Kurs:
S18: Sigurnost Web Aplikacija
Napredni
40 časova
Materijali sa predavanja
Sertifikat o pohađanju kursa
Zašto ovaj kurs?
Kurs S18: Sigurnost Web aplikacija ima cilj da nauči polaznike na koji način da najefikasnije koriste sigurnosne komponente, te na najbolji način takođe i osiguraju pristup Web aplikacijama.
Kroz set praktičnih predavanja i vježbi, polaznici će biti u mogućnosti da nauče i više o pojmovima kao što su: sigurnosni koncepti ,koncepti web tehnologija i framework-ova,koncepti i razlike web servera, obilaženje kontrola na klijentskoj strani ,napadi na autentikaciju kao i na web aplikacije:Injection (A1) , napadi na web aplikacije: XSS/CSRF (A3/A8) – Broken authentication and session management (A2) ,BoF (Buffer Overflow) i niz drugih.
Kome je namijenjen ovaj kurs?
Plan i program kursa:
1. Sigurnosni koncepti
- Općenito o sigurnosti
- Razni napadi na web aplikcaije
- Statistika napada na web aplikacije (Verizon DBIR, AKAMAI state of the Internet,…)
2. Koncepti web tehnologija
- Povijest
- Multi-tier arhitektura
- HTTP protocol
- Enkodiranje
- Metode i statusni kodovi HTTP protokola
- Cookies i zaštita session-a
- HTML, XML, SOAP
- Parameter tampering koncepti
- OWASP (top 10, testing guide, ESAPI)
- Razni Web debuging alati
- VJEŽBADEMO: Mapiranje web aplikacije
- VJEŽBA/DEMO: Automatizirano skeniranje web aplikacije
- VJEŽBA/DEMO: forced browsing
- Kako se zaštititi?
3. Koncepti frameworkova
- ASP.NET / Silverlight (NOT TO BE USED ANYMORE)
- PHP
- JAVA
- Flash
4. Koncepti i razlike web servera
- MS IIS
- Apache
- Tomcat
- Ranjivosti web servera
- LAB: Hakiranje Tomcat servera
5. Obilaženje kontrola na klijentskoj strani
- Manipulacija podacima na klijentskoj strani (Prameter tampering)
- Napadi na klijentskoj strani
- DEMO: Primjer napada na klijentskoj strani (DLL injekcija)
- Skrivena polja u formi
- Session cookie i zaštita
- DEMO: Analiza cooki-a
- URL parametri
- Referer header
- LAB: naliza cookie-a i manipulacija podacima n klijentskoj strani
- Kako se zaštititi?
6. Napadi na autentikaciju
- Koncepti autentikacije i autorizacije
- Autentikacijska metoda: Basic
- Autentikacijska metoda: Digest
- Autentikacijska metoda: Windows integrirana (NTLM, Kerberos)
- Autentikacijska metoda: HTML form bazirana
- Autentikacijska metoda: Klijentski certifikati (multifaktorska autentikacija)
- Kritpografija 101
- PKI 101
- Napadi na autentikacijski proces
Brute force,
Dictionary,
Pre-computed hashes - VJEŽBA/DEMO: Automatizacija napada na web password-e pomoću BURP-a i hydra-e
- Kako se zaštititi?
7. Propusti u dizajnu i implementaciji
- Loš password
- Autentikacijske metode podložne brute-force napadima
- Opsežne poruke o greškama
- Nezaštićen prijenos korisničkom imena i passworda
- Funkcionalnosti zaboravljenog passworda i promjene passworda
- Zapamti me funkcionalnost
- Funkcionalnost impersonacije korisnika
- I mnogi drugi propusti
- Kako se zaštititi?
8. Napadi na web aplikacije: Injection (A1)
- SQL injekcija
Razlike između baza: MySQL, MS SQL, Oracle …
Jednostavni i napredni primjer SQL injekcije
Napredni primjer SQL injekcije
Korištenje SQLMap alata - VJEŽBA/DEMO: SQL injekcija (jednostavan i napredni primjer)
- VJEŽBA/DEMO: SQL injekcija (sqlmap)
- LDAP injekcija, OS command injekcija
- LAB: Od OS command injekcije do shell-a
- Kako se zaštititi?
9. Napadi na web aplikacije: XSS/CSRF (A3/A8)
- Pohranjeni (persistent) XSS
- Reflektirani XSS
- DOM bazirani XSS
- XSS – kako se može iskoristiti
- CSRF
- Framework za napad (BeEF)
- VJEŽBA/DEMO: Jednostavan reflektirani XSS
- VJEŽBA/DEMO: Krađa cookie-a korištenjem pohranjene XSS ranjivosti i session hijacking-a
- VJEŽBA/DEMO: Od XSS-a do shella – BeeF (Browser Exploatation Framework)
- Kako se zaštititi?
10. Napadi na web aplikacije: Broken authentication and session management (A2)
- Upravljanje session-om u web aplikacijama
- Tehnike krađe cookie-a
- VJEŽBA: korištenje ukradenog cookie-a za krađu session-a
- DEMO: Trace.axd, Elmah.axd
- Kako se zaštititi?
11. Ostali učestali napadi na web aplikacije
- Što je to direct object reference
- VJEŽBA: Pristup file-ovima korištenjem direct object referenci
- Kako se zaštititi?
- File inclusion Lokalni i udaljeni (LFI, RFI)
- Directory trsversal
- Null byte napadi
- VJEŽBA/DEMO: LFI, RFI, directory traversal
- Problemi vezani uz file upload
- VJEŽBA/DEMO: Od slike do root prava u nekoliko minuta
- Kako radi redirekcija
- HTTP Response Splitting
- Kako iskoristiti redirekciju u maliciozne svrhe
- VJEŽBA: SSL strip
- Kako se zaštititi?
12. Logički propusti
- Što su to logički propusti
- Primjeri
- VJEŽBA: iskorištavanje logičkih propusta
- Kako se zaštititi?
13. Baze
- MSSQL
- Oracle
- MySQL
- Najčešči napadi
- VJEŽBA/DEMO: Identifikacija i hakiranje baza podataka
14. BoF (Buffer Overlow)
- O asembleru i registrima
- Stack bazirani BoF
- DEMO/VJEŽBA: Stack bazirani overflow
- SEH bazirani overflow
- DEMO: SEH bazirani overflow
SERTIFIKACIJA
- Polaznicima pripada sertifikat o pohađanju kursa S18: Sigurnost Web aplikacija za ostvarenih minimalno 70% prisustva od ukupnog fonda časova.
1700,00 KM
Cijena je bez PDV-a.
Cilj kursa je da naučiš
Koncepti web tehnologija i framework-a
Ranjivosti najpopularnijih web servera
Rad u alatima koji pomažu i identifikaciji ranjivosti sistema
Obilaženje kontrola na strani klijenta
Vrste napada na autentifikaciju
Vrste napada na web aplikacije (Injection (A1), XSS/CSRF (A3/A8), Broken authentication and session management (A2))
Šta dobijam?
Pristup kursu u trajanju od 40 časova
Materijale sa predavanja
Sertifikat o pohađanju kursa
Detaljne informacije
08:00-16:00
Veljka Mlađenovića bb
Banja Luka
(krug Poslovne zone Incel)
Možda te zanima
IT bezbjednost
3200 KM
Početni
40 časova
Termin u pripremi
Kurs
890 KM
Srednji
32 časa
Termin u pripremi
Kurs
640 KM
Napredni
40 časova
Termin u pripremi