حدود هذا الفحص
ما الذي يطلبه تَحَصَّنْ؟
يبدأ بطلب HEAD لمسار ثابت، ويستخدم GET محدوداً عند الحاجة مع نوع محتوى وتوقيع ومقارنة بخط أساس ثابت لمسار غير موجود مخصص.
متى تنطبق القاعدة؟
- The allowlisted /appsettings.json path can be checked with a bounded HEAD gate and, only when needed, a bounded same-origin GET plus a custom-not-found baseline.
متى لا تنطبق؟
- The probe is disabled or the allowlisted path is not configured.
اختبار الاستغلال
لم يُختبر
ما الذي يرصده؟
يتحقق من بنية JSON خاصة بالإعدادات ويقارنها بخط أساس لصفحة غير موجودة، ولا يعتمد على حالة 200 وحدها.
العبارات التقنية التالية مرتبطة بكتالوج المنهجية وإصدار القاعدة، لذلك تُعرض باتجاه LTR مع شرح عربي محيط بها.
- Allowlisted path
- Bounded request method and status
- Redacted final URL
- Normalized media type
- Bounded byte count
- Static signature identifier
- Custom-not-found comparison state
ماذا تثبت الملاحظة؟
- For a verified exposure only: a complete bounded JSON response used an allowed media type, matched an appsettings configuration shape, differed from the structural custom-not-found fingerprint, and the baseline did not match the same target signature.
ماذا تعني نتيجة الاجتياز؟
تعني أن الشرط المسمى اجتاز على الاستجابة المرصودة فقط. لا تصف أمان الموقع كله ولا تختبر المسارات الأخرى.
ماذا تعني نتيجة المراجعة؟
تعني وجود حقيقة أو إشارة تحتاج إلى قراءة الدليل وسياق التطبيق. لا تعني تلقائياً وجود ثغرة قابلة للاستغلال.
توضيحات تمنع المبالغة
- حالة HTTP وحدها لا تكفي أبداً لإثبات تعرض ملف.
- تُرفض صفحات تسجيل الدخول وWAF وHTML العام وصفحات 200 المخصصة لغير الموجود عبر نوع المحتوى والتوقيع وخط الأساس.
- لا يعرض الفحص أو يحفظ محتوى الملف أو الأسماء أو القيم، ولا يختبر صلاحية اعتماد أو قابلية الاستغلال.
الأثر المحتمل
قد يعرض ملف إعداد فعلي تفاصيل أو أسراراً، لكن وجود بنية مشابهة لا يثبت أن القيم نشطة أو قابلة للاستخدام.
الشروط اللازمة لحدوث ضرر
- أن تنتمي الاستجابة المتحققة إلى إعداد فعلي للموقع لا إلى مثال أو ملف غير مستخدم.
- أن تحتوي البيانات على معلومات ما زالت حساسة أو قابلة للاستخدام؛ وهذا لا يختبره الفحص.
ما لم يُختبر أو يُثبت
- That returned settings are active
- That any value is secret or usable
- Demonstrated exploitability
قيود القاعدة
- The scanner does not return or persist JSON content, property names, values, fingerprints, or changed redirect paths and parameters; conservative shape checks and the byte cap can produce false negatives.
الإجراء المقترح
التحقق في سياق التطبيق
- Review contextual signals manually; when Tahsan verifies the signature, remove public access and assess whether any active settings require rotation or replacement.
الفائدة المتوقعة
- Distinguishes a configuration-shaped JSON response from generic application pages without exposing its contents.
أمثلة تمنع التفسير الخاطئ
The /appsettings.json path returns 200 with an HTML login page.
The HTML media type fails the file-identity guard and is not a verified exposure.
مراجع للتعلم
هذه المراجع تشرح المفهوم ولا تدخل وحدها في قرار القاعدة، ولا تثبت ثغرة أو امتثالاً.
- Review Old Backup and Unreferenced FilesOWASP WSTG · مرجع تعليمي فقطhttps://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/02-Configuration_and_Deployment_Management_Testing/04-Review_Old_Backup_and_Unreferenced_Files_for_Sensitive_Informationيفتح في نافذة جديدة
- CWE-200: Exposure of Sensitive InformationCWE · مرجع تعليمي فقطhttps://cwe.mitre.org/data/definitions/200.htmlيفتح في نافذة جديدة