- zdalny: 02.12.2020
O szkoleniu
Szkolenie jest naturalną kontynuacją i rozwinięciem kursu „Bezpieczeństwo frontendu aplikacji webowych”.
W trakcie jednego dnia omówione są bardziej zaawansowane techniki atakowania frontendu aplikacji webowych, pozwalające doprowadzić m.in. kradzieży tokenów uwierzytelniających czy wykradania treści wewnętrznych bug-trackerów. Wszystkie tematy zostaną omówione zarówno pod kątem ataków, jak i obrony.
Uwaga: Osoby początkujące (np. bez wcześniejszej styczności z praktycznym wykorzystaniem ataków XSS) zachęcamy do wzięcia udziału w kursie „Bezpieczeństwo frontendu aplikacji WWW”, jednak nie jest to formalnie koniecznie do zapisania się na to szkolenie.
Szkolenie może wymagać dobrej znajomości JS. Przed szkoleniem zostaną wysłane materiały wprowadzające, przydatne do wykonania ćwiczeń.
Ramowy program szkolenia
Podatność prototype pollution była ostatnio znajdowana w wielu popularnych bibliotekach JS, np. jQuery, lodash czy mixin-deep. Na szkoleniu omówione zostaną przyczyny oraz skutki wykorzystania tej podatności, począwszy od zmiany logiki aplikacji aż po możliwość wykonania dowolnego kodu po stronie serwera.
2. Problemy związane z obsługą ciasteczek
Ciasteczka HTTP są popularnym mechanizmem przechowywania stanu w aplikacjach webowych. W rzeczywistości jednak zachowanie przeglądarek związane z ich obsługą może być zaskakujące, co z kolei może prowadzić m.in. do możliwości przejęcia kontroli nad kontem użytkownika przez przechwycenie tokenów OAuth. Na szkoleniu zostaną przedstawione te ataki wraz ze sposobem minimalizacji ryzyka.
3. Podatność XS-Search / XS-Leaks
Podatności typu XS-Search / XS-Leaks są nowym, głośnym tematem w świecie frontendu. Pozwalają one na wykradanie danych z innych domen stosując tzw. ataki bocznokanałowe (np. czas odpowiedzi HTTP, jej wielkość czy zawartość pewnych specjalnych zmiennych w JS). W praktyce podatnosć została wykorzystana m.in. do odczytu danych z prywatnych błędów w Issue Trackerze Google.
4. Podatność DOM Clobbering
DOM Clobbering to problem bezpieczeństwa znany w przeglądarkach od ponad 10 lat, ale wciąż istnieje jej stosunkowo mała świadomość. Występuje w sytuacjach, gdy złośliwy użytkownik aplikacji ma możliwość umieszczania w aplikacji własnego kodu HTML (np. w tzw. rich-editorach). Na szkoleniu pokazane zostanie w jaki sposób możliwość ustawienia własnego atrybutu id czy name dla tych elementów może skutkować zmianą logiki aplikacji, a nawet wykorzystaniem XSS-a!
5. Problemy bezpieczeństwa aplikacji opierających się o WebView (np. Electron, Cordova)
Używanie JavaScriptu wyszło w dzisiejszych czasach już poza świat przeglądarek. Popularne są frameworki, takie jak Electron czy Cordova, które pozwalają pisać aplikacje webowe czy mobilne z użyciem technologii webowych. Zwiększają one ryzyko związane z podatnościami takimi jak XSS, bowiem okazuje się, że często mogą zostać wykorzystane do wykonywania dowolnego kodu na komputerze użytkownika. Na szkoleniu omówione zostaną słabości tych rozwiązań oraz w jaki sposób można niwelować ryzyko.
6. Bezpieczeństwo NPM
NPM to system pakietów używany powszechnie w świecie JS. W praktyce jego użycie wiąże się z ryzykiem zarażenia aplikacji złośliwym kodem przez jedną z zależności. Na szkoleniu zostaną omówione sposoby minimalizacji ryzyka związanego z umieszczaniem w aplikacji cudzego kodu.
Pozostałe informacje
Uwaga: Osoby początkujące (np. bez wcześniejszej styczności z praktycznym wykorzystaniem ataków XSS) zachęcamy do wzięcia udziału w kursie „Bezpieczeństwo frontendu aplikacji WWW”, jednak nie jest to formalnie koniecznie do zapisania się na to szkolenie.
Szkolenie prowadzone jest obecnie w wersji zdalnej, według tego samego programu co szkolenia stacjonarne, uczestnicy wykonują te same ćwiczenia a instruktor jest do dyspozycji uczestników przez cały czas trwania szkolenia. Do szkolenia wymagany jest laptop z dowolnym systemem operacyjnym, z przeglądarką Firefox / Chrome, stabilny internet i słuchawki z mikrofonem.
Szkolenie może wymagać dobrej znajomości JS. Przed szkoleniem zostaną wysłane materiały wprowadzające, przydatne do wykonania ćwiczeń.
Istnieje możliwość organizacji szkolenia w formie zamkniętej – dla zamkniętej grupy osób. Szkolenia takie organizujemy na atrakcyjnych warunkach finansowych. W przypadku zainteresowania tego typu szkoleniem prosimy o kontakt:
e-mail: szkolenia@securitum.pl, tel.: (12) 36 13 337
Cena szkolenia
Cena katalogowa jednodniowego szkolenia wynosi 1150 PLN netto / osobę i zawiera:
- Udział w szkoleniu – dostęp do platformy szkoleniowej
- Materiały wprowadzające w formie elektronicznej
- 30 dniowy dostęp do zadań rozwiązywanych w trakcie szkolenia
- Certyfikat ukończenia szkolenia (PDF)
Formularz zgłoszeniowy
Wypełnij formularz, aby zapisać się na szkolenie.
Prowadzący: Michał Bentkowski
- Michał Bentkowski jest konsultantem d/s bezpieczeństwa IT w firmie Securitum
- Uczestnik programów bug bounty
- Wysokie miejsce w globalnym rankingu Hall of Fame Google – Application Security). W swojej karierze lokalizował błędy klienckie w domenie google.com czy Google Docs – zgłoszonych przeszło 20 błędów z pulą wypłaty przeszło 60 tysięcy USD.
- Zgłoszone błędy bezpieczeństwa w przeglądarkach: Firefox, Internet Explorer (zob. np. ominięcie Same Origin Policy w Firefox; Microsoft Browser Elevation of Privilege Vulnerability – CVE-2015-6139).
- Ponad 7 lat doświadczenia w testowaniu aplikacji mobilnych i webowych
- Współautor książki „Bezpieczeństwo aplikacji webowych”
- Prelegent na konferencjach: MEGA SHP (2019), Confidence (2019, 2018), SEMAFOR (2019), SECURE (2019, 2018), WTH (2019), KrakYourNet (2016), 4Developers (2016), OWASP@Kraków (2015)
- Autor tekstów w serwisie: sekurak.pl, sekurak/offline oraz w magazynie Programista.
