Materiały na szkolenie WEB

Cześć, tu Jakub Mrugalski - poznaliśmy się na szkoleniu z Atakowania i Ochrony Aplikacji Webowych (w skrócie nazywanego przez nas 'WEB').Aby ułatwić Ci rozwój w świecie security i pentestingu, przygotowałem dla Ciebie zbiór materiałów, które moim zdaniem są warte uwagi.Życzę miłego czytania i zapraszam na kolejne szkolenia.

Co hackować?

- LAB26 VM - wirtualna maszyna zawierająca 7 podatnych aplikacji napisanych w różnych językach. Hasłem dostępowym do maszyny jest "password"
- PentesterLAB - wpisz w wyszukiwarkę "web for pentester" i spróbuj przejść obie części (pierwsza jest pisana w PHP, a druga w Ruby)
- HackThisSite - załóż tam konto i zalicz etapy z kategorii "Basic" oraz "Realistic"
- VulnHub - zalicz wszystkie zadania związane z webaplikacjami
- Bug Bounty List - masz ochotę pohackować prawdziwe serwisy jak np. Facebook, Pinterest czy np... Pornhub? oto lista serwisów, które nie tylko zezwalają na pentesty, ale także zazwyczaj płacą za znalezione bugi
- HackTheBox - załóż darmowe konto (jest jeszcze płatne, ale nie jest Ci potrzebne do zadań z WEB) i zalicz zadania związane z webaplikacjami
- bWAPP - czyli "buggy web application" od OWASP. Możesz pobrać źródła, albo wirtualną maszynę z aplikacją.
- This is legal - serwis z zadaniami do 'legalnego hackingu'. Kilkadziesiąt zadań o różnych poziomach trudności.
- 100+ podatnych aplikacji i systemów - możesz w pełni legalnie atakować wszystkie pozycje z tej listy

Co oglądać/słuchać?

- Niebezpieczny Poradnik Pentestera - nasza wideo seria prezentująca narzędzia używane w codziennej pracy pentestera (subskrybuj cały kanał!)
- Od zera do pentestera - zbiór filmów omawiających miedzy innymi podatności opisane w dokumencie OWASP TOP10
- Na Podsłuchu - podcast prowadzony przez ekipę Niebezpiecznika, w którym omawiane są różnego rodzaju ataki stosowane w internecie.
- Wszystko co musisz wiedzieć o protokole HTTP (wersja 1.x i 2.x). Od podstaw po rzeczy zaawansowane (film 40+ minut)

Narzędzia

- Weryfikator polityki CSP - wskaże w którym miejscu popełniłęś błąd lub które z ustawień jest potencjalnie niebezpieczne
- Weryfikator nagłówków bezpieczeństwa - sprawdza obecność i poprawność konfiguracji podstawowych headerów związanych z security

Co czytać (online)?

- Jak zabezpieczyć swoje API? - checklista bezpieczeństwa
- Jak zabezpieczyć swoją aplikację? - bogaty zbiór porad dotyczących nie tylko webowych aplikacji
- Jak testować podatności XSS? - dużych rozmiarów infografika
- Ściąga z SQL Injection - kilka gotowych do użycia ataków na różne systemy baz danych
- Bug Bounty Writeups - opisy bugów zgłoszonych w ramach programów Bug Bounty. Warto poczytać jakie błędy miały największe serwisy na świecie
- Bezpieczeństwo rozwiązań serverless - głównie z naciskiem na AWS Lambda
- Cryptography I - kurs kryptografii przygotowany przez Uniwersytet Stanforda. Użyteczne dla ludzi zajmujących się tematem security. Kurs jest darmowy.
- Awesome WAF - jak wykrywać i obchodzić Web Application Firewalle?

Co czytać (książki/ebooki)?

"Hacker's Handbook"
Podtytuł: "Web Application"

"Splątana sieć"Autor: Michał Zalewski
Wydawnictwo Helion

"Hacker's Handbook"
podtytuł: "The Browser"

OWASP Testing Guide
(darmowa książka)

• Zobacz inne nasze szkolenia