Testy bezpieczeństwa nowoczesnych aplikacji internetowych

LICZBA DNI: 3 (24h)

KOD KURSU: SEC/WEB

# owasp

Autor szkolenia:
Sebastian Chmielewski

Szkolenie na zamówienie

Szkolenie dostosowane do potrzeb Twojego zespołu. Dostępne wyłącznie na zamówienie.

  • Dostosowany program
  • Indywidualna wycena
  • Dowolny termin

O szkoleniu

DLA KOGO?

Szkolenie jest kierowane do testerów, programistów, administratorów aplikacji, audytorów oraz fascynatów bezpieczeństwa pragnących zdobyć całościową wiedzę z zakresu prowadzenia testów penetracyjnych oraz wykorzystania jej do weryfikacji bezpieczeństwa złożonych systemów informatycznych

WYMAGANIA

Od uczestników wymagane jest doświadczenie w pracy z aplikacjami internetowymi - najlepiej jako programista lub wdrożeniowiec albo doświadczenie z dziedziny bezpieczeństwa takich rozwiązań

Znajomość podstaw Java oraz .NET a także podstaw administracji w systemach Windows i Linux pozwoli bezboleśnie przejść przez wszystkie laboratoria

ZALETY

Mocną stroną szkolenia są przykłady dla aplikacji .NET (stack Microsoft) i Java (stack Oracle i open source) - z dziedziny bankowości oraz aplikacje mobilne Android i iOS

Uczestnicy wykonują zadania związane z projektem testów penetracyjnych na laboratorium w formie zwirtualizowanego środowiska symulującego typowej problemy złożonej infrastruktury

Cele szkolenia

Przekazanie wiedzy, która uczyni z uczestnika nie tylko weryfikatora bezpieczeństwa na podstawie baz wiedzy i gotowych exploitów ale da podstawy do zostania researcherem bezpieczeństwa zdolnym do pracy z nieznanymi aplikacjami i protokołami oraz wyszukiwania nowych podatności w nich

Program

  • Różnica między testem penetracyjnym a audytem
  • Metodyki prowadzenia testów penetracyjnych
  • Typy testów: whitebox, blackbox, greybox
  • Fazy testów penetracyjnych
  • Szacowanie zagrożeń, modelowanie zagrożeń i drzewa ataku
  • Zakres testu
  • Projekty R&D
  • checklisty w testach penetracyjnych, standardy kodowania: CIS, CERT
  • klasyfikacja podatności według OWASP i CWE
  • co to jest CVE? - otwarte i zamknięte bazy podatności
  • sniffery
  • narzędzia aktywne
  • narzędzia pasywne
  • weryfikacja konfiguracji
  • wykorzystanie: Foca, Massdns, subfinder, dirsearch, dirb
  • Google dorks
  • Shodan
  • użycie baz FuzzDB i Directory List
  • SQL Injection
  • różne ataki typu Injection (XPath, XML, Command, Script, LDAP)
  • Deserializacja w Javie
  • Wstrzykiwanie kodu przez JSON w usługach REST
  • Mass assignment
  • Ataki na usługi REST JAX-RS
  • XSS
  • CSRF
  • Bezpośredni dostęp do danych i obiektów (IDOR)
  • Path Traversal
  • XXE
  • Spring EL Injection, ataki na Spring Framework
  • Command Injection (Shellshock)
  • Zarządzanie sesją
  • Typowe problemy z rejestracją użytkowników i odzyskiwaniem hasła
  • Podatności w JWT
  • wykorzystanie Burp Suite, OWASP ZAP
  • Wykorzystanie Nessus, Nexpose, Burp Suite Scan, Skipfish, Arachni, OpenVAS
  • Narzędzia zapewniające bezpieczeństwo w trakcie developmentu: OWASP Dependency Check, Retire.js, Find-Sec-Bugs, PMD
  • wykorzystanie Metasploit
  • wykorzystanie ZAP i Mozilla ZEST
  • integracja OWASP ZAP z Jenkins
  • wykrywanie dziurawych komponentów z OWASP Dependency Check w CI
  • XXE
  • SOAP
  • XSLT
  • BPEL
  • weryfikacja poprawnej konfiguracji SSL
  • Man-in-the-middle
  • Słabości w implementacji kryptografii
  • ataki na logikę aplikacji: ReDOS, XML Bomb, Flood
  • Specyficzne zagadnienia dla cloud: AWS
  • Wykorzystanie cloud w testach: DoS, DDoS
  • Budowanie bazy wiedzy i bazy ataków
  • Dradis Framework, Faraday IDE, Magic Tree
  • co powinien zawierać dobry raport z testów penetracyjnych?
  • jak formułować zalecenia i obejścia?
  • jak bezpiecznie dostarczyć raport do klienta?
  • jak opisać podatność i uzyskać CVE?
  • formalności w pracy z klientem
  • zarządzanie zakresem
  • Networking
  • Wizytówka

POLITYKA COOKIES:

Korzystamy z plików cookies, by móc jak najlepiej dostosować stronę do Twoich potrzeb oraz wyświetlać Ci przydatne i adekwatnych dla Ciebie reklamy w serwisie i poza nim. Możesz kontrolować ustawienia ciasteczek w swoich ustawieniach swojej przeglądarki. Odwiedzając tę stronę, wyrażasz zgodę na wykorzystywanie przez nas plików cookies.