PHP2Shell بالعربي | من رفع ملف إلى Webshell وكيف تحمي السيرفر

كيف ممكن ملف مرفوع يتحوّل لتنفيذ أوامر على السيرفر؟ وشو الفرق بين ثغرات رفع الملفات ومشكلة PHP2Shell داخل PHP نفسها؟ تسجيل ورشة CTF-IED العملية بتاريخ 24 أكتوبر 2026. بنبدأ بشرح PHP2Shell ومصطلحات RCE وWebshell، وبننتقل لتطبيق داخل بوابة مستندات افتراضية: اعتراض طلب الرفع باستخدام Burp Suite، تعديل Content-Type، قراءة نتائج تنفيذ الأوامر، وفهم الحماية بطبقات. يتضمن التسجيل أيضاً محاولة تشغيل PoC الخاصة بـPHP2Shell وتشخيص النتيجة كما ظهرت أثناء البث. مثال تجاوز رفع الملفات هو خلل على مستوى التطبيق، وهو منفصل عن محاولة استغلال ثغرات PHP الأساسية. 🧪 المواضيع والأدوات: • PHP2Shell وRCE • File Upload وContent-Type • Burp Suite وWebshell • تجربة Reverse Shell • قراءة نتائج الـPoC والتعامل مع المشاكل • تحديث PHP وحماية مسارات الرفع والرصد 🎓 بدك تتعلّم بالتطبيق العملي؟ دورة Practical Penetration Tester (PPT)، مباشر بالعربي على CTF-IED، ابتداءً من 10 دولار بالشهر. التفاصيل والتسجيل: https://ctf-ied.com/course ⏱️ فصول الفيديو: 00:00 مقدمة الورشة 00:57 PHP وانتشارها 04:06 ما هي PHP2Shell؟ 04:37 RCE وWebshell والمصطلحات الأساسية 07:26 قراءة أرقام المنطقة 10:15 سيناريو المختبر: بوابة المستندات 12:03 كيف يتم تجاوز فحص نوع الملف؟ 13:48 من ملف مرفوع إلى تنفيذ أوامر 15:58 الدفاع بطبقات وحماية الرفع 17:55 كيف تعمل PHP2Shell داخل PHP؟ 19:30 التحديث والإعدادات الوقائية 22:00 رصد محاولات الاستغلال 24:35 بداية التطبيق العملي وتجهيز البيئة 26:30 إعداد Burp Suite 29:29 إنشاء ملف الاختبار والـWebshell 31:39 اعتراض طلب الرفع وتعديل Content-Type 32:36 تنفيذ الأوامر وقراءة النتائج 33:34 تجربة Reverse Shell 37:24 محاولة PoC وتشخيص النتيجة 42:14 مراجعة بوابة الرفع الآمنة 42:46 الدورة والمنصة والخاتمة التجارب المعروضة داخل مختبر معزول وبوابة لشركة افتراضية. هذا تسجيل للورشة، وليس إعلاناً عن موعد قادم. Recorded Arabic workshop covering PHP2Shell, file-upload security, Burp Suite, webshells, live PoC troubleshooting, and defensive configuration in an isolated lab. #PHP2Shell #الأمن_السيبراني #اختبار_الاختراق