Уеб атака и защита
разни / / December 05, 2023
Уникален по квалификация и опит професионалист, водещ преподавател в областта на Сигурността на компютърните мрежи.
Той беше първият в Русия, който получи статут на оторизиран инструктор по етично хакерство. Той е член на “Circle of Excellence” от инструктори по етично хакерство и има статут на лицензиран тестер за проникване (магистър). В часовете му цари атмосфера на истински празник на знанието, опита и уменията. Слушателите са възхитени - прочетете отзивите и вижте сами!
Притежател на 50 престижни международни сертификата, включително 30 сертификата по информационна сигурност и етично хакерство. Магистър по етично хакерство и тестване за проникване (лицензиран магистър за тестер за проникване). Offensive Security Certified Professional (OSCP) и Security Certified Program (SCP). Microsoft Certified Security Engineer (MCSE: Security) и сертифициран инструктор за EC-Council, Microsoft и CryptoPro.
Под ръководството на Сергей Клевогин отборът на Специализирания център достигна до финала на Световните киберолимпийски игри 2015, където спечели олимпийската награда за шампиони на региона!
Редовно участва и провежда майсторски класове на международни конференции и форуми по информационна сигурност - Black Hat, Hacker Halted, OWASP AppSec, Positive Hack Days. Автор и водещ на безплатни семинари за хакерски техники и тестове за проникване.
Сергей Павлович има опит като програмист в Министерството на отбраната на Руската федерация, инспектор по информационна сигурност в Централния Банка на Руската федерация, ръководител на отдела за информационни технологии в търговска банка, преподавател в Московския икономически и статистически институт институт. Опитът на Сергей Павлович е много ценен с това, че демонстрира както професионално владеене на ИТ продукти и принципи, така и разбиране на интеграцията на бизнес процесите с информационните технологии. И най-важното е, че Сергей Павлович споделя своя опит и може да говори за сложни технологии просто и ясно.
По време на часовете си Сергей Павлович съчетава обяснение на теоретичен материал с демонстрация на настройка на различни компоненти на системата. Материалът е допълнен с подробности, които често излизат извън обхвата на курса (шега, неочакван забавен въпрос, смешен компютърен трик).
Можете да намерите примери на връзката: Хакерско видео.
Експертен преподавател по курсове по Oracle и Java. Oracle Certified Specialist, кандидат на техническите науки. Отличава се с разнообразния си опит в практическата и преподавателска дейност.
През 2003 г. Алексей Анатолиевич завършва с отличие MIREA. През 2006 г. защитава докторска дисертация на тема „Изграждане на защитени автоматизирани информационни системи“.
Основен специалист в областта на сигурността на бази данни, изграждане на защитени java и уеб приложения за Oracle DBMS и SQL Server, разработване на съхранени програмни модули в PL/SQL и T-SQL. Автоматизира дейността на големите държавни предприятия. Предоставя консултантски и консултантски услуги при разработването на комплексни разпределени уеб приложения, базирани на платформата Java EE.
Преподавателският опит на Алексей Анатолиевич в системата на следдипломното образование надхвърля 7 години. Работил с корпоративни клиенти, обучавал служители на компаниите „БАНК ПСБ”, „Интернет университет по информационни технологии (ИНТУИТ)”, „СИНТЕРРА”.
Автор на няколко учебни и методически ръководства по програмиране и работа с бази данни. От 2003 до 2005 г. Алексей Анатолиевич се занимава с адаптиране и технически превод на чуждестранна литература за уеб програмиране и работа с бази данни. Публикува над 20 научни труда.
Благодарните възпитаници неизменно отбелязват достъпния начин на представяне дори на най-сложните теми, подробните отговори на въпросите на студентите и изобилието от живи примери от професионалната практика на учителя.
Модул 1. Концепции за уебсайтове (2 ac. з.)
-Принципи на работа на уеб сървъри и уеб приложения
-Принципи за сигурност на уебсайтове и уеб приложения
-Какво е OWASP
-OWASP Топ 10 преглед на класификацията
-Въведение в инструментите за извършване на атаки
- Лабораторна настройка
Модул 2. Инжекции (4 ак. з.)
-Какво представляват инжекциите и защо са възможни?
-HTML инжекция
-Какво е iFrame
-iFrame инжектиране
-Какво е LDAP
-LDAP инжектиране
-Какво представляват заглавките на пощата
- Инжекции в заглавките на пощата
-Инжектиране на команди на операционната система
-Инжектиране на PHP код
-Какво представляват включванията от страна на сървъра (SSI)
-SSI инжекции
-Концепции за структуриран език за заявки (SQL).
-SQL инжектиране
-Какво е AJAX/JSON/jQuery
-SQL инжектиране в AJAX/JSON/jQuery
-Какво е CAPTCHA
-SQL инжектиране, заобикаляйки CAPTCHA
-Инжектиране на SQLite
-Пример за SQL инжектиране в Drupal
-Какво представляват съхранените SQL инжекции
- Съхранени SQL инжекции
- Съхранени SQLite инжекции
-XML концепции
- Съхранено SQL инжектиране в XML
- Използване на потребителски агент
-SQL инжектиране в полето User-Agent
-Слепи SQL инжекции на логическа основа
-Слепи SQL инжекции на временна основа
-Слепи SQLite инжекции
-Какво е протокол за достъп до обект (SOAP)
-Сляпо SQL инжектиране в SOAP
-Инжектиране на XML/XPath
Модул 3. Хакване на удостоверяване и сесия (2 ac. з.)
-Заобикаляне на CAPTCHA
-Атака срещу функцията за възстановяване на парола
- Атака срещу формуляри за вход
-Атака върху изходния контрол
- Атаки срещу пароли
-Използване на слаби пароли
- Използване на универсална парола
-Атаки срещу административни портали
- Атаки срещу бисквитки
- Атаки при предаване на идентификатора на сесията в URL адреса
- Фиксиране на сесията
Модул 4. Изтичане на важни данни (2 ак. з.)
- Използване на Base64 кодиране
-Отворено предаване на идентификационни данни чрез HTTP
-Атаки срещу SSL BEAST/CRIME/BREACH
- Атака върху уязвимостта на Heartbleed
-Уязвимост на POODLE
-Съхраняване на данни в HTML5 уеб хранилище
- Използване на остарели версии на SSL
-Съхраняване на данни в текстови файлове
Модул 5. Външни XML обекти (2 ac. з.)
-Атака срещу външни XML обекти
-XXE атака при нулиране на парола
-Атака срещу уязвимост във формата за вход
-Атака срещу уязвимост във формата за търсене
- Атака за отказ на услуга
Модул 6. Нарушение на контрола на достъп (2 ак. з.)
- Пример за атака срещу несигурна директна връзка при промяна на паролата на потребител
- Пример за атака срещу несигурна директна връзка при нулиране на паролата на потребител
-Пример за атака на незащитена директна връзка при поръчка на билети в онлайн магазин
- Обхождане на директории в директории
- Обхождане на директория във файлове
-Атака срещу хедъра на хоста, водеща до отравяне на кеша
-Атака срещу хедъра на хоста, водеща до повторно задаване на парола
-Включване на локален файл в SQLiteManager
-Активиране на локален или отдалечен файл (RFI/LFI)
- Атака за ограничаване на устройство
- Атака за ограничаване на достъпа до директория
- SSRF атака
- Атака на XXE
Модул 7. Несигурна конфигурация (2 ac. з.)
-Принципи на конфигурационните атаки
-Произволен достъп до файлове в Samba
- Flash Cross-Domain Policy File
-Споделени ресурси в AJAX
-Cross-Site Tracing (XST)
-Отказ от услуга (голям размер на парче)
- Отказ от услуга (бавен HTTP DoS)
-Отказ от услуга (изчерпване на SSL)
-Отказ от услуга (XML бомба)
-Несигурна конфигурация на DistCC
-Несигурна FTP конфигурация
-Несигурна NTP конфигурация
-Несигурна SNMP конфигурация
- Несигурна VNC конфигурация
-Несигурна WebDAV конфигурация
-Местна ескалация на привилегии
-Man in the Middle Attack в HTTP
-Man in the Middle Attack в SMTP
-Несигурно съхранение на архивирани файлове
-Файл роботи
Модул 8. Скриптове между сайтове (XSS) (3 ac. з.)
-Отразен XSS в GET заявки
-Отразен XSS в POST заявки
-Отразен XSS към JSON
-Отразен XSS в AJAX
Отразен XSS в XML
-Отразен XSS в бутона за връщане
-Отразен XSS във функцията Eval
-Отразен XSS в HREF атрибут
-Отразен XSS във формата за вход
-Пример за отразен XSS в phpMyAdmin
-Отразен XSS в променлива PHP_SELF
-Отразен XSS в заглавката Referer
-Отразен XSS в заглавката на User-Agent
-Отразен XSS в персонализирани заглавки
- Съхранени XSS в публикации в блогове
-Запазен XSS при промяна на потребителските данни
- Съхранени XSS в бисквитки
-Съхранен XSS в SQLiteManager
- Съхранени XSS в HTTP заглавки
Модул 9. Небезопасна десериализация (2 ac. з.)
-Демонстрация на инжектиране на PHP обект
- Инжектиране на задната врата по време на десериализация
-Опасна десериализация в JavaScript
Модул 10. Използване на компоненти с известни уязвимости (2 ac. з.)
- Локални атаки при препълване на буфер
- Атаки за отдалечено препълване на буфера
-SQL инжектиране в Drupal (Drupageddon)
- Уязвимост към кръвотечение
-Отдалечено изпълнение на код в PHP CGI
-Атака срещу функцията PHP Eval
-Уязвимост в phpMyAdmin BBCode Tag XSS
-Shellshock уязвимост
-Свързване на локален файл в SQLiteManager
-Инжектиране на PHP код в SQLiteManager
-XSS в SQLiteManager
Модул 11. Липса на регистриране и мониторинг (1 ак. з.)
-Пример за недостатъчно регистриране
-Пример за уязвимост при регистриране
-Пример за недостатъчен мониторинг
Ще се запознаете с международния стандарт за информационна сигурност ISO/IEC 27002 и ще получите практически препоръки за управление на системата за информационна сигурност на корпоративна мрежа в съответствие със стандарта и вземане на комплексни решения, включително: предотвратяване на инциденти в областта на компютърната сигурност, създаване, внедряване, поддържане на такива системи.
4,1