الـ BOLA و BFLA: الـ token السليم مش معناه إن الطلب مسموح
جارٍ التحميل…
01 / ملخص الدرس
الـ BOLA و BFLA: الـ token السليم مش معناه إن الطلب مسموح
أشهر vulnerabilities في الـ APIs حسب OWASP API Top 10: BOLA (توصل لـ object مش بتاعك بتغيير الـ id)، و BOPLA أو mass assignment (تعدّل fields مش المفروض تلمسها)، و BFLA (توصل لـ function الـ admin). بنشوف الهجمات الأربعة بتنجح، وبعدين بنقفلها بـ ownership middleware و 404 بدل 403، و allowlist بـ zod strict، و admin router محمي deny by default.
نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.
أهلًا بيك. Authentication بيجاوب على سؤال: انت مين؟ و Authorization بيجاوب على سؤال تاني خالص: مسموحلك تعمل الحاجة دي على الـ object ده؟ أغلب الـ APIs بتعمل الأولاني كويس، وبتنسى التاني. علشان كده OWASP عاملة list مخصوصة للـ APIs، وأول حاجة فيها اسمها BOLA: Broken Object Level Authorization. server dot js: tokens جاهزة لتلات مستخدمين: مُنى وعمر، وسارة الـ admin. وفيه تلات invoices: واحدة بتاعة مُنى، واتنين بتوع عمر. تلات routes: GET slash invoices slash id: بيرجّع الـ invoice برقمها، والـ auth بيتأكد إنك عامل login وبس. PATCH: بيشيك الملكية صح، بس بياخد الـ body كله ويحطه على الـ object. و DELETE slash admin slash users: route للـ admin، بس محدش بيشيك الـ role. فاكرين إن محدش هيعرف الـ URL، لأنه مش باين في الـ frontend. client dot js بيبعت requests بالـ token بتاع أي حد، و attack dot js بيجرّب كل ده بـ token مُنى.
نشغّل.
attack.js
import { mona } from "./client.js";
const show = (name, r) => console.log(String(r.status).padEnd(4), name.padEnd(34), JSON.stringify(r.body));
// 1) BOLA: مُنى بتجرّب أرقام جنب رقم الـ invoice بتاعتها
for (const id of [101, 102, 103]) show(`mona GET /invoices/${id}`, await mona("GET", `/invoices/${id}`));
// 2) BOPLA: بتعدّل الـ note، وتحشر status و amount
show("mona PATCH 101 (status+amount)", await mona("PATCH", "/invoices/101", { note: "شكرًا", status: "paid", amount: 0 }));
// 3) BOPLA تاني: تنقل الـ invoice لحد تاني
show("mona PATCH 101 (owner)", await mona("PATCH", "/invoices/101", { owner: "omar" }));
// 4) BFLA: route الـ admin
show("mona DELETE /admin/users/omar", await mona("DELETE", "/admin/users/omar"));
مُنى غيّرت الرقم من مِيّة وواحد لـ مِيّة واتنين، وشافت invoice عمر بتسعة آلاف. ده BOLA، وما احتاجتش أي أداة، مجرد رقم في الـ URL. في الـ PATCH حشرت status paid و amount صفر، والـ invoice بقت مدفوعة ببلاش. وبعدين نقلت الـ owner لعمر. ده اسمه Broken Object Property Level Authorization، أو mass assignment. ومُنى قفلت حساب عمر من route الـ admin. ده BFLA: Broken Function Level Authorization.
إزاي نقفلهم؟ BOLA: كل access لـ object يتشيك على ملكيته، في كل route، ومن مكان واحد. في الـ SQL ده معناه WHERE id و owner_id في نفس الـ query، مش تجيب الـ row وبعدين تفتكر تشيك. ورجّع four oh four مش four oh three، علشان المهاجم ما يعرفش إن الـ id ده موجود أصلًا. والـ UUIDs بدل الأرقام المتسلسلة بتصعّب التخمين، بس دي مش حماية. الـ ids بتتسرّب في الـ URLs والـ logs والـ emails. BOPLA: allowlist للـ fields اللي مسموح تتكتب، ونفس الكلام للي بيرجع في الـ response: ما ترجّعش fields حساسة. BFLA: deny by default. كل routes الـ admin تحت router واحد محمي، فأي route جديد يتضاف هناك بيبقى محمي من غير ما حد يفتكر. التحدي: اقفل التلاتة. loadOwnedInvoice: middleware بيجيب الـ invoice ويتأكد إنها بتاعتك أو انت admin، وغير كده four oh four. NoteUpdate بـ zod strict: الـ note بس. requireRole، و admin router محمي مرة واحدة. test dot js فيه تلاتاشر حالة، والتفاصيل في الكومنت.
تمرين
loadOwnedInvoice (404 لو مش بتاعتك ومش admin)، و PATCH بـ zod strict على note بس، و requireRole("admin") على admin router كامل.
الحل. loadOwnedInvoice: شرط واحد، ونفس الرد لو مش موجودة أو مش بتاعتك، وبنطبع المحاولة علشان دي حاجة تستاهل alert. NoteUpdate strict: أي key زيادة بيفشل. requireRole بترجّع middleware. والـ adminRouter أول سطر فيه هو الـ role check. نشغّل الهجمات تاني.
server.js
import express from "express";
import { z } from "zod";
const app = express();
app.use(express.json());
// tokens جاهزة بدل login، علشان نركّز على الصلاحيات (درس الـ JWT عمل الجزء ده)
const TOKENS = {
"tok-mona": { id: "mona", role: "user" },
"tok-omar": { id: "omar", role: "user" },
"tok-admin": { id: "sara", role: "admin" },
};
const users = new Map([["mona", { active: true }], ["omar", { active: true }], ["sara", { active: true }]]);
const invoices = new Map([
[101, { id: 101, owner: "mona", amount: 250, status: "unpaid", note: "" }],
[102, { id: 102, owner: "omar", amount: 9000, status: "unpaid", note: "" }],
[103, { id: 103, owner: "omar", amount: 40, status: "paid", note: "" }],
]);
const auth = (req, res, next) => {
req.user = TOKENS[req.get("authorization")?.replace("Bearer ", "")];
if (!req.user) return res.status(401).json({ error: "مين انت؟" });
next();
};
app.use(auth);
// كل الوصول للـ invoices بيعدّي من هنا: الملكية جزء من الـ query نفسه
const loadOwnedInvoice = (req, res, next) => {
const inv = invoices.get(Number(req.params.id));
const allowed = inv && (inv.owner === req.user.id || req.user.role === "admin");
if (!allowed) {
console.log(`رفضنا: ${req.user.id} حاول يوصل لـ invoice ${req.params.id}`);
return res.status(404).json({ error: "مش موجودة" });
}
req.invoice = inv;
next();
};
app.get("/invoices/:id", loadOwnedInvoice, (req, res) => res.json(req.invoice));
// المستخدم يعدّل الـ note بس. أي field تاني ← 400
const NoteUpdate = z.object({ note: z.string().max(200) }).strict();
app.patch("/invoices/:id", loadOwnedInvoice, (req, res) => {
const parsed = NoteUpdate.safeParse(req.body);
if (!parsed.success) return res.status(400).json({ error: "fields مش مسموحة", issues: parsed.error.issues.map((i) => i.message) });
Object.assign(req.invoice, parsed.data);
res.json(req.invoice);
});
const requireRole = (role) => (req, res, next) => {
if (req.user.role === role) return next();
console.log(`رفضنا: ${req.user.id} (${req.user.role}) على ${req.method} ${req.originalUrl}`);
res.status(403).json({ error: "مش مسموحلك" });
};
// deny by default: الـ router كله محمي مرة واحدة، فأي route جديد فيه بيبقى محمي لوحده
const adminRouter = express.Router();
adminRouter.use(requireRole("admin"));
adminRouter.delete("/users/:id", (req, res) => {
const u = users.get(req.params.id);
if (!u) return res.status(404).json({ error: "مش موجود" });
u.active = false;
res.json({ disabled: req.params.id, by: req.user.id });
});
app.use("/admin", adminRouter);
app.listen(3000, () => console.log("API: http://localhost:3000"));
المخرجات
$ node server.js & sleep 0.8; node attack.js; kill $!
API: http://localhost:3000
200 mona GET /invoices/101 {"id":101,"owner":"mona","amount":250,"status":"unpaid","note":""}
رفضنا: mona حاول يوصل لـ invoice 102
404 mona GET /invoices/102 {"error":"مش موجودة"}
رفضنا: mona حاول يوصل لـ invoice 103
404 mona GET /invoices/103 {"error":"مش موجودة"}
400 mona PATCH 101 (status+amount) {"error":"fields مش مسموحة","issues":["Unrecognized keys: \"status\", \"amount\""]}
400 mona PATCH 101 (owner) {"error":"fields مش مسموحة","issues":["Invalid input: expected string, received undefined","Unrecognized key: \"owner\""]}
رفضنا: mona (user) على DELETE /admin/users/omar
403 mona DELETE /admin/users/omar {"error":"مش مسموحلك"}
مِيّة واتنين ومِيّة وتلاتة: four oh four، زي أي رقم مش موجود. الـ PATCH بالـ status اترفض بـ four hundred. والـ admin route: four oh three. ونشغّل test dot js.
كله نجح. خد بالك إن صلاحيات الـ admin عندنا لسه بسيطة: يا admin يا لأ. في الحقيقة فيه أدوار كتير، وصلاحيات بتعتمد على الـ tenant والـ owner وحالة الـ object. ده الدرس الجاي: RBAC و ABAC، وإزاي تكتب policy واحدة واضحة بدل ifs متفرقة في كل حتة.