توقيع الـ Webhooks والـ Replay: الـ webhook ده جاي فعلًا من Stripe؟

// attack.js: تلات هجمات على الـ webhook
import { deliver, post, balance } from "./provider.js";

// Stripe الحقيقي بيبعت دفع حقيقي: محمود دفع خمسمية
const real = await deliver({ id: "evt_1001", type: "payment.succeeded", data: { user: "mahmoud", amount: 500 } });
console.log("Stripe بعت evt_1001 ←", real.status, "| رصيد محمود:", await balance("mahmoud"));

// ١) أي حد عارف الـ URL يبعت event مزوّر
const fake = JSON.stringify({ id: "evt_fake", type: "payment.succeeded", data: { user: "hacker", amount: 1000000 } });
console.log("١) event مزوّر من غير توقيع ←", await post(fake), "| رصيد hacker:", await balance("hacker"));

// ٢) المهاجم شاف delivery حقيقي (في log أو proxy) وغيّر الـ amount وساب التوقيع زي ما هو
const tampered = real.body.replace('"amount":500', '"amount":50000');
console.log("٢) نفس التوقيع والـ amount متغيّر ←", await post(tampered, real.headers), "| رصيد محمود:", await balance("mahmoud"));

// ٣) replay: نفس الـ delivery بالضبط، بالـ body والتوقيع، تلات مرات
for (let i = 0; i < 3; i++) await post(real.body, real.headers);
console.log("٣) نفس الـ delivery تلات مرات كمان ← رصيد محمود:", await balance("mahmoud"));

$ node server.js & S=$!; sleep 1; node attack.js; kill $S
API: http://localhost:3000
+500 لـ mahmoud
Stripe بعت evt_1001 ← 200 | رصيد محمود: 500
+1000000 لـ hacker
١) event مزوّر من غير توقيع ← 200 | رصيد hacker: 1000000
+50000 لـ mahmoud
٢) نفس التوقيع والـ amount متغيّر ← 200 | رصيد محمود: 50500
+500 لـ mahmoud
+500 لـ mahmoud
+500 لـ mahmoud
٣) نفس الـ delivery تلات مرات كمان ← رصيد محمود: 52000

// webhook.js: middleware بيتأكد إن الـ webhook جاي من Stripe، ومش قديم، ومش متكرر
import { createHmac, timingSafeEqual } from "node:crypto";

const reject = (res, why) => {
  console.log("رفضنا webhook:", why);
  res.status(400).json({ error: "webhook مش صالح" });
};

// "t=1700000000,v1=abc...,v1=def..." ← { t, sigs }
function parseHeader(header) {
  let t = null;
  const sigs = [];
  for (const part of header.split(",")) {
    const [k, v] = part.trim().split("=");
    if (k === "t" && /^\d{1,12}$/.test(v)) t = Number(v);
    if (k === "v1" && /^[0-9a-f]{64}$/.test(v)) sigs.push(Buffer.from(v, "hex"));
  }
  return { t, sigs };
}

export function verifyWebhook({ secrets, toleranceSec = 300, now = () => Date.now() }) {
  const seen = new Map(); // event id ← امتى شفناه

  return (req, res, next) => {
    const raw = req.body;
    if (!Buffer.isBuffer(raw)) return reject(res, "مفيش raw body");

    // ١) الـ header
    const { t, sigs } = parseHeader(req.get("stripe-signature") ?? "");
    if (t === null || sigs.length === 0) return reject(res, "header ناقص أو شكله غلط");

    // ٢) الوقت: قديم أو في المستقبل ← مرفوض (ده بيقفل الـ replay بعد خمس دقايق)
    if (Math.abs(now() / 1000 - t) > toleranceSec) return reject(res, "timestamp برّه الـ tolerance");

    // ٣) التوقيع على "t." + الـ bytes الخام، بكل secret شغّال، والمقارنة constant-time
    const valid = secrets.some((secret) => {
      const expected = createHmac("sha256", secret).update(`${t}.`).update(raw).digest();
      return sigs.some((s) => timingSafeEqual(s, expected)); // الطول متشيّك في parseHeader (اتنين وتلاتين byte)
    });
    if (!valid) return reject(res, "التوقيع غلط");

    // ٤) بعد التوقيع بس نعمل parse
    let event;
    try {
      event = JSON.parse(raw.toString("utf8"));
    } catch {
      return reject(res, "الـ body مش JSON");
    }
    if (typeof event?.id !== "string") return reject(res, "مفيش event id");

    // ٥) التكرار: الـ id ده اتعالج قبل كده؟ ← two hundred علشان Stripe يبطّل يعيد، من غير ما نعالج تاني
    for (const [id, at] of seen) if (now() - at > toleranceSec * 2000) seen.delete(id);
    if (seen.has(event.id)) return res.json({ ok: true, duplicate: true });
    seen.set(event.id, now());

    req.event = event;
    next();
  };
}

$ node server.js & S=$!; sleep 1; node attack.js; kill $S
API: http://localhost:3000
+500 لـ mahmoud (evt_1001)
Stripe بعت evt_1001 ← 200 | رصيد محمود: 500
رفضنا webhook: header ناقص أو شكله غلط
١) event مزوّر من غير توقيع ← 400 | رصيد hacker: 0
رفضنا webhook: التوقيع غلط
٢) نفس التوقيع والـ amount متغيّر ← 400 | رصيد محمود: 500
٣) نفس الـ delivery تلات مرات كمان ← رصيد محمود: 500

// server.js: نفس المحفظة، بس الـ webhook بيعدّي على verifyWebhook الأول
import express from "express";
import { verifyWebhook } from "./webhook.js";
import { WEBHOOK_SECRETS } from "./config.js";

const app = express();
const balances = new Map();

app.post(
  "/webhooks/payments",
  express.raw({ type: "application/json" }), // الـ body الخام كـ Buffer: التوقيع على الـ bytes دي بالضبط
  verifyWebhook({ secrets: WEBHOOK_SECRETS, toleranceSec: 300 }),
  (req, res) => {
    const event = req.event; // متوقّع ومش متكرر
    if (event.type === "payment.succeeded") {
      const { user, amount } = event.data;
      balances.set(user, (balances.get(user) ?? 0) + amount);
      console.log(`+${amount} لـ ${user} (${event.id})`);
    }
    res.json({ ok: true });
  },
);

app.get("/balance/:user", (req, res) => res.json({ balance: balances.get(req.params.user) ?? 0 }));

app.listen(3000, () => console.log("API: http://localhost:3000"));

// config.js: أسرار الـ webhook (قيم معمل). في الإنتاج: من الـ env أو secret manager، مش في الـ code
// الأول هو الجديد، والتاني القديم: بنقبل الاتنين لحد ما الـ rotation يخلص (الدرس الجاي)
export const WEBHOOK_SECRETS = ["whsec_lab_new_7f3a9c", "whsec_lab_old_1b2d4e"];

// provider.js: بيلعب دور Stripe. بيوقّع الـ body الخام بنفس الشكل بتاع Stripe-Signature
import { createHmac } from "node:crypto";
import { WEBHOOK_SECRETS } from "./config.js";

const URL = "http://localhost:3000/webhooks/payments";

// التوقيع = HMAC-SHA256(secret, "<timestamp>.<raw body>") بالـ hex
export const sign = (secret, t, raw) => createHmac("sha256", secret).update(`${t}.${raw}`).digest("hex");

export async function deliver(event, options = {}) {
  const {
    secret = WEBHOOK_SECRETS[0],
    t = Math.floor(Date.now() / 1000),
    raw = JSON.stringify(event),
    header = `t=${t},v1=${sign(secret, t, raw)}`,
  } = options;
  const headers = { "content-type": "application/json", "stripe-signature": header };
  const r = await fetch(URL, { method: "POST", headers, body: raw });
  return { status: r.status, json: await r.json().catch(() => null), headers, body: raw };
}

// POST من غير ما نوقّع (زي ما المهاجم بيعمل)
export const post = async (body, headers = { "content-type": "application/json" }) =>
  (await fetch(URL, { method: "POST", headers, body })).status;

export const balance = async (user) =>
  (await (await fetch(`http://localhost:3000/balance/${user}`)).json()).balance;

import { deliver, post, sign, balance } from "./provider.js";
import { WEBHOOK_SECRETS } from "./config.js";

let ok = 0, all = 0;
const check = (name, cond, extra = "") => { all++; if (cond) ok++; console.log(cond ? "✅" : "❌", name, extra); };
const [NEW, OLD] = WEBHOOK_SECRETS;
const now = () => Math.floor(Date.now() / 1000);
const ev = (id, amount, user = "sara") => ({ id, type: "payment.succeeded", data: { user, amount } });

const a = await deliver(ev("evt_t1", 100));
check("delivery سليم ← two hundred والرصيد مية", a.status === 200 && (await balance("sara")) === 100);

check("من غير header ← 400", (await post(JSON.stringify(ev("evt_t2", 100)))) === 400);
check("توقيع بـ secret غلط ← 400", (await deliver(ev("evt_t3", 100), { secret: "whsec_attacker" })).status === 400);
const tampered = a.body.replace('"amount":100', '"amount":9999');
check("body متعدّل بنفس التوقيع ← 400", (await post(tampered, a.headers)) === 400);
const t = now();
const pretty = JSON.stringify(ev("evt_t4", 100), null, 2);
check("التوقيع على الـ JSON المضغوط والـ body متبعت pretty ← 400 (التوقيع على الـ bytes)",
  (await post(pretty, { "content-type": "application/json", "stripe-signature": `t=${t},v1=${sign(NEW, t, JSON.stringify(ev("evt_t4", 100)))}` })) === 400);
check("pretty JSON متوقّع صح ← two hundred (ما فيش re-serialize)", (await deliver(ev("evt_t5", 1), { raw: pretty.replace("evt_t4", "evt_t5").replace("100", "1") })).status === 200);

check("timestamp من عشر دقايق ومتوقّع صح ← 400", (await deliver(ev("evt_t6", 100), { t: now() - 600 })).status === 400);
check("timestamp بعد عشر دقايق ← 400", (await deliver(ev("evt_t7", 100), { t: now() + 600 })).status === 400);
check("timestamp من دقيقتين ← two hundred", (await deliver(ev("evt_t8", 10), { t: now() - 120 })).status === 200);

for (let i = 0; i < 3; i++) await post(a.body, a.headers);
check("replay لنفس الـ delivery تلات مرات ← الرصيد ما اتغيّرش", (await balance("sara")) === 111, String(await balance("sara")));
const retry = await deliver(ev("evt_t1", 100));
check("retry من Stripe (نفس الـ id، توقيع جديد) ← two hundred و duplicate", retry.status === 200 && retry.json?.duplicate === true);
check("والرصيد لسه مية وحداشر", (await balance("sara")) === 111);

check("secret قديم (rotation) ← two hundred", (await deliver(ev("evt_t9", 1000), { secret: OLD })).status === 200);
const raw = JSON.stringify(ev("evt_t10", 5));
const t2 = now();
check("اتنين v1 واحد منهم صح ← two hundred",
  (await deliver(null, { raw, header: `t=${t2},v1=${"0".repeat(64)},v1=${sign(NEW, t2, raw)}` })).status === 200);
check("header زبالة ← 400 من غير crash", (await deliver(ev("evt_t11", 1), { header: "garbage,,==,t=abc" })).status === 400);
check("v1 طوله غلط ← 400 من غير crash", (await deliver(ev("evt_t12", 1), { header: `t=${now()},v1=abcd` })).status === 400);
check("body متوقّع صح بس مش JSON ← 400", (await deliver(null, { raw: "not json {" })).status === 400);
check("JSON من غير id ← 400", (await deliver({ type: "payment.succeeded", data: 
…