آموزش امنیت سایبری API REST با PHP - آخرین آپدیت

سرفصل ها و درس ها

Introduction

• ویدیوی معرفی تبلیغاتی Promo introduction video

• درباره من و تجربه امنیت سایبری About me and cyber security experience

• ساختار دوره و چگونگی اتمام آن ۲ برابر سریع‌تر در صورت کمبود زمان Course structure & how to finish it 2x faster if you're short on time

مروری بر REST API و محیط محلی REST API overview and local environment

• مقدمه‌ای بر معماری و اصول REST Introduction to REST architecture and principles

• اسکلت محیط محلی Local environment skeleton

عدم رسمیت‌بخشی به REST API Lack of REST API formalization

• تئوری: عدم رسمیت‌بخشی به REST API Theory: Lack of REST API formalization

• تمرین عملی آسیب‌پذیری X-HTTP-Method-Override X-HTTP-Method-Override vulnerability practice example

• بهترین روش‌ها برای جلوگیری از مشکلات رسمیت‌بخشی REST، اصلاح کد - بخش ۱ Best practices to avoid problems with REST formalization, code fixes - part 1

• بهترین روش‌ها برای جلوگیری از مشکلات رسمیت‌بخشی REST، اصلاح کد - بخش ۲ Best practices to avoid problems with REST formalization, code fixes - part 2

آیا پنهان کردن مستندات API ارزش دارد؟ Is it worth to hide API documentation?

• تئوری: مستندات API و پیامدهای امنیتی افشای آن Theory: API documentation and security implications of it's exposing

• تمرین: چگونگی مدیریت دسترسی به API - بخش ۱، Swagger Practice: How to manage API accessibility - part 1, swagger

• تمرین: چگونگی مدیریت دسترسی به API - بخش ۲، dotenv + بازسازی مسیر Practice: How to manage API accessibility - part 2, dotenv + route refactor

• تمرین: چگونگی مدیریت دسترسی به API - بخش ۳، کلاس مستندات API Practice: How to manage API accessibility - part 3, api doc class

• تمرین: چگونگی مدیریت دسترسی به API - بخش ۴، تست‌ها + لایه DevOps Practice: How to manage API accessibility - part 4, tests + devops layer

حالت Debug و مدیریت خطا Debug mode and error handling

• تئوری: اطلاعات Debug به عنوان آسیب‌پذیری امنیتی Theory: Debug information as security vulnerability

• تمرین: تنظیم حالت Debug Practice: Debug mode setup

• تئوری: مدیریت خطا و مدیریت پاسخ Theory: error handling and response management

• تمرین: مدیریت خطا - بخش ۱ Practice: Error handling - part 1

• تمرین: مدیریت خطا و توصیه‌های نهایی - بخش ۲ Practice: Practice: Error handling and final recommendations - part 2

آسیب‌پذیری‌های کلیدهای API API Keys Vulnerabilities

• تئوری: آسیب‌پذیری‌های کلیدهای API و بهترین روش‌ها Theory: API Keys Vulnerabilities and best practices

• تمرین: انتقال کلید API به env، بهبودهای امنیتی Practice: move API key to env, security improvements

• اعلامیه: تغییر استراتژی Announcement: change of strategy

فرمت‌های قابل قبول API (JSON/XML/YAML) و آسیب‌پذیری‌های مرتبط با آن‌ها Formats API accepts (JSON/XML/YAML) and vulnerabilities related with that

• تئوری: فرمت‌های داده ساختاریافته REST API و خطرات امنیتی آن‌ها Theory: REST API Structured Data Formats and Their Security Risks

• تمرین: بازسازی برنامه برای استفاده از فرمت XML Practice: rebuild app to use xml format

• تمرین: حمله Billion Laughs Practice: Billion Laughs Attack

• تمرین: حمله Quadratic Blowup Practice: Quadratic Blowup Attack

• تمرین: XXE Practice: XXE

• تمرین: تزریق شیء منجر به اجرای کد از راه دور (RCE) Practice: Object Injection resulting in Remote Code Execution (RCE)

• تمرین: بهترین روش‌های امنیتی Practice: best security practices

XSS XSS

• تئوری: مقدمه‌ای بر اسکریپت‌نویسی بین‌سایتی (XSS) Theory: Introduction to Cross-Site Scripting (XSS)

• تمرین: XSS بازتابی Practice: Reflected XSS

• تمرین: XSS ذخیره‌شده بخش ۱ Practice: Stored XSS part 1

• تمرین: XSS ذخیره‌شده بخش ۲ Practice: Stored XSS part 2

• تمرین: XSS مبتنی بر فایل Practice: File-based XSS

CSRF CSRF

• تئوری: جعل درخواست بین‌سایتی (CSRF) با افزودنی SSRF Theory: Cross-Site Request Forgery (CSRF) with SSRF pepper

• تمرین: CSRF - بخش ۱ Practice: CSRF - part 1

• تمرین: CSRF - بخش ۲ Practice: CSRF - part 2

SSTI SSTI

• تئوری: SSTI (تزریق الگو در سمت سرور) Theory: SSTI (Server-Side Template Injection)

• تمرین: SSTI بخش ۱ Practice - SSTI part 1

• تمرین: SSTI بخش ۲ Practice - SSTI part 2

پیمایش مسیر (Path Traversal) Path Traversal

• تئوری: آسیب‌پذیری Path Traversal در امنیت سایبری Theory: Path Traversal Vulnerability in Cybersecurity

• تمرین: حمله Path Traversal و نحوه جلوگیری از آن Practice: Path Traversal attack and how to prevent it

تزریق فرمان (Command Injection) Command Injection

• تئوری: Command Injection - بردارهای اصلی حمله Theory: Command Injection - main attack vectors

• تمرین: Command Injection - بخش ۱، محیط Practice: Command Injection - part 1, environment

• تمرین: Command Injection - بخش ۲، آسیب‌پذیری روز صفر Practice: Command Injection - part 2, zero-day vulnerability

• خلاصه - اقدامات ضد روز صفر و واقعیت‌های تلخ Summary - Anti zero days measures and sad realities

SQL Injection (SQLi) (تزریق SQL) SQL Injection (SQLi)

• تمرین: محیط محلی - MySQL، phpMyAdmin، ساختار کد پایه Practice: Local env - mysql, phpmyadmin, base code structure

• تمرین: کلاس SQL Injection Practice: SQLInjection class

• تمرین: مقدمه‌ای بر SQL Injection Practice: Introduction to SQL injection

• تمرین: SQL Injection مبتنی بر Union Practice: Union-Based SQL Injection

• تمرین: SQL Injection کور مبتنی بر محتوا Practice: Blind Content-Based SQL Injection

• تمرین: SQL Injection کور مبتنی بر زمان Practice: Blind Time-Based SQL Injection

• تئوری: پیامدهای SQL Injection و بهترین روش‌ها Theory: SQL Injection Consequences and Best Practices

• تمرین: اعمال بهترین روش‌های امنیتی علیه SQL Injection Practice: apply best security practices against SQL injection

آسیب‌پذیری‌های Deserialization در PHP PHP Deserialization Vulnerabilities

• تئوری: Deserialization در PHP Theory: PHP Deserialization

• تمرین: بهره‌برداری از آسیب‌پذیری‌های Deserialization - بخش ۱ Practice: Exploiting Deserialization Vulnerabilities - part 1

• تمرین: بهره‌برداری از آسیب‌پذیری‌های Deserialization - بخش ۲ Practice: Exploiting Deserialization Vulnerabilities - part 2

• تمرین: بهره‌برداری از آسیب‌پذیری‌های Deserialization - بخش ۳ Practice: Exploiting Deserialization Vulnerabilities - part 3

• تمرین: بهره‌برداری از آسیب‌پذیری‌های Deserialization - بخش ۴ Practice: Exploiting Deserialization Vulnerabilities - part 4

آسیب‌پذیری‌های احراز هویت و شناسایی Authorization and Identification Vulnerabilities

• برگه‌ی راهنما: آسیب‌پذیری‌های احراز هویت، اعطای مجوز و مدیریت نشست Cheat Sheet: Authentication, Authorization & Session Management Vulnerabilities

• تمرین: حملات شمارشی - بخش ۱ Practice: enumeration attacks - part 1

• تمرین: حملات شمارشی - بخش ۲ Practice: enumeration attacks - part 2

• تمرین: IDOR بخش ۱ Practice: IDOR part 1

• تمرین: IDOR بخش ۲ Practice: IDOR part 2

آسیب‌پذیری‌های JWT JWT Vulnerabilities

• تئوری: آسیب‌پذیری‌های JWT Theory: JWT Vulnerabilities

• تمرین: بهترین روش‌ها برای امنیت JWT - بخش ۱ Practice: Best Practices for JWT Security - part 1

• تمرین: بهترین روش‌ها برای امنیت JWT - بخش ۲ Practice: Best Practices for JWT Security - part 2

محدودیت نرخ (Rate Limiting) و کنترل جریان (Throttling) Rate Limiting and Throttling

• تئوری: محدودیت نرخ (Rate Limiting) و کنترل جریان (Throttling) Theory: Rate Limiting and Throttling

• تمرین: محدودیت نرخ (Rate Limiting) Practice: Rate Limiting

وب‌هوک‌ها Webhooks

• تئوری: وب‌هوک‌ها Theory: Webhooks

• تمرین: وب‌هوک‌ها Practice: Webhooks

فایل‌های پنهان و CORS Hidden files & CORS

• فایل‌های پنهان Hidden files

• تئوری CORS CORS theory

• سخنرانی عملی CORS در مرحله ویرایش است - باید تا ۲۸ آوریل آماده شود CORS practice lecture is at editing stage - it should be ready up to 28th April

اطلاعات تکمیلی Additional info

• پرسشنامه PHP REST API PHP REST API Questionnaire

بخش جایزه Bonus Section

• سخنرانی جایزه Bonus Lecture