SEC642: Testes avançados de penetração de aplicativos da Web, hacking ético e técnicas de exploração (36 CPEs)

O SEC642 ensinará a você as habilidades e técnicas avançadas necessárias para testar aplicativos da Web modernos e tecnologias de última geração. Neste curso, você aprenderá por meio de uma combinação de palestras, experiências do mundo real e exercícios práticos que ensinarão as técnicas para testar a segurança de tecnologias da Web corporativas internas testadas e comprovadas, bem como Aplicativos voltados para a Internet. No último dia do curso, você aplicará o conhecimento adquirido em uma competição Capture-the-Flag, um ambiente divertido baseado em tecnologias do mundo real.

Seus aplicativos da Web podem resistir ao ataque das modernas técnicas avançadas de ataque?

Os aplicativos da Web modernos estão se tornando mais sofisticados e complexos à medida que usam novas tecnologias empolgantes e suportam operações cada vez mais críticas. Longe vão os dias das solicitações e respostas básicas de HTML. A complexidade do HTTP e dos aplicativos da web modernos está progredindo a uma velocidade impressionante. Com as demandas de clusters da Web altamente disponíveis e implantações em nuvem, os aplicativos da Web procuram fornecer mais funcionalidade em pacotes menores com menor pressão na infraestrutura de back-end. Bem-vindo a uma era que inclui criptografia sofisticada, WebSockets, HTTP/2 e muito mais. Suas habilidades de avaliação de aplicativos da Web e testes de penetração estão prontas para avaliar essas novas tecnologias impressionantes e torná-las mais seguras?

Você está pronto para testar seus aplicativos da Web com habilidades de ponta?

Este curso de pentest foi desenvolvido para ensinar a você as habilidades e técnicas avançadas necessárias para testar aplicativos da Web modernos e tecnologias de última geração. O curso usa uma combinação de palestras, experiências do mundo real e exercícios práticos para ensinar a você as técnicas para testar a segurança de tecnologias web corporativas internas testadas e comprovadas, bem como aplicativos de ponta voltados para a Internet. O último dia do curso culmina em uma competição Capture-the-Flag, onde você aplicará o conhecimento adquirido durante as cinco seções anteriores do curso em um ambiente divertido baseado em tecnologias do mundo real.

Aprendizado prático de habilidades avançadas de exploração de aplicativos da Web

Começamos explorando técnicas e ataques avançados aos quais todos os aplicativos complexos modernos podem ser vulneráveis. Aprenderemos sobre novos frameworks e back-ends da Web e, em seguida, exploraremos a criptografia no que se refere a aplicativos da Web, aprofundando a criptografia prática usada pela Web, incluindo técnicas para identificar o tipo de criptografia em uso no aplicativo e métodos para explorar ou abusando disso. Em seguida, examinaremos front-ends alternativos para aplicativos da Web e serviços da Web, como aplicativos móveis, e examinaremos novos protocolos, como HTTP/2 e WebSockets. A última seção do curso, antes da competição Capture-the-Flag, se concentrará em como identificar e contornar firewalls de aplicativos da Web, filtragem e outras técnicas de proteção.

Requisitos do computador

Importante! Configure o seu computador de acordo com as instruções do SANS!

É necessário um sistema devidamente configurado para participar plenamente deste curso. Se você não ler atentamente e seguir estas instruções, provavelmente sairá da aula insatisfeito porque não poderá participar de exercícios práticos essenciais para este curso. Portanto, recomendamos fortemente que você chegue com um sistema que atenda a todos os requisitos especificados para o curso.

Requisitos do computador:

• CPU de 2,0 GHz compatível com x64 mínimo ou superior
• Pelo menos 20 GB de espaço no disco rígido
• Pelo menos 4 GB de RAM, de preferência 8 GB de RAM

Sistema operacional do host: versão mais recente do Windows 10, macOS 10.15.x ou posterior ou Linux que também pode instalar e executar os produtos de virtualização VMware descritos abaixo. É necessário atualizar totalmente o sistema operacional do host antes da aula para garantir que você tenha os drivers e patches corretos instalados para utilizar os dispositivos USB 3.0 mais recentes. Aqueles que usam um host Linux também devem poder acessar partições exFAT usando o kernel apropriado ou os módulos FUSE. Observação: os sistemas Apple que usam o processador M1 não podem realizar a virtualização necessária neste momento e não podem ser usados ??para este curso.

VMware: Baixe e instale VMware Workstation Pro 15.5.x, VMware Player 15.5.x ou Fusion 11.5.x ou versões superiores antes da aula. Se você não possui uma cópia licenciada do VMware Workstation ou Fusion, pode fazer download de uma cópia de avaliação gratuita de 30 dias da VMware. A VMware enviará a você um número de série com limite de tempo se você se registrar para a avaliação em seu site.

Para mais detalhes sobre os requisitos de hardware e software, clique aqui

SEC642.1: Ataques Avançados

• À medida que os aplicativos e suas vulnerabilidades se tornam mais complexos, os testadores de penetração precisam ser capazes de lidar com alvos avançados.
• Começaremos o curso com um pen test de aquecimento de um pequeno aplicativo usando Cross-Site Scripting baseado no Document Object Model (DOM) para roubar e usar um token Cross-site Request Forgery (CSRF).
• Após nossa revisão deste exercício, exploraremos algumas das técnicas mais avançadas para falhas baseadas em servidor NoSQL Injection no MongoDB.
• Em seguida, daremos uma facada nos ataques de injeção de SSRF (Server-Side Request Forgery), Lightweight Directory Access Protocol (LDAP) e escalonamento de privilégios de Single Sign On (SSO) de Security Markup (SAML).
• Os ataques de dessincronização de HTTP também são conhecidos como contrabando de solicitações, o que pode permitir o desvio do Web Application Firewall (WAF). Depois de descobrir as falhas, trabalharemos várias maneiras de explorar essas falhas além dos métodos típicos usados ??atualmente.
• Essas técnicas avançadas ajudarão os testadores de penetração a encontrar maneiras de demonstrar essas vulnerabilidades para sua organização por meio de exploração avançada e personalizada.

SEC642.2: Criptografia da Web

• As fraquezas criptográficas são uma área importante de vulnerabilidades de aplicativos da Web, mas muito poucos testadores de penetração têm a habilidade de investigar, atacar e explorar essas falhas.
• Quando investigamos ataques de criptografia de aplicativos Web, normalmente visamos a implementação e o uso de criptografia em aplicativos Web modernos.
• Muitas linguagens de programação web populares ou estruturas de desenvolvimento disponibilizam serviços de criptografia para o desenvolvedor.
• No entanto, eles geralmente não protegem os dados criptografados de serem atacados ou permitem que o desenvolvedor use a criptografia apenas de maneira fraca.
• Esses erros de implementação serão nosso foco nesta seção, em oposição à exploração de deficiências nos próprios algoritmos criptográficos.
• Também exploraremos as várias maneiras pelas quais os aplicativos usam criptografia e hash de forma insegura.
• Os alunos aprenderão técnicas que vão desde a identificação de tipos de criptografia até a exploração de várias falhas nas técnicas de criptografia ou hash.

SEC642.3: Interfaces alternativas e XML

• Os aplicativos da Web não estão mais limitados às interfaces tradicionais baseadas em HTML.
• Serviços da Web e aplicativos móveis tornaram-se mais comuns e estão sendo usados regularmente para atacar clientes e organizações.
• Como tal, tornou-se muito importante que os testadores de penetração entendam como avaliar a segurança desses sistemas.
• Vamos explorar várias técnicas para descobrir falhas nos aplicativos e sistemas de back-end. Essas técnicas farão uso de ferramentas como o Burp Suite e outros conjuntos de ferramentas automatizados.
• Usaremos exercícios de laboratório para explorar os protocolos mais recentes de HTTP/2 e WebSockets, explorando as falhas expostas em cada um deles.
• Em seguida, examinaremos um back-end móvel, Representational State Transfer (REST) e Simple Object Access Protocol (SOAP), Application Programming Interfaces (APIs), Graph Query Language (GraphQL), XML XPath injection e XML External Entity (XXE).

SEC642.4: Ataques modernos a aplicativos da Web Parte 1

• Nesta seção, começamos a explorar a infraestrutura subjacente de nossos frameworks e linguagens. Tudo começa com uma exploração da arquitetura de frameworks populares. Há cobertura sobre vulnerabilidades arquitetônicas encontradas em estruturas ainda hoje, como a atribuição em massa.
• Estruturas mais recentes, como estruturas JavaScript do lado do servidor com NodeJS, nos mostram algumas opções de exploração diferentes.
• Os alunos irão explorar como abusar de vulnerabilidades para anexar nossos blocos de código JavaScript dentro dessas estruturas, levando ao controle total do sistema.
• Em seguida, exploraremos o PHP moderno e, embora seja uma linguagem muito difamada, ainda é muito popular.
• Nossa exploração do PHP Moderno nos leva a bugs de inferência de tipos e como esses problemas podem ser abusados ??e levar à manipulação do sistema ou ignorar controles.
• Em seguida, voltaremos aos bugs de desserialização do PHP.
• Os alunos descobrirão e criarão cargas úteis de desserialização PHP personalizadas.
• Terminamos a seção com um laboratório que orienta o aluno na construção de uma carga útil PHAR que causa a desserialização, permitindo-nos explorar o sistema subjacente.
• Os tópicos abordados nesta seção nos ajudam a nos conectar aos conceitos que serão valiosos na próxima seção, quando lidaremos com estruturas muito mais complexas.

SEC642.5: Ataques modernos a aplicativos da Web Parte 2

• Esta seção do curso continua os tópicos da seção anterior com estruturas da web. Começamos com aplicativos baseados em Ruby e Rack, como Sinatra e Ruby on Rails.
• Os desenvolvedores podem configurar incorretamente os aplicativos baseados em rack e, como parte dessa configuração incorreta, exploramos o abuso da camada de middleware usando técnicas de desserialização do Ruby.
• A seguir veremos a linguagem Java e toda a sua complexidade. Alguns afirmam que a linguagem Java é uma linguagem corporativa madura, enquanto outros afirmam que é uma falha de segurança completa.
• Os alunos revisarão os recursos de segurança do Java e suas falhas de segurança para descobrir, avaliar e explorar aplicativos Java.
• A seção apresenta um passo a passo sobre como construir ataques Java por meio de reflexão, problemas de serialização, RMI e o uso de cargas úteis baseadas em Java-Jar.
• Enquanto as Seções da Estrutura Moderna terminam em Java, os alunos continuarão no próximo tópico sobre como ignorar as proteções de aplicativos.
• Os aplicativos hoje estão usando mais controles de segurança para ajudar a evitar ataques.
• Esses controles, como firewalls de aplicativos da Web e técnicas de filtragem, tornam mais difícil para os testadores de penetração durante seus testes.
• Os controles bloqueiam muitas das ferramentas automatizadas e técnicas simples usadas para descobrir falhas.
• Os alunos usarão HTML5, UNICODE e outras codificações que permitem que as técnicas de descoberta funcionem dentro do aplicativo protegido.
• Na parte final da aula, vamos abusar de um recurso da linguagem PHP que usa comandos do sistema operacional para fazer seu trabalho.
• Manipular a funcionalidade do interpretador como essa pode comprometer o sistema, e demonstramos isso em nosso laboratório final.

SEC642.6: Desafio de Capturar a Bandeira

• Nesta seção final do curso, você será colocado em uma rede e terá a oportunidade de concluir um teste de penetração completo.
• O objetivo é que você explore as técnicas, ferramentas e metodologia que aprendeu durante a seção anterior de cinco cursos.
• Você poderá usar essas habilidades em uma extranet e intranet realistas.
• No final do desafio, você fornecerá um relatório verbal das descobertas e da metodologia que seguiu para completá-lo.
• Os alunos receberão uma máquina virtual que contém a Máquina Virtual SEC642 Slingshot com o Burp Suite Pro instalado.
• Você poderá usar isso tanto na aula quanto depois de sair e retornar aos seus trabalhos.

Este curso pressupõe que você tenha uma sólida compreensão das técnicas e metodologias de penetração na web. Você deve estar familiarizado com o protocolo HTTP, HTML e aplicativos da web. Um mínimo ou um a dois anos de experiência em testes de penetração na web, conclusão bem-sucedida da certificação GWAPT ou ter participado do curso SEC542 preencheriam esses pré-requisitos.

Quem deve participar

• Testadores de penetração na Web e na rede
• Membros da equipe vermelha
• Pessoal de avaliação de vulnerabilidades
• Consultores de segurança
• Desenvolvedores, testadores de controle de qualidade
• Administradores de sistemas e gerentes de TI
• Arquitetos de sistemas

Você vai aprender

• Como descobrir e explorar vulnerabilidades em estruturas, tecnologias e back-ends da Web modernos
• Habilidades para testar e explorar tecnologias específicas, como HTTP/2, Web Sockets e Node.js
• Como avaliar e encontrar vulnerabilidades nos muitos usos de criptografia em aplicativos da Web modernos
• Habilidades para testar e avaliar back-ends móveis e serviços da Web usados ??em uma empresa
• Métodos para reconhecer e ignorar as defesas personalizadas do desenvolvedor, da estrutura da Web e do firewall de aplicativo da Web

Você poderá

• Realizar a inclusão avançada de arquivos locais (LFI)/inclusão remota de arquivos (RFI), injeção de SQL cego (SQLi) e scripts entre sites (XSS) combinados com descoberta e exploração do Cross-Site Request Forger (XSRF)
• Explorar vulnerabilidades avançadas comuns à maioria das linguagens de back-end, como atribuições em massa, malabarismo de tipos e serialização de objetos
• Executar injeção baseada em JavaScript em ExpressJS, Node.js e NoSQL
• Entender os métodos de teste especiais para sistemas de gerenciamento de conteúdo, como SharePoint e WordPress
• Identificar e explore implementações de criptografia em aplicativos e estruturas da Web
• Descubrir vulnerabilidades de XML Entity e XPath em serviços web SOAP ou REST e outros datastores
• Usar ferramentas e técnicas para trabalhar e explorar HTTP/2 e Web Sockets
• Identificar e ignorar firewalls de aplicativos da Web e técnicas de filtragem de aplicativos para explorar o sistema