«Безопасность веб-приложений» — практический курс [Xakep.ru] [Александр Twost Пушкин]

[Bot]

«Безопасность веб-приложений» — практический курс, направленный на выявление уязвимостей, оценку их рисков для проекта и устранение их различными способами.
Главный тренер: Александр Twost Пушкин

Рекомендуем пройти этот курс, если вы:

• Веб-разработчик, который хочет понять корень зла — причины возникновения уязвимостей (и не всегда по вине разработчика), а также осознает тот факт, что современные фреймворки вполне себе позволяют писать уязвимый код.
• Будущий пентестер, который готов за 2 месяца усвоить все необходимые навыки по аудиту веб-приложений, а дальше только набираться опыта и пополнять список успешно выполненных проектов по пентесту или BugBounty.
• DevOps-инженер, заинтересованный в улучшении безопасности инфраструктуры компании, автоматизации обнаружения и отражения атак.
• Работодатель, понимающий важность обеспечения безопасности коммерческих данных и заинтересованный в инвестициях в человеческие ресурсы.

Спойлер: Программа курса

1. Знакомство со структурой курса и используемым программным обеспечением
2. Классификация OWASP top 10
3. ClientSide: Open Redirect, CSRF, HTML Injection and Content Spoofing, Cross-Site Scripting
4. ServerSide: HTTP Parameter Pollution, CRLF Injection, ServerSide Request Forgery, Subdomain Takeover
5. ServerSide: SQL Injection
6. ServerSide: RCE, LFI, Deserialization
7. ServerSide: XXE, Template Injections
8. ServerSide: Race condition, IDOR
9. Сбор информации (разведка) о веб-приложении и его компонентах
10. Статические анализаторы кода и ручной анализ
11. Fuzzing
12. Инструменты для автоматического поиска и эксплуатации уязвимостей
13. Самописные инструменты для автоматизации поиска и эксплуатации уязвимостей
14. Web-shells и постэксплуатация
15. Права доступа и повышение привилегий
16. Методологии анализа защищенности и написание отчёта по аудиту
17. Выбор темы и организация проектной работы
18. Консультации по проектной работе
19. Защита проектных работ

Продажник