Zaawansowane bezpieczeństwo aplikacji www - szkolenie - 12-14.03.2012, Kraków

Zapraszamy na trzydniowe warsztaty z zaawansowanego bezpieczeństwa aplikacji webowych, na które przygotowaliśmy:

• przeszło 30 ćwiczeń (jest to około 85% szkolenia),
  
• 1-miesięczną licencję na oprogramowanie burp suite pro  (dla każdego uczestnika),
  

• również po szkoleniu możliwość zdalnego dostępu do podatnych aplikacji, wykorzystywanych w trakcie warsztatów,
• szczegółowe rozwiązania wszystkich ćwiczeń przygotowane w formie PDF - przekazywane po szkoleniu,
  
• możliwość pracy na żywo z unikalnymi lukami w realnych systemach - np. podatności w konsolach zarządczych routerów Cisco
  
• materiały w formie PDF wprowadzające w prezentowaną na szkoleniu tematykę  - przesyłane do uczestników przed szkoleniem,
• omówienie technik: wykrywania luk oraz ochrony przed atakami
  

Grupa docelowa szkolenia

Szkolenie przeznaczone jest dla:

• Programistów aplikacji webowych.
• Administratorów systemów.
• Pracowników działu testowania oprogramowania.
  
• Pracowników departamentów bezpieczeństwa firm.
• Audytorów
  

Uwaga: istnieje możliwość organizacji szkolenia w formie zamkniętej, w siedzibie Klienta - dla zamkniętej grupy osób. Szkolenia takie organizujemy na atrakcyjnych warunkach finansowych. W przypadku zainteresowania tego typu szkoleniem prosimy o kontakt.

Ramowy program szkolenia

Wprowadzenie do tematyki bezpieczeństwa aplikacji webowych - warsztaty

• Przykłady nietypowej komunikacji http
• Wprowadzenie do fuzzingu protokołu http
• Na przykładzie realnych podatności w konsolach zarządczych routerów Cisco
  
• Najistotniejsze klasy podatności występujące w aplikacjach webowych
  

Wykrywanie i wykorzystywanie podatności - warsztaty

• LDAP injection (wariant w systemach Linux oraz Windows)
• XPATH injection
• OS Command injection (4 warianty)
• Path traversal - wykonanie kodu w systemie operacyjnym - korzystając ze zmiennych środkowiskowych
• XSS - przejęcie dostępu administracyjnego w systemie blogowym / omijanie filtrów

• Atak na podatność SQL injection zawarty w procedurze składowanej
• Second order SQLi
  
• Omijanie filtrów
• Przygotowanie prostego skryptu wykorzystującego blind SQLi
  
• Przykłady na trzech różnych wersjach baz danych

• Badanie kilku aspektów bezpieczeństwa ścieżki logowania
• Badanie wykorzystanych mechanizmów autoryzacji 
• Badanie statystyczne losowości identyfikatorów sesji
  
• Techniki bruteforce

• Ataki klasyczne
• JSON hacking

Podatności klasy XSRF - pokazy praktyczne

• Przejęcie kontroli nad routerem, bez uwierzytelnienia
• Jednoczesne wykorzystanie kilku podatności
  

Konfiguracja systemu WAF (web application firewall) - warsztaty

• WAF a system IDS (prezentacja oraz omówienie przykładowych reguł obu systemów)
  
• Na przykładzie mod_security
• Ochrona przed jednym z wcześniej realizowanych ataków
• Metody reakcji na atak

• Wstęp teoretyczny
• Ręczna analiza kodu źródłowego wybranej - realnej - aplikacji
  

• Atak omijający mechanizmy uwierzytelnienia 
• Atak wykorzystujący OS command execution
• Przejęcie pełnej kontroli nad urządzeniem
  

• Wykrycie kilku klas podatności

• Wskazanie metod ochrony

O prowadzącym szkolenie

• Michał Sajdak jest konsultantem w firmie Securitum.

• Wieloletnie doświadczenie w testach aplikacji webowych
  
• Wieloletnie doświadczenie w programowaniu aplikacji webowych
  
• Współpracował między innymi z takimi organizacjami jak: Fortis Bank, BRE Bank, Bank BPH, BGŻ Bank, Raiffeisen Bank, Volkswagen Bank, Allianz Bank, Narodowy Bank Polski, Narodowe Archiwum Cyfrowe, Adamed, PGNiG, PGF, Unilever, Polkomtel.

• Posiadacz certyfikatu CISSP (#338973).

• Absolwent Uniwersytetu Jagiellońskiego (informatyka).

Najbliższy termin

12-14.03.2012 - są jeszcze wolne miejsca.

Maksymalna liczba uczestników - 10.

Możliwy dowolny system operacyjny (Windows, Linux lub Mac) z zainstalowanym Java JRE od SUN.

Zgłoszenie uczestnictwa

Zgłoszenie uczestnictwa można wykonać on-line, korzystając z formularza zgłoszeniowego.

Patronat medialny

Cena szkolenia

Cena trzydniowego szkolenia wynosi 2950 PLN netto / osobę i zawiera:

• Udział w szkoleniu.
• Obiad w trakcie każdego dnia trwania szkolenia.
  
• Dostępne w trakcie szkolenia: kawa, herbata, woda, ciasteczka.
• Jednomiesięczną licencję oprogramowania Burp Suite Professional, zawierającą m.in.:
• Burp intruder (zaawansowany fuzzer http).
• Burp scanner (moduł automatycznych testów penetracyjnych www).
• Forma papierowa pełnej prezentacji PowerPoint, wyświetlanej w trakcie szkolenia.
• Certyfikat ukończenia szkolenia.
• Przekazanie w formie PDF rozwiązań ćwiczeń.
  
• Przez dwa miesiące dostęp on-line do większości aplikacji prezentowanych na szkoleniu.
  

 W przypadku uczestnictwa w szkoleniu dwóch lub większej ilości osób z jednej firmy - dla każdego uczestnika proszę pytać o rabat w wysokości 10%.

Dodatkowe Informacje

Regulamin szkolenia można pobrać pod następującym adresem:
regulamin_szkolenie_zaawansowane_bezpieczenstwo_aplikacji_www.pdf

Więcej informacji można uzyskać kontaktując się z nami za pośrednictwem e-mail: szkolenia@securitum.pl bądź telefonicznie.