Poziom zaawansowania:
Prowadzący: Michał Bentkowski
Miejsce i data:
  • Warszawa: 19-20.02.2018
Cena: 1950 PLN netto (2 dni)

O szkoleniu

Praktyczny kurs prowadzony przez znanego badacza bezpieczeństwa Michała Bentkowskiego – dwa dni warsztatów nt. praktycznej strony bezpieczeństwa aplikacji webowych w kontekście podatności po stronie frontendu.

Na kursie:

  • Dowiesz się o najczęściej występujących podatnościach we frontendzie aplikacji webowych, takich jak: Cross-Site Scripting czy CSS Injection.
  • Zobaczysz jakie zagrożenia stwarzają popularne frameworki JavaScript – jQuery / AngularJS / React / itp
  • Poznasz mniej typowe podatności
  • Poznasz warsztat bugbountera
  • Nauczysz się sprytnych metod omijania filtrów
  • Poznasz metody ochrony

Każda podatność zostanie poprzedzona krótkim wstępem teoretycznym – z uwzględnieniem różnic w możliwości wykonywania jej w najpopularniejszych przeglądarkach.

Ramowy program szkolenia

1. Wprowadzenie do szkolenia i technologii client-side.
2. Cross-Site Scripting – najistotniejsza podatność świata client-side.

  • omówienie Same Origin Policy
  • omówienia i trening praktycznych skutków XSS-ów,
  • typy XSS,
  • omówienie punktów wejścia XSS (parametry GET/POST, pliki Flash, pliki SVG, upload plików)
  • omówienie punktów wyjścia XSS (niebezpieczne funkcje JS, konteksty w HTML)
  • omówienie metod ochrony przed XSS
  • techniki omijania filtrów XSS
  • XSS-y a dopuszczanie fragmentów kodu HTML.

3. Inne ataki działające po stronie przeglądarek:

  •  Cross-Site Request Forgery
  •  Clickjacking,
  •  RPO (Relative Path Overwrite)/ataki z użyciem CSS,
  •  JSON hijacking,
  •  Dangling markup.

4. Problemy bezpieczeństwa elementów API HTML5:

  •  postMessage,
  •  CORS (Cross-Origin Resource Sharing),
  •  Service Workers,
  •  Web Sockets.

5. Content-Security-Policy – remedium na problemy bezpieczeństwa czy piekło wdrożenia?

  •  wyjaśnienie idei CSP,
  •  omówienie dyrektyw CSP,
  •  omówienie sposobów obejścia CSP,
  •  omówienie problemów przy wdrażaniu CSP.

6. Sposoby zwiększania bezpieczeństwa frontendu

  •  nagłówki bezpieczeństwa (X-Frame-Options, Public-Key-Pins, Strict-Transport-Security i inne),
  • flagi ciasteczek,
  • dobre praktyki w pisaniu aplikacji.

7. Biblioteki JS (jQuery, Angular, React, Knockout)

  •  problemy bezpieczeństwa bibliotek JS,
  •  wstrzyknięcia szablonów,
  •  naruszenie dotychczasowych założeń bezpieczeństwa.

8. Bug bounty

  •  kwestie organizacyjne programów bug bounty na przykładzie Google
  •  techniczne omówienie znalezionych błędów.

9. Ćwiczenie podsumowujące – wykorzystanie podatności client-side do
wydobywania danych z innych domen.

10. Podsumowanie szkolenia: krótkie podsumowanie wszystkich metod ataku
i ochrony omówionych na szkoleniu.

Pozostałe informacje

Do szkolenia wymagany jest laptop z przeglądarką Firefox / Chrome.

Istnieje możliwość organizacji szkolenia w formie zamkniętej, w siedzibie Klienta – dla zamkniętej grupy osób. Szkolenia takie organizujemy na atrakcyjnych warunkach finansowych. W przypadku zainteresowania tego typu szkoleniem prosimy o kontakt:

e-mail: szkolenia@securitum.pl, tel.: (12) 36 13 337

Cena szkolenia

Cena dwudniowego szkolenia wynosi 1950 PLN netto / osobę i zawiera:

  • Udział w szkoleniu.
  • Obiad w trakcie każdego dnia trwania szkolenia.
  • Dostępne w trakcie szkolenia: kawa, herbata, woda, ciasteczka.
  • Certyfikat ukończenia szkolenia.
  • Rozwiązania ćwiczeń w formie PDF

Formularz zgłoszeniowy

Wypełnij formularz, aby zapisać się na szkolenie.

Prowadzący: Michał Bentkowski

  • Michał Bentkowski jest konsultantem d/s bezpieczeństwa IT w firmie Securitum
  • Uczestnik programów bug bounty
  • 11 miejsce w globalnym rankingu Hall of Fame Google – Application Security). W swojej karierze lokalizował błędy klienckie w domenie google.com czy Google Docs – zgłoszonych przeszło 20 błędów z pulą wypłaty przeszło 60 tysięcy USD.
  • Zgłoszone błędy bezpieczeństwa w przeglądarkach: Firefox, Internet Explorer (zob. np. ominięcie Same Origin Policy w Firefox; Microsoft Browser Elevation of Privilege Vulnerability – CVE-2015-6139).
  • Ponad 5 lat doświadczenia w testowaniu aplikacji mobilnych i webowych
  • Prelegent na konferencjach: KrakYourNet (2016), OWASP@Kraków (2015), 4Developers (2016)
  • Autor tekstów w serwisie: sekurak.pl, sekurak/offline oraz w magazynie Programista.

Uczestnicy o szkoleniu

Dużo konkretnych technikaliów popartych przykładami. Sporo treści merytorycznej.Wykorzystanie popularnych frameworków: angular, iguax, react.
2017-08-04T11:48:17+00:00
Dużo konkretnych technikaliów popartych przykładami. Sporo treści merytorycznej.Wykorzystanie popularnych frameworków: angular, iguax, react.
Świetne, nieoczywiste przykłady, dużo ciekawostek i opisów faktycznych luk na popularnych serwisach.
2017-08-04T11:49:12+00:00
Świetne, nieoczywiste przykłady, dużo ciekawostek i opisów faktycznych luk na popularnych serwisach.
Przykłady, filmiki z opisem/ krokami szukania błędów.
2017-08-04T11:49:38+00:00
Przykłady, filmiki z opisem/ krokami szukania błędów.
Unikalne przykłady, dużo info jak na 2 dni szkolenia, przystępne tłumaczenie.
2017-08-04T11:50:15+00:00
Unikalne przykłady, dużo info jak na 2 dni szkolenia, przystępne tłumaczenie.
5+, trener potrafi dobrze przekazać wiedzę, a ma jej bardzo dużo do przekazania.
2017-08-04T11:50:49+00:00
5+, trener potrafi dobrze przekazać wiedzę, a ma jej bardzo dużo do przekazania.
Bez zarzutu. Odpowiednie tempo, zrozumiałe objaśnienia, masa przykładów
2017-08-04T11:51:32+00:00
Bez zarzutu. Odpowiednie tempo, zrozumiałe objaśnienia, masa przykładów
Super, [trener] umiał przykuć uwagę, był otwarty na pytania
2017-08-04T11:51:59+00:00
Super, [trener] umiał przykuć uwagę, był otwarty na pytania