Referenten: Berater der cirosec GmbH

Dauer: 2 Tage

Webbasierte Applikationen haben sich zu bevorzugten Angriffspunkten entwickelt: Nicht nur, weil immer mehr Firmen Online-Shops, Bankanwendungen, Mitarbeiterportale oder andere interaktive Applikationen mit Web-Frontends oder Webservices anbieten, sondern auch, weil diese Systeme stets mit neuen Methoden angegriffen und manipuliert werden können.

„Hacking Extrem Web-Applikationen” ist ein Training, das sich mit Angriffen auf Web-Applikationen und Backend-Systeme beschäftigt.

Das Intensivtraining vermittelt Ihnen die Vorgehensweise der Angreifer sowie bekannte und weniger bekannte Angriffstechniken auf Web-Applikationen mit den dahinter liegenden Datenbanken und Backends. Der ausgesprochen praxisorientierte Stil ist durch zahlreiche Laborübungen angereichert.

Jedem Teilnehmer steht bei diesem Training ein Notebook mit zahlreichen Werkzeugen zur Verfügung. So kann jeder selbst erfahren, wie ein Angreifer praktisch vorgeht. 

Die Trainer führen regelmäßig Sicherheitsüberprüfungen durch und sind als Experten im Bereich der Applikationssicherheit bekannt.

Die Schulung deckt alle Schwachstellenarten der OWASP Top Ten 2017 ab.

Wesentliche Themenbereiche sind:

Informationsgewinnung

• Klassische Informationsgewinnung über Banner, Fehlerseiten etc.
• Webserver-Fingerprinting
• Einsatz von Crawlern
• Auffinden von Informationen in Metadaten
• Dekompilieren von Client-Komponenten (Flash, Java Applets, Silverlight)

Angriffe auf Web- und Applikationsserver

• Softwareschwachstellen in Web- und Applikationsservern (Buffer Overflows etc.)
• Ausnutzung von Fehlkonfigurationen (Directory Listings etc.)
• Schwachstellen in Applikations-Frameworks

Angriffe auf die Übertragung

• Abhören der Kommunikation, TLS-Man-in-the-Middle-Angriffe
• Fehlkonfigurationen und Schwachstellen bei TLS
• Schwachstellen in der Verschlüsselung auf Anwendungsebene

Angriffe auf die Anwendung

• Angriffe auf die Authentisierung
• Angriffe auf gespeicherte Passwörter
• Umgehung von CAPTCHAs
• Angriffe auf die Session-Verwaltung
• Cross-Site Scripting (persistent, nicht persistent, DOM-basiert)
• Cross-Site Request Forgery (CSRF), Schwachstellen in Anti-CSRF-Mechanismen
• Autorisierungsschwachstellen auf Funktionsebene
• Autorisierungsschwachstellen auf Objektebene
• File Inclusion (lokal/remote)
• Offene Redirects
• Command Injection
• Angriffe mittels serialisierter Objekte
• Schwachstellen im Datei-Upload
• Logikfehler in der Anwendung
• Schwachstellen in clientseitiger JavaScript-Logik
• Angriffe auf AJAX-Dienste
• HTML5-basierte Angriffsvektoren
• Web Spoofing
• CORS (Cross-Origin Resource Sharing)
• Nachvollziehbarkeit von Angriffen durch Protokollierung sicherheitsrelevanter Ereignisse

Angriffe auf das Backend

• SQL Injection/Blind SQL Injection
• LDAP Injection
• Schwachstellen in Webservices
• XML Injection, XML-External-Entity-Angriffe (XXE), XML Bombs
• XPath Injection
• XSLT Injection

Behandelte Systeme:
Linux/Unix-Umfeld und Windows

Zielgruppe:
Administratoren und Sicherheitsverantwortliche, die die Sicherheit auch durch die Brille des Angreifers betrachten und dabei sehr tief in dessen Welt eintauchen möchten. Ebenso ist das Training interessant für Entwickler von Webanwendungen sowie für Administratoren von Webservern und E-Business-Systemen. 

Das Training ist als „fortgeschrittene” Schulung zu betrachten. Die Anzahl der Teilnehmer ist beschränkt, um ein effektives und individuelles Lernen zu ermöglichen.

Voraussetzung:
Grundkenntnisse in HTTP, HTML sowie im Bereich Webserver und Datenbanken. Die Übungen erfordern teilweise den Umgang mit Kommandozeilenwerkzeugen unter Linux. Bei deren Handhabung assistieren die Trainer im Bedarfsfall gern.

Die Anzahl der Teilnehmer ist auf 15 Personen beschränkt, um ein möglichst effektives und individuelles Lernen zu ermöglichen.

Preis: 2.000,- € zzgl. MwSt.

Datum: 3. - 4. Februar 2020 – die beiden Tage vor der IT-Defense 2020

Das Training wird in deutscher Sprache von zwei erfahrenen Trainern durchgeführt. Sie sind als Berater tätig und können daher umfassende und aktuelle Praxiserfahrungen in die Schulung einbringen. 

Für die Teilnahme am Training erhalten Sie CPE-Punkte. Das Training dauert insgesamt 16 Stunden und zum Abschluss erhalten Sie ein Zertifikat.

Adresse des Tagungshotels:
Maritim Hotel Bonn
Godesberger Allee
53175 Bonn
Telefon: +49 228 8108-0
info.bon@maritim.de

Wir haben dort Zimmer zu speziellen Konditionen für Sie reserviert.