اصطلاحات امنیت سایبری: واژه‌نامه‌ی کاربردی امنیت وب

این صفحه یک واژه‌نامه‌ی اصطلاحات امنیت با تمرکز بر امنیت برنامه‌های وب است. هدفش پوشش همه‌ی واژه‌های این حوزه نیست، بلکه اصطلاحاتی است که در یک گزارش تست نفوذ، جلسه‌ی فنی یا مستند استاندارد واقعاً با آن‌ها روبه‌رو می‌شوید. هر اصطلاح، جایی که توضیح فنی کاملی برایش وجود دارد، به دانشنامه پیوند خورده است؛ پس این صفحه نقطه‌ی ورود به کل مجموعه است.

مفاهیم پایه و رده‌بندی ریسک

• OWASP — بنیاد غیرانتفاعی جهانی امنیت نرم‌افزار. شناخته‌شده‌ترین خروجی آن فهرست Top 10 است که نسخه‌ی جاری‌اش ۲۰۲۵ است.
• CVE (Common Vulnerabilities and Exposures) — شناسه‌ی یکتای یک آسیب‌پذیری مشخص در یک محصول مشخص. مثال: CVE-2021-44228.
• CWE (Common Weakness Enumeration) — دسته‌بندی نوع ضعف، مستقل از محصول. یک CWE می‌تواند هزاران CVE داشته باشد.
• CVSS — استاندارد امتیازدهی شدت آسیب‌پذیری. نسخه‌ی جاری v4.0 است که در نوامبر ۲۰۲۳ منتشر شد.
• آسیب‌پذیری (Vulnerability) — ضعفی که قابل بهره‌جویی است. با باگ یکی نیست: هر باگی امنیتی نیست.
• روز صفر (Zero-day) — آسیب‌پذیری‌ای که وصله‌ای برایش وجود ندارد؛ به‌طور خاص یعنی سازنده هنوز اصلاحیه منتشر نکرده است.
• اثبات مفهوم (PoC) — کوتاه‌ترین شاهد بازتولیدپذیر که وجود آسیب‌پذیری را نشان می‌دهد.
• پی‌لود (Payload) — داده‌ای که برای فعال‌کردن یا اثبات یک نقص ارسال می‌شود.
• SBOM (Software Bill of Materials) — فهرست کامل اجزا و وابستگی‌های یک نرم‌افزار؛ پایه‌ی مقابله با ریسک زنجیره‌ی تأمین.

کنترل دسترسی، احراز هویت و نشست

• کنترل دسترسی شکسته (Broken Access Control) — دسته‌ی A01:2025 و رتبه‌ی یک OWASP. برنامه بررسی نمی‌کند که این کاربر مجاز به این عملیات است یا نه.
• IDOR — زیرمجموعه‌ای از کنترل دسترسی شکسته: شناسه‌ی شیء از کاربر گرفته می‌شود بدون بررسی مالکیت.
• ارتقای دسترسی (Privilege Escalation) — رسیدن به سطح دسترسی بالاتر از سطح تخصیص‌یافته؛ عمودی (نقش بالاتر) یا افقی (کاربر دیگر).
• CSRF — واداشتن مرورگر کاربر احراز هویت‌شده به ارسال درخواست ناخواسته. در نسخه‌ی ۲۰۲۵ زیر A01 قرار گرفت.
• JWT — توکن امضاشده‌ای برای حمل ادعاهای هویتی. اعتبارسنجی ادعاهای aud و iss الزامی است.
• OAuth — چارچوب تفویض دسترسی. توجه: OAuth 2.1 همچنان یک پیش‌نویس IETF است، نه استاندارد منتشرشده.
• MFA (Multi-Factor Authentication) — احراز هویت چندعاملی؛ مؤثرترین کنترل واحد در برابر تصاحب حساب.
• شرایط مسابقه (Race Condition) — سوءاستفاده از فاصله‌ی میان بررسی و اقدام؛ مثلاً استفاده‌ی چندباره از یک کد تخفیف.
• تغییر مسیر باز (Open Redirect) — به‌تنهایی کم‌شدت، اما حلقه‌ی مهمی در زنجیره‌ی سرقت کد مجوزدهی و دور زدن فیلتر SSRF.

تزریق و اجرای کد

• تزریق SQL — ورودی کاربر به‌عنوان بخشی از دستور SQL تفسیر می‌شود. راهکار ساختاری، کوئری پارامتری است.
• XSS — اجرای جاوااسکریپت مهاجم در مرورگر قربانی. سه نوع: بازتابی، ذخیره‌شده و مبتنی بر DOM. در OWASP همچنان زیر دسته‌ی تزریق است.
• تزریق دستور (Command Injection) — رسیدن ورودی به مفسر فرمان سیستم‌عامل.
• SSTI — ورودی کاربر داخل خود قالب قرار می‌گیرد، نه به‌عنوان داده‌ی قالب؛ معمولاً به اجرای کد می‌رسد.
• SSRF — واداشتن سرور به ارسال درخواست به مقصد انتخابی مهاجم، از جمله سرویس‌های داخلی. در ۲۰۲۵ داخل A01 ادغام شد.
• LFI — گنجاندن یا خواندن فایل محلی سرور از مسیر ورودی کاربر.
• RFI — نسخه‌ی راه‌دور همان مسئله؛ در PHP امروزی به‌دلیل پیش‌فرض‌های پیکربندی، عملاً موضوعی تاریخی است.
• XXE — سوءاستفاده از موجودیت‌های خارجی XML. در نسخه‌ی ۲۰۲۵ زیر دسته‌ی پیکربندی نادرست قرار دارد.
• واسازی ناامن (Insecure Deserialization) — بازسازی شیء از داده‌ی تحت کنترل مهاجم؛ مسیر متعارف رسیدن به اجرای کد.
• RCE — اجرای کد از راه دور؛ شدیدترین نتیجه‌ی ممکن در بیشتر ارزیابی‌ها.

پروتکل، مرورگر و سمت کلاینت

• TLS — پروتکل رمزنگاری لایه‌ی انتقال. نسخه‌ی جاری ۱٫۳ است و نسخه‌های ۱٫۰ و ۱٫۱ رسماً منسوخ شده‌اند. «SSL» نام منسوخ همین خانواده است.
• CORS — سازوکاری که سیاست هم‌مبدأ را شل می‌کند. پیکربندی سخاوتمندانه‌ی آن حفاظت را برمی‌دارد، اضافه نمی‌کند.
• CSP — سیاست امنیت محتوا؛ کاهنده‌ی اثر XSS. سیاست‌های مبتنی بر فهرست میزبان تقریباً همیشه قابل دور زدن‌اند و رویه‌ی درست، nonce به‌همراه strict-dynamic است.
• SOP (Same-Origin Policy) — قاعده‌ی بنیادی مرورگر که خواندن داده‌ی یک مبدأ توسط مبدأ دیگر را محدود می‌کند.
• SameSite — ویژگی کوکی که ارسال آن در درخواست‌های بین‌سایتی را محدود می‌کند. توجه: رفتار پیش‌فرض در مرورگرها یکسان نیست، پس جایگزین توکن CSRF سمت سرور نمی‌شود.
• HSTS — هدری که مرورگر را وادار می‌کند فقط از HTTPS استفاده کند؛ ضد تنزل پروتکل.
• HttpOnly و Secure — پرچم‌های کوکی: اولی دسترسی جاوااسکریپت را می‌بندد، دومی ارسال روی HTTP را.

مراحل و تکنیک‌های آزمون

• شناسایی (Reconnaissance) — جمع‌آوری اطلاعات درباره‌ی سطح حمله پیش از آزمون؛ مرحله‌ای که کیفیت کل تست را تعیین می‌کند.
• OSINT — گردآوری اطلاعات از منابع عمومی، بدون هیچ تماسی با سامانه‌ی هدف.
• فازینگ (Fuzzing) — ارسال حجم زیادی ورودی برای یافتن رفتار غیرمنتظره یا کشف محتوای پنهان.
• تست امنیت API — ارزیابی اندپوینت‌های برنامه‌نویسی؛ مرجع درست آن OWASP API Security Top 10 است.
• بازبینی کد امن — تحلیل کد منبع برای یافتن نقص؛ در برابر تحلیل جعبه‌سیاه، دید مسیر داده را می‌دهد.
• مدل‌سازی تهدید — تعیین این‌که چه کسی، به چه چیزی، از چه مسیری؛ خروجی آن سناریوی آزمون است.
• حرکت جانبی — گسترش دسترسی از یک سامانه به سامانه‌های دیگر پس از ورود اولیه.
• شل معکوس (Reverse Shell) — اتصال خروجی از سامانه‌ی هدف به شنونده‌ی تست‌کننده، برای اثبات اجرای کد.
• فرار از جعبه‌ی شنی — خروج از محیط محدودشده‌ای که قرار بود کد را مهار کند.
• SAST و DAST — تحلیل ایستا روی کد در برابر آزمون پویا روی برنامه‌ی در حال اجرا. هیچ‌کدام نقص‌های کنترل دسترسی را قابل اعتماد پیدا نمی‌کنند.

ابزارها

• Burp Suite — پروکسی میانی و ستون فقرات آزمون دستی وب. نسخه‌ی Community اسکنر و Collaborator ندارد؛ اما DOM Invader در آن هم موجود است.
• Caido — پروکسی میانی مدرن با معماری کلاینت-سرور. متن‌باز نیست و هنوز پیش از نسخه‌ی ۱ است؛ اسکنر خودکار هم ندارد.
• Nmap — کشف میزبان، پورت و سرویس. اسکنر آسیب‌پذیری برنامه‌ی وب نیست.
• Nuclei — تطبیق‌دهنده‌ی قالب‌محور؛ برای CVE و پیکربندی شناخته‌شده عالی است، برای منطق کسب‌وکار بی‌فایده.
• ffuf — فازر سریع برای کشف محتوا، پارامتر و زیردامنه.
• sqlmap — خودکارسازی بهره‌جویی از تزریق SQL روی نقطه‌ای که قبلاً پیدا کرده‌اید.
• subfinder — شمارش غیرفعال زیردامنه‌ها.
• Wireshark — تحلیلگر ترافیک شبکه؛ در تست وب معمولاً ابزار اصلی نیست.
• Metasploit — چارچوب بهره‌جویی شبکه و میزبان؛ نقش آن در تست وب محدود و جانبی است.
• Kali Linux — توزیع لینوکس با ابزارهای بسته‌بندی‌شده؛ جعبه‌ابزار است، نه مهارت.

کنترل‌های دفاعی و اصطلاحات سازمانی

اگر می‌خواهید این اصطلاحات را در قالب یک ارزیابی واقعی روی سامانه‌ی خودتان ببینید، تست نفوذ وب نقطه‌ی شروع است؛ و برای مرور مفاهیم پایه، امنیت وب چیست و امنیت سایبری را ببینید.

پرسش‌های متداول

WRITTEN BY

محمدرضا مقدم

توسعه‌دهنده ابزار

مغز خودکارسازی تیم؛ ابزارها و زیرساخت داخلی پی‌هانتر را می‌سازد تا اسکن و گزارش‌گیری سریع‌تر و دقیق‌تر انجام شود.

LinkedIn ↗درباره تیم ←