Poziom zaawansowania:
Prowadzący:
Kamil Jarosiński, Marek Rzepecki
Miejsce i data:
- zdalne: 23-24.04.2025
- zdalne: 26-27.06.2025
- zdalne: 03-04.11.2025
- zdalne: 01-02.12.2025
Cena:
cena 2299 PLN netto
(2 dni)
Uwaga: zapisy na stronie sklepu Securitum.
O szkoleniu
Praktyczny kurs prowadzony przez znanych badaczy bezpieczeństwa Kamila Jarosińskiego lub Marka Rzepeckiego – dwa dni warsztatów nt. praktycznej strony bezpieczeństwa aplikacji webowych w kontekście podatności po stronie frontendu.
Każda podatność zostanie poprzedzona krótkim wstępem teoretycznym – z uwzględnieniem różnic w możliwości wykonywania jej w najpopularniejszych przeglądarkach.
Czego dowiesz się podczas szkolenia
- Jakie są realne skutki podatności XSS
- Jakie istnieją rodzaje XSS-ów
- O punktach wstrzyknięć i miejscach wykonania kodu
- Jak debugować kod JS w przeglądarce
- Jak chronić się przed podatnością
- tak dla HTML, nie dla XSS – czyli kilka słów o sanityzacji
- Czy silniki szablonów zawsze zapewniają pełne bezpieczeństwo – pomówmy o React
- Jak działa podatność CSRF oraz jak się chronić
- Tylko jedno kliknięcie – jak wykorzystać podatność clickjacking
- Świat bez XSS – czy na pewno jesteś bezpieczny?
- Wstrzyknięcia w style CSS i co mi zrobisz
- Jak działa mechanizm PostMessage – jak nie popełniać błędów
- CORS – czy wiesz, że to nie jest mechanizm bezpieczeństwa?
- WebSocket – kiedy i jak można przejąć sesję innego użytkownika
- Permanentny XSS – o tym jak działa ServerWorker
- Jakie mechanizmy bezpieczeństwa implementują współczesne przeglądarki
- Content-Security-Policy – a komu to potrzebne?
Co powinieneś wiedzieć przed szkoleniem
- Znać podstawy programowania w języku JavaScript i HTML
- Powinieneś mieć konto na stronie https://portswigger.net/web-security
Do kogo skierowane jest szkolenie
- Do programistów
- Do devopsów
- Do pentesterów
- Do zainteresowanych tematyka bezpieczeństwa aplikacji webowych
Agenda
1. Wprowadzenie do szkolenia i technologii client-side.
2. Cross-Site Scripting – najistotniejsza podatność świata client-side.
-
-
- omówienie Same Origin Policy
- omówienia i trening praktycznych skutków XSS-ów,
- typy XSS,
- omówienie punktów wejścia XSS (parametry GET/POST, pliki Flash, pliki SVG, upload plików)
- omówienie punktów wyjścia XSS (niebezpieczne funkcje JS, konteksty w HTML)
- omówienie metod ochrony przed XSS
- techniki omijania filtrów XSS
- XSS-y a dopuszczanie fragmentów kodu HTML.
- Inne ataki działające po stronie przeglądarek:
-
- Cross-Site Request Forgery
- Clickjacking,
- RPO (Relative Path Overwrite)/ataki z użyciem CSS,
- JSON hijacking,
- Dangling markup.
- Problemy bezpieczeństwa elementów API HTML5:
-
- postMessage,
- CORS (Cross-Origin Resource Sharing),
- Service Workers,
- Web Sockets.
- Content-Security-Policy – remedium na problemy bezpieczeństwa czy piekło wdrożenia?
-
- wyjaśnienie idei CSP,
- omówienie dyrektyw CSP,
- omówienie sposobów obejścia CSP,
- omówienie problemów przy wdrażaniu CSP.
- Sposoby zwiększania bezpieczeństwa frontendu
-
- nagłówki bezpieczeństwa (X-Frame-Options, Public-Key-Pins, Strict-Transport-Security i inne),
- flagi ciasteczek,
- dobre praktyki w pisaniu aplikacji.
- Biblioteki JS (jQuery, Angular, React, Knockout)
-
- problemy bezpieczeństwa bibliotek JS,
- wstrzyknięcia szablonów,
- naruszenie dotychczasowych założeń bezpieczeństwa.
- Bug bounty
-
- kwestie organizacyjne programów bug bounty na przykładzie Google
- techniczne omówienie znalezionych błędów.
- Ćwiczenie podsumowujące – wykorzystanie podatności client-side do
wydobywania danych z innych domen.
- Podsumowanie szkolenia: krótkie podsumowanie wszystkich metod ataku
i ochrony omawianych na szkoleniu.
-
Pozostałe informacje
- Szkolenie prowadzone jest obecnie w wersji zdalnej, według tego samego programu co szkolenia stacjonarne, uczestnicy wykonują te same ćwiczenia a instruktor jest do dyspozycji uczestników przez cały czas trwania szkolenia.
- Do szkolenia w wersji zdalnej wymagany jest laptop z dowolnym systemem operacyjnym, z przeglądarką Firefox / Chrome, stabilny internet i słuchawki z mikrofonem.
- [UWAGA!] Link/Linki do szkolenia wysyłamy najpóźniej do dwóch dni przed szkoleniem w osobnej wiadomości, na podanego podczas rejestracji maila. Jeżeli nie dostałeś linka to napisz na szkolenia@securitum.pl podając numer zamówienia.
- Istnieje możliwość organizacji szkolenia w formie zamkniętej – dla zamkniętej grupy osób. Szkolenia takie organizujemy na atrakcyjnych warunkach finansowych. . W przypadku zainteresowania tego typu szkoleniem prosimy o kontakt e-mail: szkolenia@securitum.pl, tel.: +48 516 824 029
- Wiedzę na temat bezpieczeństwa aplikacji webowych można też zdobyć na szkoleniu Websecurity Master. Dostępne są dwa moduły – podstawowy i zaawansowany. W sumie to dwanaście praktycznych, 4 godzinnych sesji szkoleniowych, prowadzonych zdalnie na żywo.
Co zawiera cena szkolenia
- Udział w szkoleniu i dostęp do platformy szkoleniowej.
- Certyfikat ukończenia szkolenia (PDF).
- Rozwiązania ćwiczeń w formie PDF
Prowadzący: Kamil Jarosiński, Marek Rzepecki
- Kamil Jarosiński jest konsultantem ds. bezpieczeństwa IT w firmie Securitum.
- Posiada 7 lat doświadczenia w prowadzeniu testów penetracyjnych oraz szkoleń z zakresu bezpieczeństwa aplikacji webowych.
- Pasjonat bezpieczeństwa systemów IT lubiący dzielić się wiedzą.
- Prelegent na konferencjach branżowych m.in: Mega Sekurak Hacking Party
- Uczestnik programów Bug Bounty.
Marek Rzepecki jest audytorem/pentesterem w firmie Securitum
- Prowadzi szkolenia z zakresu Cyber Awareness oraz wykłady z wielu różnych dziedzin bezpieczeństwa.
- Pasjonat bezpieczeństwa systemów IT
- Prelegent na konferencjach bezpieczeństwa: Mega Sekurak Hacking Party , Confidence , oraz autor prezentacji związanych z błędami bezpieczeństwa aplikacji mobilnych.
- Po godzinach wyszukuje podatności w ramach programów Bug Bounty
