Web Application Security Basic

Lernziel

Die Teilnehmer kennen die OWASP TOP 10 Schwachstellen und Gegenmassnahmen. Sie können einschätzen, welche Risiken hinter den jeweiligen Schwachstellen stehen und was für Auswirkungen diese auf eine Applikation, das unterliegende System und die Benutzer haben können. Zu jedem Angriff wie SQL Injection, XSS, XSRF oder Authorization Bypass gibt es Theorieinhalte sowie Laborübungen. Zudem werden die Fähigkeit für Self-Assessments und die wichtigen Grundlagen von HTTP/HTTPS geschult.

Die Übungen werden online auf www.hacking-lab.com absolviert. Die Laborumgebung steht den Teilnehmern auch nach Kursende während eines Monats zur Verfügung.

Abgrenzung: Der Kurs ist auf den Web Layer fokussiert. Nessus, Nmap und Vulnerability Scanning sind nicht Bestandteile dieses Kurses. Der Kurs ist zudem Grundlage für das Seminar Web Application Security Advanced, welches sich mit den Themen Web 2.0, HTML5, Advanced JavaScript, AngularJS, Cross-Domain Zugriffe und Authentisierungs-Frameworks beschäftigt.

 

Highlights aus dem Programm

  • Einführung in HTTP/S, Cookies, Sessions
  • Rechtliche Rahmenbedingungen
  • OWASP TOP 10
  • Tool Einführung: HTTP/S Aufzeichnung und Analyse
  • Authentication & Authorization Bypass
  • Session Handling
  • Stored/Reflected Cross-Site Scripting (XSS)
  • SQL Injection
  • Input- & Output-Validierung
  • Web Application Firewall
  • Cross-Site Request Forgery (XSRF)
  • URL Redirection Attacke
  • Security Misconfiguration

Zielgruppe

Security Officers, Web Entwickler

Voraussetzung

  • Vertrautheit mit der Linux Kommandozeile
  • Grundkenntnisse des HTTP Protokolls
  • Grundlegende Kenntnisse der Komponenten einer Webanwendung
  • Programmierkenntnisse von Vorteil

AGENDA

Security Training: Secure Mobile Apps

In 2-Tages Seminar lernen Sie mithilfe verwundbarer Testapplikationen für iPhone und Android die wichtigsten Sicherheitsprobleme von Mobile Apps und... Weiterlesen

Security Training: Social Engineering

Tauchen Sie ein in die Welt des Social Engineering und lernen Sie die vielseitigen Methoden, Tools und Tricks kennen und verstehen. Weiterlesen

KOMPLETTE agenda

aktuelles

Schwachstelle im Mailster

Thierry Viaccoz hat eine XSS-Schwachstelle im Mailster, dem E-Mail Newsletter Plugin für WordPress, identifiziert. Weiterlesen

Sicheres Bezahlen im Internet

Immer mehr Waren und Dienstleistungen werden im Internet gekauft und online bezahlt. Für das Swisscom-Magazin hat Ivan Bütler sicherheitsrelevante... Weiterlesen

Schwachstelle im Froala WYSIWYG HTML Editor

Security Analyst Emanuel Duss hat eine DOM XSS-Schwachstelle im Froala WYSIWYG HTML Editor identifiziert. Weiterlesen

ArCHIV

Compass Security Blog

Yet Another Froala 0-Day XSS

Compass found a DOM-based cross-site scripting (XSS) in the Froala WYSIWYG HTML Editor. HTML code in the editor is not correctly sanitized when inserted into the DOM. This allows an attacker that can... mehr

Relaying NTLM authentication over RPC

Since a few years, we - as pentesters - (and probably bad guys as well) make use of NTLM relaying a lot for privilege escalation in Windows networks. In this article, we propose adding support for... mehr

ZUM BLOG