشگیری هستند.

۳۹ دقیقه مطالعه
آسیب‌پذیری‌های سایت

امنیت JWT چیست؟ اشتباهات رایج در توکن‌های احراز هویت و روش‌های محافظت از آن‌ها

امنیت JWT به نحوه صدور، امضا، نگهداری، اعتبارسنجی و باطل‌کردن JSON Web Tokenهای مورد استفاده در احراز هویت و APIها مربوط می‌شود. ضعف‌هایی مانند alg=none، Algorithm Confusion، Secret ضعیف، Token طولانی‌عمر، اعتبارسنجی نکردن iss و aud و ذخیره JWT در محل ناامن می‌توانند زمینه جعل یا سرقت حساب را ایجاد کنند. استفاده از Algorithm Allowlist، کلیدهای قوی، Access Token کوتاه‌عمر، Refresh Token Rotation، HTTPS، Revocation و Storage امن از مهم‌ترین اصول امنیت JWT هستند.

۴۱ دقیقه مطالعه
آسیب‌پذیری‌های سایت

امنیت Cookie سایت چیست؟ بررسی Secure، HttpOnly و SameSite برای جلوگیری از سرقت حساب

امنیت Cookie سایت به مجموعه تنظیماتی گفته می‌شود که از Cookieهای حساس و Session کاربران در برابر افشا و سوءاستفاده محافظت می‌کنند. Secure ارسال Cookie را به HTTPS محدود می‌کند، HttpOnly دسترسی JavaScript را کاهش می‌دهد و SameSite رفتار Cookie را در Requestهای Cross-Site کنترل می‌کند. برای جلوگیری از سرقت حساب، این تنظیمات باید در کنار HTTPS، Session Rotation، عمر محدود Session، XSS و CSRF Protection و Server-Side Revocation استفاده شوند.

۳۷ دقیقه مطالعه
آسیب‌پذیری‌های سایت

Security Misconfiguration چیست؟ مهم‌ترین تنظیمات اشتباهی که امنیت سایت را تهدید می‌کنند

Security Misconfiguration یا پیکربندی نادرست امنیتی زمانی ایجاد می‌شود که سایت، سرور، WordPress، Database یا سرویس‌های Cloud با تنظیماتی اجرا شوند که سطح حمله را افزایش دهند. Debug Mode فعال، رمزهای پیش‌فرض، Permission اشتباه، Backup عمومی، CORS بیش از حد باز و نبود Security Headers از نمونه‌های مهم این مشکل هستند. Security Misconfiguration در OWASP Top 10:2025 به رتبه دوم رسیده و جلوگیری از آن به Security Hardening، Least Privilege، Configuration Baseline و پایش مستمر تنظیمات نیاز دارد.

۳۱ دقیقه مطالعه
آسیب‌پذیری‌های سایت

Session Hijacking چیست؟ چگونه از سرقت سشن و حساب کاربران جلوگیری کنیم؟

Session Hijacking یا ربایش سشن حمله‌ای است که طی آن مهاجم Session معتبر کاربر را تصاحب می‌کند و ممکن است بدون دانستن رمز عبور به حساب او دسترسی پیدا کند. ضعف‌هایی مانند XSS، انتقال ناامن Cookie، Session Fixation، Token Leak و Sessionهای طولانی از مهم‌ترین عوامل افزایش این خطر هستند. استفاده از HTTPS، Cookieهای Secure و HttpOnly، تنظیم SameSite، Session Rotation، Timeout، Reauthentication و Server-side Revocation از اصلی‌ترین راهکارهای جلوگیری از Session Hijacking محسوب می‌شوند.

۳۲ دقیقه مطالعه
آسیب‌پذیری‌های سایت

حمله SSRF چیست؟ بررسی Server-Side Request Forgery و روش‌های جلوگیری

حمله SSRF یا Server-Side Request Forgery زمانی رخ می‌دهد که یک برنامه وب یا API تحت تأثیر ورودی کاربر، Server را وادار به ارسال Request به مقصدی خارج از محدوده مورد انتظار کند. مهم‌ترین خطر SSRF استفاده از دسترسی شبکه‌ای سرور برای ارتباط با سرویس‌های داخلی، APIهای خصوصی یا منابع Cloud است. برای جلوگیری از حمله SSRF باید مقصدها در صورت امکان با Allowlist محدود شوند، URL و DNS/IP اعتبارسنجی شوند، Redirect و Egress Traffic کنترل شود و اصل Least Privilege در شبکه و سرویس‌های داخلی رعایت شود.

۴۱ دقیقه مطالعه
آسیب‌پذیری‌های سایت

آسیب‌پذیری IDOR چیست؟ چگونه از دسترسی غیرمجاز به اطلاعات کاربران جلوگیری کنیم؟

آسیب‌پذیری IDOR یکی از انواع Broken Access Control است که در آن سایت یا API بدون بررسی صحیح مجوز، امکان دسترسی به Objectهایی مانند حساب، سفارش، فایل یا تیکت کاربران دیگر را فراهم می‌کند. مهم‌ترین خطر IDOR افشای اطلاعات، تغییر یا حذف غیرمجاز داده‌ها و در برخی شرایط افزایش سطح دسترسی است. اجرای Object-Level Authorization سمت سرور، محدود کردن دسترسی براساس User و Tenant، استفاده از Deny by Default و Least Privilege و نوشتن تست‌های Authorization از مهم‌ترین راهکارهای جلوگیری از آسیب‌پذیری IDOR هستند

۳۵ دقیقه مطالعه