دوره تست ونفوذ وب | SANS Sec 542

برنامه های کاربردی وب نقشی حیاتی در هر سازمان مدرن ایفا می کنند. اما، اگر سازمان شما به‌درستی برنامه‌های وب خود را آزمایش و ایمن نکند، دشمنان می‌توانند این برنامه‌ها را به خطر بیاندازند، به عملکرد کسب‌وکار آسیب برسانند و داده‌ها را سرقت کنند. متأسفانه، بسیاری از سازمان‌ها با این تصور اشتباه کار می‌کنند که یک اسکنر امنیتی برنامه‌های وب به طور قابل اعتمادی نقص‌های سیستم‌هایشان را کشف می‌کند.

SEC542 به دانش‌آموزان کمک می‌کند تا فراتر از اسکن دکمه‌ای به تست نفوذ حرفه‌ای، کامل و با ارزش بالا بروند.

مشتریان انتظار دارند که برنامه های کاربردی وب قابلیت های قابل توجهی و دسترسی به داده ها را ارائه دهند. حتی فراتر از اهمیت برنامه های کاربردی وب با مشتری، برنامه های کاربردی وب داخلی به طور فزاینده ای رایج ترین ابزارهای تجاری مورد استفاده در هر سازمان را نشان می دهند. متأسفانه، هیچ “پچ سه شنبه” برای برنامه های کاربردی وب سفارشی وجود ندارد، بنابراین مطالعات صنعتی بزرگ نشان می دهد که نقص های برنامه های وب نقش مهمی در رخنه ها و نفوذهای قابل توجه ایفا می کنند. دشمنان به طور فزاینده ای بر روی این اهداف پر ارزش یا با سوء استفاده مستقیم از برنامه های کاربردی عمومی یا با تمرکز بر برنامه های وب به عنوان اهداف پس از نفوذ اولیه تمرکز می کنند.

دفاع سایبری مدرن مستلزم درک واقع بینانه و کامل مسائل امنیتی برنامه های وب است. هر کسی می تواند یاد بگیرد که چند هک وب را انجام دهد، اما تست نفوذ موثر برنامه وب به چیز عمیق تری نیاز دارد.

SEC542 دانش‌آموزان را قادر می‌سازد تا وضعیت امنیتی یک برنامه وب را ارزیابی کنند و در صورت سوء استفاده مهاجمان از آسیب‌پذیری‌های کشف‌شده، تأثیر کسب‌وکار را به‌طور قانع‌کننده نشان دهند.

دانش‌آموزان به نقایص رایج برنامه‌های وب و همچنین نحوه شناسایی و بهره‌برداری از آنها با هدف نشان دادن تأثیر بالقوه کسب‌وکار پی خواهند برد. در طول مسیر، دانش‌آموزان یک فرآیند آزمایش‌شده و قابل تکرار را دنبال می‌کنند تا به طور مداوم نقص‌ها را پیدا کنند. متخصصان امنیت اطلاعات اغلب با کمک به سازمان‌ها در درک ریسک از نظر شرایط مرتبط با تجارت مشکل دارند. اگر سازمانی ریسک را جدی نگیرد و از اقدامات متقابل مناسب استفاده نکند، اجرای هک های عالی ارزش کمی دارد. هدف SEC542 ایمن سازی بهتر سازمان ها از طریق تست نفوذ است و نه فقط نشان دادن مهارت های هک. این دوره به دانش‌آموزان کمک می‌کند تا تأثیر واقعی نقص‌های برنامه وب را نه تنها از طریق بهره‌برداری، بلکه از طریق مستندسازی و گزارش‌دهی مناسب نشان دهند.

علاوه بر محتوای دوره با کیفیت بالا، SEC542 به شدت بر روی آزمایشگاه‌های عمیق و عملی تمرکز می‌کند تا اطمینان حاصل کند که دانش‌آموزان می‌توانند فوراً همه چیزهایی را که می‌آموزند به کار گیرند.

علاوه بر راه رفتن دانش‌آموزان از طریق نفوذ برنامه‌های وب از طریق استفاده از بیش از 30 آزمایشگاه رسمی رسمی، این دوره با یک تورنمنت تست قلم برنامه کاربردی تحت وب، با پشتیبانی از SANS NetWars Cyber ​​Range، به اوج خود می‌رسد. این رویداد Capture the Flag دانش‌آموزان را به تیم‌ها می‌آورد تا دستورات تازه‌ای را که در مورد تکنیک‌های تست نفوذ برنامه‌های وب به دست آورده‌اند، به روشی سرگرم‌کننده برای چکش درس‌های آموخته شده در خانه به کار گیرند.

یاد خواهید گرفت:

برای اعمال یک روش تکرارپذیر برای ارائه تست های نفوذ با ارزش بالا.
نحوه کشف و بهره برداری از نقص های کلیدی برنامه های وب
چگونه می توان تأثیر بالقوه آسیب پذیری برنامه های وب را توضیح داد.
اهمیت امنیت برنامه های وب برای یک وضعیت امنیتی کلی.
چگونه از ابزارهای اصلی حمله برنامه های وب به طور موثرتری استفاده کنیم.
نحوه نوشتن گزارش تست نفوذ برنامه وب
تو خواهی توانست

روش OWASP را در تست های نفوذ برنامه وب خود اعمال کنید تا مطمئن شوید که آنها سازگار، تکرارپذیر، دقیق و تحت کنترل کیفیت هستند.
نتایج حاصل از ابزارهای تست وب خودکار را برای تأیید یافته ها، تعیین تأثیر تجاری آنها و حذف موارد مثبت کاذب تجزیه و تحلیل کنید.
ایرادات کلیدی برنامه وب را به صورت دستی کشف کنید.
از پایتون برای ایجاد اسکریپت های تست و بهره برداری در طول تست نفوذ استفاده کنید.
برای تعیین خطر واقعی سازمان قربانی، نقص های SQL Injection را کشف و از آن بهره برداری کنید.
با ysoserial و ابزارهای مشابه آسیب‌پذیری‌های غیرایمن‌زدایی را درک کرده و از آن‌ها بهره‌برداری کنید.
ایجاد تنظیمات و آزمایش محموله ها در سایر حملات وب.
ورودی های بالقوه را برای حملات تزریقی فازی کنید.
تأثیر سوء استفاده از نقص برنامه های وب را توضیح دهید.
با استفاده از ابزارهایی مانند Zed Attack Proxy و BurpSuite Pro، ترافیک بین سرویس گیرنده و برنامه سرور را تجزیه و تحلیل کنید تا مشکلات امنیتی را در کد برنامه سمت کلاینت بیابید.
حملات جعل درخواست بین سایتی (CSRF) را به صورت دستی کشف و از آن بهره برداری کنید.
از چارچوب بهره برداری مرورگر (BeEF) برای قلاب کردن مرورگرهای قربانی، حمله به نرم افزار مشتری و شبکه و ارزیابی تأثیر احتمالی نقص XSS در یک برنامه استفاده کنید.
دو تست کامل نفوذ وب را انجام دهید، یکی در طی پنج بخش آموزش دوره، و دیگری در طول تمرین Capture the Flag.

• کارشناسان امنیت و تست نفوذ و برنامه نویسان صفحات وب

• آشنایی با برنامه نویسی و طراحی صفحات وب