آموزش هک اخلاقی: هک برنامه های وب

سرفصل ها و درس ها

آشنایی با امنیت در برنامه های کاربردی وب Understanding Security in Web Applications

• بررسی اجمالی Overview

• وضعیت امنیت برنامه های کاربردی وب The State of Web Application Security

• آشنایی با امنیت برنامه های وب Understanding Web Application Security

• رشته های کوئری، مسیریابی و افعال HTTP Query Strings, Routing, and HTTP Verbs

• قابلیت کشف ساختارهای امنیتی مشتری The Discoverability of Client Security Constructs

• حفاظت های ارائه شده توسط مرورگرها Protections Offered by Browsers

• آنچه که مرورگر نمی تواند در برابر آن دفاع کند What the Browser Can't Defend Against

• مواردی که در این دوره پوشش داده نشده است What's Not Covered in This Course

• خلاصه Summary

شناسایی و ردیابی Reconnaissance and Footprinting

• بررسی اجمالی Overview

• Spidering با NetSparker Spidering with NetSparker

• مرور اجباری با Burp Suite Forced Browsing with Burp Suite

• پیمایش دایرکتوری Directory Traversal

• گرفتن بنر با Wget Banner Grabbing with Wget

• اثر انگشت سرور با Nmap Server Fingerprinting with Nmap

• کشف مصنوعات توسعه با Acunetix Discovery of Development Artefacts with Acunetix

• کشف خدمات از طریق اسناد تولید شده Discovery of Services via Generated Documentation

• کشف ریسک های چارچوب Discovering Framework Risks

• شناسایی اهداف آسیب پذیر با Shodan Identifying Vulnerable Targets with Shodan

• خلاصه Summary

دستکاری داده های غیرقابل اعتماد Tampering of Untrusted Data

• بررسی اجمالی Overview

• OWASP و 10 خطر امنیتی برتر برنامه های وب OWASP and the Top 10 Web Application Security Risks

• درک داده های غیرقابل اعتماد Understanding Untrusted Data

• دستکاری پارامتر Parameter Tampering

• دستکاری میدان پنهان Hidden Field Tampering

• حملات تخصیص انبوه Mass Assignment Attacks

• مسمومیت با کوکی Cookie Poisoning

• ارجاعات مستقیم شیء ناامن Insecure Direct Object References

• دفاع در برابر دستکاری Defending Against Tampering

• خلاصه Summary

حملاتی که مشتری را درگیر می کند Attacks Involving the Client

• بررسی اجمالی Overview

• اسکریپت متقابل سایت منعکس شده (XSS) Reflected Cross Site Scripting (XSS)

• اسکریپت متقابل دائمی سایت (XSS) Persistent Cross Site Scripting (XSS)

• دفاع در برابر حملات XSS Defending Against XSS Attacks

• شناسایی خطرات XSS و فرار از فیلترها Identifying XSS Risks and Evading Filters

• اعتبار سنجی فقط مشتری Client Only Validation

• امنیت لایه حمل و نقل ناکافی است Insufficient Transport Layer Security

• جعل درخواست متقابل سایت (CSRF) Cross Site Request Forgery (CSRF)

• خلاصه Summary

حملات علیه مدیریت هویت و کنترل های دسترسی Attacks Against Identity Management and Access Controls

• بررسی اجمالی Overview

• درک نقاط ضعف در مدیریت هویت Understanding Weaknesses in Identity Management

• شمارش هویت Identity Enumeration

• نقاط ضعف در ویژگی "مرا به خاطر بسپار". Weaknesses in the 'Remember Me' Feature

• منابع از دست رفته کنترل دسترسی Resources Missing Access Controls

• کنترل های دسترسی ناکافی Insufficient Access Controls

• ارتفاع امتیاز Privilege Elevation

• خلاصه Summary

انکار حمله های سرویسی Denial of Service Attacks

• بررسی اجمالی Overview

• درک DoS Understanding DoS

• بهره برداری از بازنشانی رمز عبور Exploiting Password Resets

• بهره برداری از قفل حساب Exploiting Account Lockouts

• انکار سرویس توزیع شده (DDoS) Distributed Denial of Service (DDoS)

• خودکار کردن حملات DDoS با LOIC Automating DDoS Attacks with LOIC

• DDoS به عنوان یک سرویس DDoS as a Service

• ویژگی های در معرض خطر حمله DDoS Features at Risk of a DDoS Attack

• سایر حملات DDoS و کاهش Other DDoS Attacks and Mitigations

• خلاصه Summary

سایر حملات به سرور Other Attacks on the Server

• بررسی اجمالی Overview

• مدیریت نادرست خطا Improper Error Handling

• درک هش های نمکی Understanding Salted Hashes

• ذخیره سازی رمزنگاری ناامن Insecure Cryptographic Storage

• تغییر مسیرها و فورواردهای بدون اعتبار Unvalidated Redirects and Forwards

• گزارش های استثنا با ELMAH آشکار شد Exposed Exceptions Logs with ELMAH

• آسیب پذیری در وب سرویس ها Vulnerabilities in Web Services

• خلاصه Summary