Thesis (Ph.D)-Cairo University, 2025.

Bibliography: pages 76-84.

Vertical Broken Access Control (VBAC) vulnerability is one of the most commonly identified
issues in web applications, posing significant risks. Consequently, addressing this pervasive
threat is crucial for ensuring system confidentiality and integrity. A comprehensive survey on
detecting and preventing Broken Access Control attacks has been performed, emphasizing the
importance of this challenge, elaborating on existing solutions, their limitations, and the open
problems that remain. Broken access control attack detector (BACAD) is a novel framework
that leverages advanced AI techniques to neutralize VBAC exploits and attacks in real-time
using a dynamic and practical technique. The detection process consists of two steps. The first
step is user role classification using an advanced Artificial Intelligence (AI) model created in
a learning phase. The learning phase includes BACAD initial configuration and application
user roles traffic generation used for AI model training. The AI model at the core of BACAD
framework analyzes web requests and responses utilizing a robust feature extraction, and
dynamic hyperparameter tuning to ensure optimal performance across diverse scenarios. The
second step is the decision step, which determines whether the incoming request-response pair
is benign or an attack by validating it Vs the BACAD session information set. The evaluation
against a spectrum of real-world and demonstration web applications highlights remarkable
efficiency in detecting VBAC exploits, providing robust application protection against
different sets of VBAC attacks. Furthermore, it shows that BACAD framework addresses the
VBAC problem by presenting an applicable, dynamic, flexible, and technology-independent
solution to counter VBAC vulnerability risks. Thus, BACAD framework contributes
significantly to the ongoing efforts aimed to enhance web application security.

ثغرة كسر التحكم في الوصول الرأسي (VBAC) تُعد من أكثر الثغرات شيوعًا وخطورة في تطبيقات الويب، مما يجعل معالجتها أمرًا ضروريًا لحماية سرية وسلامة الأنظمة. تم إجراء دراسة شاملة لاستكشاف طرق الكشف عن هذه الهجمات والوقاية منها، مع التركيز على الحلول الحالية ومحدودياتها. وفي هذا السياق، تم ابتكار إطار جديد يُسمى BACAD، يعتمد على تقنيات الذكاء الاصطناعي لاكتشاف هجمات VBAC والتصدي لها في الوقت الفعلي. يتكون BACAD من مرحلتين: الأولى تصنيف دور المستخدم باستخدام نموذج ذكاء اصطناعي مدرّب، والثانية اتخاذ القرار من خلال مقارنة الطلبات مع معلومات الجلسة للتحقق من كونها هجمات أم لا. يتميز BACAD بكفاءته العالية ومرونته، ويُظهر فاعلية في حماية التطبيقات من أنواع متعددة من هجمات VBAC، مما يجعله مساهمة مهمة في تحسين أمان تطبيقات الويب

Issues also as CD.

Text in English and abstract in Arabic & English.