SEC542: Teste de penetração de aplicações Web e hacking ético (36 CPEs)

Os aplicativos da Web desempenham um papel vital em todas as organizações modernas. Mas, se sua organização não testar e proteger adequadamente seus aplicativos da Web, os adversários podem comprometer esses aplicativos, danificar a funcionalidade dos negócios e roubar dados. Infelizmente, muitas organizações operam com a impressão equivocada de que um scanner de segurança de aplicativos da Web descobrirá com segurança falhas em seus sistemas.

O SEC542 ajuda os alunos a irem além da varredura de botão de pressão para testes de penetração de aplicativos da Web profissionais, completos e de alto valor.

Os clientes esperam que os aplicativos da Web forneçam funcionalidade e acesso a dados significativos. Além da importância dos aplicativos da Web voltados para o cliente, os aplicativos da Web internos representam cada vez mais as ferramentas de negócios mais usadas em qualquer organização. Infelizmente, não existe uma “terça-feira de correção” para aplicativos da Web personalizados, portanto, os principais estudos do setor descobriram que as falhas dos aplicativos da Web desempenham um papel importante em violações e invasões significativas. Os adversários se concentram cada vez mais nesses alvos de alto valor, seja abusando diretamente de aplicativos voltados para o público ou concentrando-se em aplicativos da Web como alvos após uma invasão inicial.

A defesa cibernética moderna requer uma compreensão realista e completa dos problemas de segurança de aplicativos da Web. Qualquer um pode aprender a lançar alguns hacks na web, mas o teste de penetração eficaz de aplicativos da web requer algo mais profundo.

O SEC542 permite que os alunos avaliem a postura de segurança de um aplicativo da Web e demonstrem de forma convincente o impacto nos negócios caso os invasores explorem as vulnerabilidades descobertas.

Os alunos compreenderão as falhas comuns de aplicativos da Web, bem como identificar e explorá-las com a intenção de demonstrar o impacto potencial nos negócios. Ao longo do caminho, os alunos seguem um processo testado em campo e repetível para encontrar falhas de forma consistente. Os profissionais de segurança da informação muitas vezes lutam para ajudar as organizações a entender os riscos em termos relacionados aos negócios. A execução de hacks incríveis é de pouco valor se uma organização não levar o risco a sério e empregar contramedidas apropriadas. O objetivo do SEC542 é proteger melhor as organizações por meio de testes de penetração, e não apenas mostrar habilidades de hackers. O curso ajudará os alunos a demonstrar o verdadeiro impacto das falhas de aplicativos da Web não apenas por meio da exploração, mas também por meio de documentação e relatórios adequados.

Além do conteúdo do curso de alta qualidade, o SEC542 se concentra fortemente em laboratórios práticos e aprofundados para garantir que os alunos possam aplicar imediatamente tudo o que aprendem.

Além de orientar os alunos através de uma penetração de aplicativos da web usando mais de 30 laboratórios práticos formais, o curso culmina em um torneio de pen test de aplicativos da web, desenvolvido pelo SANS NetWars Cyber ??Range. Este evento Capture the Flag reúne os alunos em equipes para aplicar seu domínio recém-adquirido de técnicas de teste de penetração de aplicativos da Web de uma maneira divertida de martelar as lições aprendidas em casa.

O que você vai receber

• Mídia do curso que inclui ferramentas de ataque a aplicativos da Web, bem como muitos aplicativos da Web vulneráveis para teste e treinamento dentro e fora da sala de aula
• Gravações de áudio do curso para revisar o material após a aula
• Uma máquina virtual personalizada sob medida especificamente para testes de penetração de aplicativos da Web, com todos os laboratórios instalados localmente para que possam ser repetidos mesmo após o curso
• Sua própria licença Burp Suite Professional

Requisitos do computador

Importante! Configura seu computador de acordo com as instruções do SANS!

É necessário um sistema devidamente configurado para participar plenamente deste curso. Se você não ler atentamente e seguir estas instruções, provavelmente sairá da aula insatisfeito porque não poderá participar de exercícios práticos essenciais para este curso. Portanto, recomendamos fortemente que você chegue com um sistema que atenda a todos os requisitos especificados para o curso.

É fundamental que você faça backup de seu sistema antes da aula. Também é altamente recomendável que você não traga um sistema que armazene dados confidenciais.

Coisas importantes a serem observadas

• Algumas configurações podem exigir privilégios de nível administrativo no trabalho do host para serem implementadas.
• É fundamental que você faça backup de seu sistema antes da aula.
• Também é altamente recomendável que você não traga um sistema que armazene dados confidenciais.

Para mais detalhes sobre os requisitos de hardware e software, clique aqui.

Quem deve participar

• Praticantes de segurança em geral
• Testadores de penetração
• Hackers éticos
• Desenvolvedores de aplicativos Web
• Designers e arquitetos de sites

Certificação GIAC Web Application Penetration Tester

A certificação GIAC Web Application Penetration Tester (GWAPT) valida a capacidade de um profissional de proteger melhor as organizações por meio de testes de penetração e uma compreensão completa dos problemas de segurança de aplicativos da web. Os detentores da certificação GWAPT demonstraram conhecimento de explorações de aplicativos da Web e metodologia de teste de penetração.

• Visão geral do aplicativo Web, ataques de autenticação e teste de configuração
• Gerenciamento de sessões de aplicativos da Web, ataques de injeção de SQL e ferramentas de teste
• Falsificação e script de solicitação entre sites, ataque de injeção de cliente, reconhecimento e mapeamento

Para mais detalhes sobre a certificação GIAC Web Application Penetration Tester (GWAPT), clique aqui

SEC542.1: Introdução e Coleta de Informações

• Compreender a perspectiva do invasor é a chave para um teste de penetração de aplicativos da Web bem-sucedido. O curso começa examinando minuciosamente a tecnologia da Web, incluindo protocolos, linguagens, clientes e arquiteturas de servidor, do ponto de vista do invasor. Analisamos a coleta de inteligência de código aberto (OSINT) específica para pontos de dados que provavelmente ajudarão a exploração a ser mais bem-sucedida. Analisamos a importância da criptografia e HTTPS.
• Analisamos a metodologia promovida pelo OWASP para ajudar a garantir a entrega de avaliações de alta qualidade, bem como as coisas necessárias para o kit de ferramentas de um testador de penetração. A ferramenta mais importante, um proxy de interceptação, é introduzida através da execução das etapas de configuração inicial no Zed Attack Proxy (ZAP) do OWASP e no BurpSuite Professional. Para concluir a seção do curso, exploramos aspectos de um aplicativo da Web vulnerável usando o BurpSuite.

SEC542.2: Descoberta de Conteúdo, Autenticação e Teste de Sessão

• A seção dois começa com o perfil do(s) destino(s) para entender a configuração subjacente. Os dados coletados são usados ??para construir um perfil de cada servidor e identificar possíveis falhas de configuração. A discussão é enfatizada por meio de vários laboratórios práticos nos quais realizamos reconhecimentos adicionais. A exploração é uma oportunidade de obter uma experiência prática mais profunda com BurpSuite Pro, cURL e técnicas de exploração manual.
• A configuração do sistema deve envolver registro e monitoramento adequados para garantir que eventos relacionados à segurança não sejam perdidos. Exploraremos brevemente a configuração de log e os testes básicos de resposta a incidentes.
• Construímos um mapa ou diagrama das páginas e funcionalidades do aplicativo. Esta fase envolve identificar os componentes, analisar a relação entre eles e determinar como as peças funcionam em conjunto. Em seguida, mergulhamos profundamente nos resultados de spidering/crawling, que representam uma parte vital do teste geral de penetração, além de realizar uma navegação forçada para encontrar conteúdo oculto em um laboratório.
• Examinaremos diferentes sistemas de autenticação, incluindo Basic, Digest, Forms, Windows Integrated e autenticação OAuth, e discutiremos como os servidores os usam e como os invasores os abusam. Vamos realizar a enumeração do nome de usuário e usar o fuzzer do Burp, Intruder, para adivinhar a senha usada para autenticar com sucesso em um aplicativo da web. Ganharemos experiência prática com o sequenciador Burp. Em seguida, terminaremos com uma discussão sobre desvios de autenticação e autorização, que podem expor dados confidenciais e funções de negócios a invasores, bem como explorar uma falha de autenticação no Mutillidae.

SEC542.3: Injeção e XXE

• Depois de encerrar a seção 2 com o bypass de autenticação, começamos explorando como os aplicativos da Web rastreiam usuários autenticados e maneiras de explorar os pontos fracos no gerenciamento de sessões.
• Desenvolveremos as informações identificadas durante os exercícios de criação de perfil de destino, spidering e navegação forçada, explorando métodos para encontrar e verificar vulnerabilidades no aplicativo. Os alunos também começam a explorar as interações entre as várias vulnerabilidades.
• Esta seção do curso aprofunda técnicas vitais de teste manual para descoberta de vulnerabilidades. Nós nos concentramos no desenvolvimento de conhecimento profundo de proxies de interceptação para descoberta de vulnerabilidades de aplicativos da web. Muitas das falhas de injeção mais comuns (injeção de comando e inclusão de arquivos locais e remotos são introduzidas e seguidas de exercícios de laboratório, para reforçar a descoberta e a exploração.

SEC542.4: XXE

• Depois de terminar a seção três aprendendo e explorando o XXE, a seção quatro continua explorando as falhas de exploração e gasta tempo introduzindo vulnerabilidades de Cross-Site Scripting (XSS), incluindo vulnerabilidades XSS refletidas, armazenadas e baseadas em DOM. Os métodos de descoberta manual são empregados durante os laboratórios práticos.
• A seção quatro também apresenta o Browser Exploitation Framework (BeEF) para os alunos, que é usado em vários laboratórios. O curso continua com uma discussão detalhada do AJAX à medida que exploramos como ele amplia a superfície de ataque aproveitada pelos testadores de penetração. Também analisamos como o AJAX é afetado por outras vulnerabilidades já abordadas em profundidade no início do curso.
• Discutiremos REST (Representational State Transfer) e SOAP (Simple Object Access Protocol). Por fim, a seção quatro termina com um laboratório no qual uma vulnerabilidade de Cross-site Scripting (XSS) baseada em Document Object Model (DOM) é explorada e, finalmente, conectada ao BeEF para controle total.

SEC542.5: CSRF, falhas lógicas e ferramentas avançadas

• Durante a quinta seção, lançamos exploits reais contra aplicativos do mundo real, expandindo nossa base dentro do aplicativo e estendendo-o para a rede na qual ele reside. Como testadores de penetração, focamos especificamente em maneiras de aproveitar as vulnerabilidades descobertas anteriormente para obter mais acesso, destacando a natureza cíclica dos testes de penetração de aplicativos da web.
• Durante nossa fase de exploração, expandimos nosso uso de ferramentas como ZAP e BurpSuite Pro, além de complementá-las com o uso adicional de sqlmap e Metasploit para ajudar a criar explorações em vários aplicativos da web. Lançamos ataques SQL Injection e Cross-Site Request Forgery, entre outros. Nas aulas, exploramos essas falhas para roubar dados, sequestrar sessões, desfigurar um site, obter shells, pivotar contra redes conectadas e muito mais. Por meio de várias formas de exploração, o aluno obtém uma compreensão aguçada do potencial impacto comercial dessas falhas em uma organização.

SEC542.6: Capture a Bandeira

• Durante a seção seis, os alunos formam equipes e competem em um torneio de teste de penetração de aplicativos da web. Este exercício Capture the Flag, desenvolvido pelo NetWars, oferece aos alunos a oportunidade de usar suas habilidades recém-desenvolvidas ou aprimoradas para responder a perguntas, concluir missões e exfiltrar dados, aplicando as habilidades adquiridas ao longo do curso. O estilo de desafio e o sistema de dicas integrado permitem que alunos de vários níveis de habilidade desfrutem de um ambiente de jogo e solidifiquem as habilidades aprendidas em sala de aula.

Conhecimento básico de trabalho da linha de comando do Linux.

• Aplicar a metodologia do OWASP aos seus testes de penetração de aplicativos da Web para garantir que sejam consistentes, reproduzíveis, rigorosos e sob controle de qualidade.
• Analisar os resultados de ferramentas automatizadas de teste da Web para validar descobertas, determinar seu impacto nos negócios e eliminar falsos positivos.
• Descobrir manualmente as principais falhas de aplicativos da Web.
• Usar o Python para criar scripts de teste e exploração durante um teste de penetração.
• Descobrir e explorar falhas de injeção de SQL para determinar o verdadeiro risco para a organização vítima.
• Entender e explore vulnerabilidades com ferramentas ysoserial e similares.
• Criar configurações e teste cargas úteis em outros ataques da web.
• Buscar entradas potenciais para ataques de injeção.
• Explicar o impacto da exploração de falhas de aplicativos da web.
• Analisar o tráfego entre o aplicativo cliente e o servidor usando ferramentas como o Zed Attack Proxy e o BurpSuite Pro para encontrar problemas de segurança no código do aplicativo do lado do cliente.
• Descobrir e explore manualmente ataques Cross-Site Request Forgery (CSRF).
• Usar o Browser Exploitation Framework (BeEF) para conectar os navegadores das vítimas, atacar o software cliente e a rede e avaliar o impacto potencial que as falhas de XSS têm em um aplicativo.
• Realizar dois testes completos de penetração na web, um durante as cinco seções de instrução do curso e o outro durante o exercício Capture the Flag.