Bezpieczeństwo aplikacji WWW

Dwudniowe szkolenie warsztatowe umożliwiające praktyczne poznanie tematyki bezpieczeństwa aplikacji webowych. 

Na szkoleniu prezentujemy kilkanaście podatnych systemów, których bezpieczeństwo analizowane jest przez kursantów. Każda podatność poprzedzona jest wstępem teoretycznym, a dla podatności wskazujemy również metody ochrony przed atakami. 

Utrwalanie wiedzy ułatwia: silne podejście warsztatowe, dostęp do podatnych aplikacji również po szkoleniu, czy wskazanie dodatkowych dokumentacji i zasobów umożliwiających realizację samodzielnych testów bezpieczeństwa.

Do kogo skierowane jest szkolenie:

    • Do programistów
    • Do devopsów
    • Do pentesterów
    • Do zainteresowanych tematyka bezpieczeństwa aplikacji webowych

Czego nauczysz się podczas szkolenia:

    • Na szkoleniu poznasz kilkanaście podatnych systemów, których bezpieczeństwo analizowane jest przez kursantów. Każda podatność poprzedzona jest wstępem teoretycznym, a dla podatności wskazujemy również metody ochrony przed atakami.

Agenda:

Wprowadzenie do tematyki testowania bezpieczeństwa aplikacji webowych

    • Czym są testy penetracyjne aplikacji www?
    • Prezentacja przykładowego, realnego raportu z testów penetracyjnych.
    • Omówienie dokumentów OWASP Top Ten, OWASP ASVS (Application Security Verification Standard), OWASP Testing Guide.
    • Dalsze źródła wiedzy – serwisy on-line, literatura, narzędzia.

Rekonesans

    • Shodan – mapowanie własnej infrastruktury, wykorzystanie filtrów
    • Google hacking – lokalizowanie ukrytych katalogów / wersji oprogramowania / ścieżek instalacji systemów
    • Lokalizowanie ukrytych domen
    • Techniki brute force

Case Studies

    • Pełne przejęcie profesjonalnej kamery CCTV – root bez uwierzytelnienia – przez atak na konsolę webową
    • Atak na urządzenia TP-Link – root bez uwierzytelnienia przez konsolę webową
    • Nuxeo – wykonanie kodu w OS poprzez manipulację zip-ami / XXE / path traversal bez uwierzytelnienia
    • Dotnetnuke – wykonanie kodu w OS poprzez połączenie kilku podatności

Podatność SQL injection

    • 10 minutowe wprowadzenie do języka SQL
    • Kilka przykładów tej podatności w różnych miejscach aplikacji – nauka wykrywania podatności, przygotowania proof of contept (nieautoryzowane pobranie danych z bazy         wykonanie kodu w systemie operacyjnym)
    • Techniki omijania filtrów

Wykrywanie, wykorzystywanie oraz ochrona przed podatnościami

    • Manipulacje plikami XML w celu nieautoryzowanego dostępu do danych na serwerze (XXE)
    • OS Command injection (kilka wariantów) – w tym błąd w jednej z bibliotek JAVA, problemy z mechanizmami uploadu
    • XSS – przejęcie dostępu administracyjnego w systemie blogowym / omijanie filtrów
    • CSRF

Kilka wybranych ataków typu DoS

    • ReDoS
    • XML Bomb
    • ZIP Bomb

Testowanie bezpieczeństwa API REST / Webservices (SOAP)

    • Wstęp do tematyki API
    • Automatyczne generowanie requestów HTTP do API na podstawie pliku WSDL
    • Automatyczne testy bezpieczeństwa SOAP / REST
    • Ręczne poszukiwanie podatności API: SOAP / REST

Ataki na system uwierzytelnienia i autoryzacji

    • Badanie kilku aspektów bezpieczeństwa ścieżki logowania
    • Badanie wykorzystanych mechanizmów autoryzacji
    • Techniki bruteforce

Całościowy test bezpieczeństwa na aplikację w LAB, podsumowujący wiedzę

    • Wykrycie kilku klas podatności
    • Wskazanie metod ochrony

Przydatne informacje:

Szkolenie prowadzone jest obecnie w wersji zdalnej, według tego samego programu co szkolenia stacjonarne, uczestnicy wykonują te same ćwiczenia a instruktor jest do dyspozycji uczestników przez cały czas trwania szkolenia.

Do szkolenia w wersji zdalnej wymagany jest laptop z dowolnym systemem operacyjnym (z zainstalowanym Java JRE od Oracle), z przeglądarką Firefox / Chrome, stabilny internet i słuchawki z mikrofonem.

Istnieje możliwość organizacji szkolenia w formie zamkniętej – dla zamkniętej grupy osób. Szkolenia takie organizujemy na atrakcyjnych warunkach finansowych.

W przypadku zainteresowania tego typu szkoleniem prosimy o kontakt:

e-mail: szkolenia@securitum.pl, tel.: (12) 36 13 337 

Co zawiera cena szkolenia: 

    • Udział w szkoleniu i dostęp do platformy szkoleniowej.
    • Certyfikat ukończenia szkolenia (PDF).
    • Przekazanie w formie PDF rozwiązań ćwiczeń.
    • Dodatkowe zadanie on-line do ćwiczeń po szkoleniu

O prowadzącym:

Kamil Jarosiński jest konsultantem  ds. bezpieczeństwa IT w firmie Securitum. Posiada 5 lat doświadczenia w prowadzenia testów penetracyjnych oraz szkoleń z zakresu bezpieczeństwa aplikacji webowych. Pasjonat bezpieczeństwa systemów IT lubiący dzielić się wiedzą. Prelegent na konferencjach branżowych: Mega Sekurak Hacking Party, uczestnik programów Bug Bounty.

Opinie uczestników o szkoleniu:

Dobra organizacja czasu, przygotowane materiały działały jak powinny (np. ships.lab).

Mega wiedza prowadzącego. Oraz bardzo fajnie przygotowane materiały/ćwiczenia.

Super trener :) można troszkę mniej wdawać się w czasem jałowe dyskusje z przemadrzalskimi :)

Ocena Celująca.

Jasny i klarowny sposób prezentowania. Ogromna wiedza przekazywana w bardzo dostępny sposób.

Sporo ćwiczeń, wiedza przekazywana w bardzo przyswajalny sposób oraz wysoki poziom wiedzy prowadzącego, widać że bezpieczeństwo poza pracą jest po prostu pasją.

Forma i łatwość z jaką prowadzący przedstawiał informację + zadania praktyczne.

Świetnie, najciekawsze i najlepiej prowadzone szkolenia na jakich byłem.

Biorąc pod uwagę doświadczenia z innych szkoleń o różnej tematyce, muszę przyznać, że Michał to pierwszy prowadzący, który potrafił odpowiedzieć na wszystkie pytania i jeden z dwóch na mnóstwo szkoleń, który nie musiał trzymać się sztywnej agendy, żeby odnajdywać się w temacie szkolenia.

Znakomita. Widać, że jest ekspertem najwyższej próby w zakresie omawianej tematyki.

Wszystko było super. Najbardziej podobały mi się ćwiczenia.

Merytorycznie bardzo mocne. Duża dawka wiedzy.

Ogólnie ciekawa tematyka, pozytywnie zaskoczyło mnie ćwiczenie gdzie trzeba było zastosować kilka technik żeby otrzymać wynik.

Trener super. Wiedza ogromna i cierpliwość to chyba sedno sprawy. Głosu prowadzącego też się mile słucha. Ciekawe jak by się sprawdził w radiu.

Bardzo lubię, gdy trenerami są ludzie zafascynowani tematem o którym mówią a tu tak było :)

Mam nadzieję, że trafię jeszcze na jakieś szkolenie z Kamilem!

 

Poziom zaawansowania:grade grade grade

Prowadzący: Kamil Jarosiński

30-31.05.2022 (zdalnie)

1 950,00 zł netto + 23% VAT
2 398,50 zł brutto