شرح فحص الوصول إلى web.config

حدود هذا الفحص

يبدأ بطلب HEAD لمسار ثابت، ويستخدم GET محدوداً عند الحاجة مع نوع محتوى وتوقيع ومقارنة بخط أساس ثابت لمسار غير موجود مخصص.

The allowlisted /web.config path can be checked with a bounded HEAD gate and, only when needed, a bounded same-origin GET plus a custom-not-found baseline.

لم يُختبر

يتحقق من جذر وأقسام web.config في استجابة محدودة ويستبعد صفحات HTML أو XML العامة المشابهة.

العبارات التقنية التالية مرتبطة بكتالوج المنهجية وإصدار القاعدة، لذلك تُعرض باتجاه LTR مع شرح عربي محيط بها.

For a verified exposure only: a complete bounded XML/text response used an allowed media type, matched a web.config configuration root and section signature, differed from the structural custom-not-found fingerprint, and the baseline did not match the same target signature.

تعني أن الشرط المسمى اجتاز على الاستجابة المرصودة فقط. لا تصف أمان الموقع كله ولا تختبر المسارات الأخرى.

تعني وجود حقيقة أو إشارة تحتاج إلى قراءة الدليل وسياق التطبيق. لا تعني تلقائياً وجود ثغرة قابلة للاستغلال.

حالة HTTP وحدها لا تكفي أبداً لإثبات تعرض ملف.
تُرفض صفحات تسجيل الدخول وWAF وHTML العام وصفحات 200 المخصصة لغير الموجود عبر نوع المحتوى والتوقيع وخط الأساس.
لا يعرض الفحص أو يحفظ محتوى الملف أو الأسماء أو القيم، ولا يختبر صلاحية اعتماد أو قابلية الاستغلال.

قد يكشف ملف إعداد فعلي تفاصيل تشغيل أو اعتماداً، لكن الفحص لا يوسع XML ولا يعرض القيم ولا يثبت نشاطها.

أن تنتمي الاستجابة المتحققة إلى إعداد فعلي للموقع لا إلى مثال أو ملف غير مستخدم.
أن تحتوي البيانات على معلومات ما زالت حساسة أو قابلة للاستخدام؛ وهذا لا يختبره الفحص.

The scanner performs deterministic text-shape checks rather than expanding XML entities and does not return or persist content, attributes, values, fingerprints, or changed redirect paths and parameters; conservative checks and the byte cap can produce false negatives.

Review contextual signals manually; when Tahsan verifies the signature, remove public access and assess whether active configuration or credentials require remediation.

Prevents a success status or generic XML/HTML page from becoming a false exposure claim.

The /web.config path returns the same 200 HTML shell as an unknown random path.

A matching generic response is not file evidence and must not become a verified exposure.

هذه المراجع تشرح المفهوم ولا تدخل وحدها في قرار القاعدة، ولا تثبت ثغرة أو امتثالاً.