0:00 قبل أن نبدأ، تأكد من إخباري في التعليقات أدناه برأيك حول الذكاء الاصطناعي. هل سيحل محل القراصنة أم تعتقد أنه أداة مفيدة بالفعل في القرصنة؟ في فيديو اليوم، سأوضح لك مدى سهولة تعلم الاختراق أو الاختراق الأخلاقي باستخدام DeepSync. الآن، لن يكون هذا أحد تلك البرامج التعليمية التي ستتعلم فيها كيفية إنشاء غلاف عكسي حيث ستتعلم كيفية القيام بهذا الاختراق السخيف منخفض المستوى، والذي في الواقع، في رأيي، ليس اختراقًا حتى. إنه في الغالب هندسة اجتماعية لأنك يجب أن تخدع هدفك لتثبيت شيء ما. لكنني سأعرض لك برنامجًا تعليميًا حقيقيًا للاختراق حيث يمكنك في الواقع تعلم بعض الاختراق الأخلاقي الذي يمكنك الاستفادة منه في Bug Bounty World وكسب بعض المال مع الحفاظ على الأخلاق والقانونية تمامًا. سأستخدم Portswigger Labs كموقع ويب توضيحي. وسأقوم بحل هذا المختبر،
0:46 بالطبع، ولن نستغل أي تحديات صعبة حتى الآن، ولكن في مقاطع الفيديو المستقبلية، قد نحاول بالفعل معرفة كيف يمكن للذكاء الاصطناعي التعامل مع تلك التحديات. لكن هذا يمثل تمثيلًا جيدًا لموقع ويب حقيقي. هذا مجرد موقع مدونة. لدينا وظيفة البحث. واليوم سوف نقوم باستغلال هذا الموقع باستخدام DeepSeek. أما بالنسبة لليوتيوب، فهو مجرد موقع عادي، ولكن من المفترض أن يتم اختراقه. وربما إذا كنت تريد أن تتعلم القرصنة مني فعليًا، فتفضل بإلقاء نظرة على الدورة التدريبية الخاصة بي والتي توجد في مربع الوصف أدناه. سأقوم بتدريس كل شيء من الأساسيات وحتى المستوى الاحترافي الأساسي. لذا إذا كنت مهتمًا، فتفضل بالاطلاع على ذلك. الرابط موجود في الوصف. إذن كيف أخطط لحل هذا المختبر؟ بشكل أساسي، إذا كنت قد رأيته بالفعل، ولكن يمكنك أن ترى أن المختبر هو XSS منعكس في سلسلة JavaScript باستخدام أقواس الزاوية المشفرة HTML. إذا لم تكن لديك أي
1:33 خبرة في مجال القرصنة، فقد يبدو كل هذا هراءً بالنسبة لك، وهو ما أفهمه بالطبع. لا تقلق بشأن هذا إنه عادل. لقد مررنا جميعا بهذه التجربة، يا صديقي. حسنًا، دعونا نلقي نظرة على كيفية استغلال هذا الأمر فعليًا. لذا، إذا كان لديك موقع ويب مثل هذا، فقد تسأل DeepSeek، ما هو الاختراق؟ ولكن دعني أخبرك أن الاختراق في هذا المعنى هو في الواقع العثور على ثغرة أمنية في نظام أو موقع ويب في هذه الحالة ثم القيام باستغلالها والذي سيكون بمثابة دليل على المفهوم والذي تقوم بعد ذلك بالإبلاغ عنه إلى أصحاب موقع الويب وتكسب المال. وهذا ما يُعرف بالقرصنة ذات القبعة البيضاء وهو النوع الوحيد المقبول من القرصنة وهو نوع القرصنة الوحيد الذي أروج له على هذه القناة. وتأكد من أن تكون أخلاقيًا للغاية لأن أي شيء بخلاف ذلك ستدخل في منطقة رمادية تعلم أنها قد تؤدي إلى معاقبتك، ولكن حتى بالسجن والغرامات وأي شيء آخر اعتمادًا على المكان الذي
2:19 تعيش فيه. لذا سأعطي هذا الموقع لـ deepseek وسأخبرهم أنهم يخترقونه من أجلي. حسنا، ليس حقا نوعا ما. لذا سأذهب وأخبرهم أنني مبتدئ في مجال القرصنة. فقلت له، مهلا، أنا مبتدئ في مجال القرصنة في عالم مكافأة الأخطاء. هذا هو هدفي. ما هي أنواع الثغرات الأمنية التي أبحث عنها؟ ولنضغط على الإرسال. فلنرى ماذا يقول Deep Seek. لذلك فهو يخبرنا بالتعليمات خطوة بخطوة حول ما يجب علينا فعله. وأولا هو فهم الهدف. بالطبع، عليك أن تفهم الهدف. ما هي الوظائف التي لديك؟ وهذا شيء أشجعه بشدة في دورتي . يتعين عليك فهم وظائف موقع الويب. وهذه بداية جيدة. يتعين عليك إلقاء نظرة على تسجيل الدخول، والبحث، وتحميل الملفات، وما إلى ذلك، لأن هذا هو المكان الذي تعلم أن نقاط الضعف تميل إلى الظهور فيه. فلنخبره أن لدينا وظيفة بحث. فأخبرته أن لدينا خاصية البحث.
3:05 لذا دعونا نجعله يقول ماذا ينوي أن يفعل. وهذا يخبرنا بأننا بحاجة إلى اختبار SQLI أو حقن SQL في وظيفة البحث هذه. ويخبرنا أيضًا باختبار XSS2 وحقن أوامر نظام التشغيل وهو بداية جيدة جدًا بالإضافة إلى عدم وجود حقن SQL أو لأنه إذا كان يستخدم MongoDB فهو مفهوم مختلف تمامًا وحتى SSRF إذا كنت تعرفه أعني أنه أمر فظيع بعض الشيء ولكن في بعض الأحيان يمكن أن تؤدي هذه الادعاءات الفظيعة إلى جلبك بالفعل وتمنحك الثغرة الأمنية. حسنًا، سأبحث، على سبيل المثال ، عن XSS هنا، ولكن لأنني أعلم بالفعل أن هذا XSS، يمكنك المتابعة خطوة بخطوة. دعونا نتخطى هذه الأجزاء المملة لأنني لا أريد أن أجعل هذا الفيديو طويلاً. وسوف أقوم فقط بالبحث عن XSS. حسنًا، سأبحث عن هذا، وأضغط على بحث، وبالطبع، لن ينجح الأمر.
3:51 حسنًا، سأخبره، لذا أخبرته ، مهلا، لقد بحثت عن XSS، لكنه لم ينجح. لقد وضعت ما أعطيتني ولم يحدث شيء. هل يجب أن أعطيك الكود المصدر لتحليله من جانب العميل؟ حسنًا، دعونا نرى ماذا سيقول لي. حسنًا، لقد أخبرني أنه يتعين علي التحقق من الكود المصدر. حسنًا، دعنا ننتقل إلى تحويل التحكم الأول. أعني، يجب أن تعرف هذا. ودعونا نعطيه الكود بشكل أساسي . إذن، هل يجب أن أعطيه هذا فقط أم يجب أن أعطيه الشيء بأكمله؟ أتعلم؟ سأكون مجرد مبتدئ وسأعطيه شيئًا كاملاً. حسنًا، سأتوقف مؤقتًا وأقول، "مرحبًا، هذا هو رمز المصدر". حسنًا، دعنا نرى ماذا سيفعل. حسنًا، ما الذي حدث للتو؟ لقد أخبرني أن مدخلاتك تنعكس داخل سلسلة JavaScript، وهذا صحيح. يمكنك أن ترى أن هذا هو الحال بالفعل. ويخبرني أنه بعد ذلك يستخدم التطبيق. وهذا ما يفسر لي الكود JavaScript الذي يقف وراءه. ويخبرني أيضًا لماذا لم تنجح حمولتي.
4:38 لأن الحمولة موجودة داخل متغير. لذلك نحن بحاجة إلى الهروب من السلسلة بدلاً من حقن HTML الخام. ويخبرني بشكل أساسي بإغلاق السلسلة بعلامة اقتباس واحدة وإضافة الكود الخبيث بعد ذلك. لذا فهو يشرح لي الاستغلال ويعطيني الاستغلال. لذا دعنا ننسخ هذا ونخبرك بتجربته لمعرفة ما إذا كان يعمل. انقر فوق البحث. أوه، واو، لقد كان قادرًا بالفعل على كسر الثغرة الأمنية وإعطائي طريقة عمل لاستغلالها. الآن، بما أنني مبتدئ، سأخبره، مهلا، الآن أرى نافذة منبثقة غريبة تحتوي على واحد. فقلت له، مهلا، أرى هذه النافذة المنبثقة الغريبة التي تحتوي على واحد. بمجرد إدخال هذه الحمولة، دعنا نضغط على Enter لمعرفة ما إذا كان سيخبرني، يا صديقي، لقد وجدت
5:24 ثغرة أمنية. ويقول، "الأمر ليس كما لو أن حمولة XSS الخاصة بك نجحت." اللعنة. ويذهب بعد ذلك الآن بشكل أساسي لشرح ذلك وما هو التحدي التالي. فأخبرني بما يمكن أن يحدث، ولكن هذا غير قانوني بالطبع. أوه لا تحاول القيام بذلك على موقع ويب حقيقي. أنا لا أعرف حتى لماذا يعطي هذا، ولكن كما تعلم، فهو فقط يخبرك لماذا هذا أمر خطير. أعتقد أن هذا هو السبب وراء ذلك. إنه فقط يخبرك لماذا يمكن أن يكون هذا خطيرًا. والحقيقة أن حل هذه المشكلة كان سهلاً وسريعًا إلى حد ما، وهو ما أذهلني حقًا. إذن هذا هو الأمر، سيداتي وسادتي. نأمل أن تكون قد استمتعت بهذا الفيديو. نأمل أن تستخدم Deepseek لتعلم الاختراق الأخلاقي وتحسين أدائك لأنه قوي جدًا ومفيد جدًا. تأكد من مراجعة رابط الدورة التدريبية الخاص بي الموجود في الوصف. تأكد من الاشتراك أيضًا. وإذا كنت تريد مشاهدة الفيديو مع جون هاموند ، يمكنك ترك تعليق أدناه. ابقى آمنًا، وكن مسؤولًا،
6:09 وكما هو الحال دائمًا، السلام.
