ما وظيفة هذا الكود

هذا مثال على هجوم XSS (Cross-Site Scripting).

فالكود عبارة عن payload يستخدمه المخترق لاختبار ما إذا كان موقعك غير محمي ويسمح بحقن JavaScript داخل الصفحة.

ويعمل الكود كالتالي :

• <img src="x:x"> هنا الصورة غير صالحة وبالتالي سيحدث خطأ.
• onerror=alert('xss') وهذا الجزء عند حدوث الخطأ يتم تنفيذ الكود داخل onerror.
• وفي هذا المثال سيظهر alert('xss') كدليل على نجاح الاختراق.

لتفهم وظيفة هذا الكود لنحاول تفكيكه أولاً 

فالجزء  <img src="x:x" ينشئ وسم صورة HTML مع مصدر غير صحيح أو غير موجود. لذلك سيفشل المتصفح في تحميل الصورة.

والجزء onerror=alert('xss') هنا يكمن الخطر الحقيقي. عندما يفشل تحميل الصورة، يتم تشغيل حدث onerror الذي يحتوي على كود JavaScript (في هذه الحالة alert('xss')). هذا يعني أن كود JavaScript سينفذ في المتصفح .

وفي هذا المثال البسيط، الكود يعرض فقط رسالة تنبيه. لكن في الهجمات الحقيقية، يمكن للمهاجم أن يستبدل alert('xss') بأكواد أكثر خطورة مثل سرقة ملفات تعريف الارتباط (cookies)، إعادة توجيه المستخدم لمواقع ضارة، أو سرقة بيانات حساسة.

ولحماية تطبيقات الويب من مثل هذه الهجمات، يجب علىك تنظيف المدخلات أي يجب تحويل الرموز الخاصة مثل <, >, ", ' إلى HTML entities

واستخدام Content Security Policy 

ما هو XSS؟

XSS (Cross-Site Scripting) هو نوع من ثغرات الأمان في المواقع. ببساطة:

المهاجم يدخل كود جافاسكريبت أو HTML في الموقع.

هذا الكود يتم تنفيذه عند زيارة المستخدم العادي للموقع.

النتيجة: المهاجم ممكن يسرق بيانات، أو يغير محتوى الصفحة، أو يعرض نوافذ مزعجة، أو حتى يتحكم بالجلسة (Session) للمستخدم.

شرح الكود

<img src="x:x" onerror=alert('xss')>

الجزء الأول:

<img src="x:x">

هذا عنصر صورة.

src="x:x" غير صالح، أي الصورة لن تُحمَّل.

المتصفح سيحاول تحميل الصورة، ويفشل، فيحدث خطأ تحميل.

الجزء الثاني:

 onerror=alert('xss')

onerror هو حدث (Event) يُنفَّذ عند حدوث خطأ في العنصر (مثل فشل تحميل صورة أو فيديو).

هنا الخطأ متوقع لأنه src غير صالح.

القيمة alert('xss') تعني: "شغّل نافذة منبثقة فيها نص 'xss'".

ماذا يحدث عمليًا؟

المتصفح يرى

<img src="x:x" onerror=alert('xss')>.

يحاول تحميل الصورة من x:x → يفشل.

يحدث خطأ → onerror يُنفَّذ → يظهر

alert('xss').

 لماذا يستخدم المهاجمون هذا؟

هذه مجرد طريقة اختبار للثغرة.

بدل alert('xss')، يمكنهم وضع كود ضار مثل:

سرقة الكوكيز: document.cookie

إعادة توجيه المستخدم لموقع آخر

تعديل محتوى الصفحة لتظهر رسائل خادعة

 نقاط مهمة

هذا الهجوم يحدث فقط إذا لم يقم الموقع بتنظيف أو حماية المدخلات (Input Sanitization).

المواقع الآمنة: تمنع تنفيذ أي جافاسكريبت من مدخلات المستخدم، أو تستخدم Content Security Policy (CSP).