Czas trwania (dni/godz.): 2/16
Opis szkolenia
Szkolenie, dzięki któremu uczestnik zapozna się z tematyką bezpieczeństwa aplikacji webo-wych. Szkolenie ma charakter warsztatowy i nacisk kierowany jest głównie na praktykę.
Na szkoleniu uczestnik ma do dyspozycji kilka specjalnie zaprojektowanych aplikacji webowych, na których szkoli swoje umiejętności. Każdy przypadek podatności na wstępie jest objaśniony przez instruktora, aby następnie uczestnik mógł przeanalizować daną podatność w praktyce. Instruktor także przedstawia metody ochrony przed danymi atakami.
Profil słuchaczy
Szkolenie skierowane jest do programistów, testerów, pentesterów oraz wszystkich zainteresowanych tematyką bezpieczeństwa.
Wymagania wstępne
Od uczestników wymagana jest podstawowa wiedza na temat systemu operacyjnego Linux oraz działania aplikacji webowych.
Program kursu:
1. Wprowadzenie do testowania aplikacji webowych
• Co to są testy penetracyjne aplikacji webowych
• Objaśnienie dokumentów OWASP Top Ten, OWASP ASVS (Application Security Verification Standard), OWASP Testing Guide
• Prezentacja wykorzystywanych narzędzi
• Wprowadzenie do systemu operacyjnego Kali Linux
2. Gromadzenie informacji
• Google hacking
• Nmap – skaner portów TCP, UDP itp.
• Szukanie subdomen danego serwera
• Wyszukiwanie plików i katalogów na serwerze WWW
• Biały i czarny wywiad
3. Podatności
a) SQL Injection Vulnerabilities
• Krótkie wprowadzenia do języka SQL
• Sposoby wykrywania SQL Injection
• Odczyt wrażliwych danych z bazy danych
• Narzędzia ułatwiające poszukiwanie i wykorzystanie podatności SQL Injection
• Sposoby omijania filtrów.
b) Insecure Session Management
• Logowanie jak Admin bez hasła
• Manipulacja ciasteczek
c) Brute Force & Dictionary Attacks
• Atak Brute Force na wybrane systemy
• Atak Słownikowy na wybrane systemy
• Wykorzystanie narzędzi do automatyzacji ataków Brute Force & Dictionary
d) Cross Site Scripting
• Rodzaje błędów XSS.
• Odkrywanie prostych oraz zaawansowanych błędów XSS
• OWASP Cross Site Scripting – Ściągawka XSS
• Wykorzystanie Framework-a do wykorzystania podatności XSS
• Sposoby zapobiegania podatnością XSS
e) Metasploit Framework – wersja free
• Wstęp do konsoli MSFconsole
• Przedstawienie modułów Metasploit Framework oraz ich możliwości
• Wykorzystanie gotowych exploit-ów