أمان تطبيقات Java: أهم 10 ثغرات أمنية عمليًا

أمان تطبيقات Java: أهم 10 ثغرات أمنية عمليًا

أمان تطبيقات Java ليس مجرد مربع اختيار في قائمة المهام، بل هو جانب بالغ الأهمية في عملية التطوير. وفقًا لبيانات OWASP، أكثر من 70% من تطبيقات الويب الحديثة تحتوي على ثغرة أمنية حرجة واحدة على الأقل. في هذه المقالة، سنستعرض 10 من أكثر التهديدات شيوعًا مع أمثلة برمجية حقيقية وطرق معالجتها. ستكون المادة مفيدة لمطوري Java المبتدئين وذوي الخبرة على حد سواء.

1. حقن SQL (Injection)

لا يزال حقن SQL في صدارة الثغرات الأمنية. يمكن للمهاجم إدخال كود SQL ضار من خلال إدخال المستخدم.

الكود الضعيف:

String query = "SELECT * FROM users WHERE username = '" + username + "'";Statement stmt = connection.createStatement();ResultSet rs = stmt.executeQuery(query);

الكود المُصحح (استخدام PreparedStatement):

String query = "SELECT * FROM users WHERE username = ?";PreparedStatement pstmt = connection.prepareStatement(query);pstmt.setString(1, username);ResultSet rs = pstmt.executeQuery();

2. XSS (Cross-Site Scripting)

هجمات XSS تسمح بإدخال نصوص برمجية من جهة العميل في صفحات الويب. الحماية الأساسية هي ترميز المخرجات.

الكود الضعيف (JSP):

<%= request.getParameter("comment") %>

الكود المُصحح:

<%= Encode.forHtml(request.getParameter("comment")) %>

استخدم مكتبة OWASP Java Encoder للترميز الموثوق:

import org.owasp.encoder.Encode;String safeOutput = Encode.forHtml(userInput);

3. إلغاء التسلسل غير الآمن

يمكن أن يؤدي إلغاء تسلسل Java إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).

الكود الضعيف:

ObjectInputStream ois = new ObjectInputStream(socket.getInputStream());Object obj = ois.readObject(); // خطر!

توصيات الحماية:

• لا تقم بإلغاء تسلسل البيانات من مصادر غير موثوقة
• استخدم قائمة بيضاء للفئات عند إلغاء التسلسل
• استخدم JSON أو XML بدلاً من تسلسل Java

// نهج آمن مع التحقق من الفئةObjectInputStream ois = new ObjectInputStream(inputStream) {    @Override    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {        if (!allowedClasses.contains(desc.getName())) {            throw new InvalidClassException(desc.getName(), "Unauthorized deserialization");        }        return super.resolveClass(desc);    }};

4. CSRF (Cross-Site Request Forgery)

هجمات CSRF تجبر المستخدم على تنفيذ إجراءات غير مرغوب فيها على موقع تم توثيقه فيه.

الحماية باستخدام الرموز المميزة (Spring Security):

@Configuration@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter {    @Override    protected void configure(HttpSecurity http) throws Exception {        http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());    }}

إضافة الرمز المميز إلى النموذج:

<form action="/transfer" method="POST">    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>    <input type="text" name="amount"/>    <button type="submit">تحويل</button></form>

5. تسريب المعلومات من خلال الاستثناءات

يمكن لرسائل الأخطاء التفصيلية أن تكشف الهيكل الداخلي للتطبيق.

الكود الضعيف:

try {    // منطق الأعمال} catch (SQLException e) {    response.getWriter().println("خطأ: " + e.getMessage()); // تسريب!}