Testowanie Bezpieczeństwa Aplikacji Internetowych- Kraków

30 maja 2019

• Potrafisz:
• wykonać skuteczny atak na aplikację webową, kompleksowo przetestować webaplikację pod kątem bezpieczeństwa, korzystać z narzędzi, które ułatwią Ci pracę, przeprowadzić weryfikację raportu z testów bezpieczeństwa, przeprowadzić analizę ryzyka i modelowanie zagrożeń.
• Wykład partnera konferencji
• Wstęp do testów bezpieczeństwa – Statystyki dotyczące ataków – Budowanie profilu atakującego – Motywacja atakującego – Najpopularniejsze techniki ataków
• Cross Site Scripting (XSS) – Reflected XSS – Stored XSS – DOM-Based XSS – Techniki omijania filtrów – Ćwiczenia praktyczne
• Cross Site Request Forgery (CSRF) – Czym jest CSRF – Jak wyszukiwać podatności tego typu? – Narzędzia automatyczne wspierające wyszukiwanie CSRF – Stworzenie formularza wykorzystującego podatność – Ćwiczenia praktyczne
• Rekonesans – Skąd atakujący biorą informacje o swoim celu – Korzystanie z Shodan.io – Google hacking – Metadane – Fingerprinting serwera – Fingerprinting aplikacji – Enumeracja aplikacji na serwerze internetowym – Identyfikacja punktów wejścia do aplikacji – Ćwiczenia praktyczne
• Directory Traversal / File Include – Omówienie podatności – Omijanie filtrowania – Wykorzystanie narzędzie automatycznych – Ćwiczenia praktyczne
• SQL Injection – Czym jest SQL Injection – Techniki wykrywania – Fingerprinting bazy danych – Możliwości wykorzystania – Omijanie filtrowania – Blind SQL Injection – Narzędzia automatyczne – Ćwiczenia praktyczne
• Testowanie logiki biznesowej – Omówienie przykładów błędów logiki biznesowej mających wpływ na bezpieczeństwo – Wrzucanie złośliwych plików na serwer – Case Studies
• Używanie lokalnego proxy (Burp, OWASP ZAP) – Korzystanie ze skanera automatycznego – Użycie crawlera – Badanie losowości – Manipulacja parametrami – Wykorzystanie lokalnego proxy do wykonywania Fuzz Testingu – Burp / OWASP ZAP w Continous Integration – Ćwiczenia praktyczne
• Wykorzystanie komercyjnych skanerów automatycznych – Konfiguracja narzędzia – Wykorzystanie w Continous Integration – Generowanie raportów i metryk – Zarządzanie narzędziem w projekcie – Case Study
• HTML Injection – Techniki wyszukiwania HTML Injection – Omijanie filtrowania – Metody wykorzystania podatności
• Testowanie WebService’ów i API – Crawlowanie API – Testowanie REST API – Omówienie typowych problemów z konfiguracją i bezpieczeństwem API
• Web Application Firewall – Czym są WAF-y? – W jaki sposób działają? – Jak je prawidłowo skonfigurować? – Sposoby omijania filtrów zaimplementowanych przez WAF
• Projektowanie i tworzenie bezpiecznego oprogramowania – Analiza ryzyka (DREAD) – Modelowanie zagrożeń (STRIDE) – Wycena zasobów – OWASP ASVS – Microsoft SDLC – Ćwiczenia praktyczne
• GDPR w kontekście aplikacji internetowych – Wyzwania dla projektów informatycznych związane z wdrożeniem GDPR – Przygotowanie odpowiednich zgód – Anonimizacja danych – Przygotowanie aplikacji pod nowe prawa użytkowników
• Denial of Service – Techniki wyszukiwania podatności DoS – Rodzaje i możliwości wykorzystania poszczególnych typów ataków DoS – Wyszukiwanie podatności przy użyciu Burp Suite – Ćwiczenia praktyczne
• Analiza statyczna – Dlaczego warto inwestować w analizę statyczną kodu – Narzędzia do przeprowadzania analizy statycznej
• Elementy socjotechniki w kontekście aplikacji internetowych – Popularne przykłady ataków – Jak zabezpieczyć użytkowników  przed atakami socjotechnicznymi z poziomu kodu