Веб-уязвимости: OWASP Top 10
Курс уровня INTERMEDIATE по веб-уязвимостям OWASP Top 10: контроль доступа и инъекции, XSS, провалы аутентификации и криптографии, мисконфигурация, уязвимые компоненты и SSRF — с разбором первопричин, защиты и практикой на изолированном стенде.
Кому подойдёт этот курс?
Программа рассчитана на разный старт — найдите себя.
Уже работаете в близкой роли — углубляете и достраиваете недостающие компетенции.
Целитесь в следующий грейд — закрываете пробелы перед повышением.
Подтягиваете коллег к общему уровню на одних и тех же кейсах и стендах.
Чему вы научитесь
Навыки, которые останутся с вами после курса — основные выделены.
OWASP Top 10, поверхность атаки, методология тестирования (WSTG) и инструменты.
A01 (IDOR, path traversal) и A03 (SQL-, command-, NoSQL-инъекции): первопричины и защита.
Межсайтовый скриптинг по контекстам, провалы аутентификации/сессий и криптографии.
Мисконфигурация, уязвимые зависимости (Log4Shell), SSRF, целостность и логирование.
Secure SDLC, defense in depth, цепочки атак и отчётность об аудите с CVSS/CWE.
Как проходит обучение?
Учитесь онлайн в удобном темпе — теория, проверка и практика в одном маршруте.
Текстовые лекции и справочники, к которым удобно возвращаться по ходу.
Проверяете, что усвоили, сразу после темы — без зубрёжки.
Выполняете задания и получаете обратную связь от преподавателя.
Подробнее о курсе
Полный практический курс уровня INTERMEDIATE по безопасности веб-приложений на базе OWASP Top 10 (2021). Курс продолжает базовую линейку (как устроен веб, основы ИБ, пентест периметра) и систематически разбирает ключевые классы веб-уязвимостей по единой схеме: ЧТО это / ПОЧЕМУ возникает (первопричина) / КАК эксплуатируется / КАК защититься. Вы изучите нарушение контроля доступа (IDOR, path traversal), инъекции (SQL, command, NoSQL), межсайтовый скриптинг (reflected/stored/DOM и контексты вывода), провалы аутентификации и управления сессиями, криптографические провалы и защиту чувствительных данных, мисконфигурацию и уязвимые компоненты (на примере Log4Shell, CVE-2021-44228), SSRF, провалы целостности и логирования, а также построение системной защиты (secure SDLC, defense in depth, цепочки атак). Практика выполняется на изолированном стенде платформы Secenta websec-portal-01: обход аутентификации через SQL-инъекцию и подтверждение reflected XSS. Завершается курс мини-отчётом об аудите с классификацией по OWASP/CWE и оценкой по CVSS v3.1. Все задания легальны и безопасны: вы работаете в песочнице, а не на реальных системах.
4 модуля · 19 уроков
Модуль 1. Введение в безопасность веб-приложений
01 / модульБазовый модуль курса: как устроено веб-приложение на уровне клиент-сервер и HTTP, почему доверие пользовательскому вводу — корень почти всех уязвимостей, как читать карту рисков OWASP Top 10 (2021) и какими методологией и инструментами пользуется веб-тестировщик, оставаясь в правовом поле и работая только на изолированных стендах.
Модуль 2. Контроль доступа и инъекции (A01, A03)
02 / модульДва самых результативных класса веб-атак: нарушение контроля доступа (A01) и инъекции (A03). Разбираем первопричины — доверие данным от клиента и смешение кода с данными — и учимся закрывать их серверной авторизацией и параметризацией.
Модуль 3. XSS, аутентификация и крипто-провалы (A03, A07, A02)
03 / модульТри класса уязвимостей из OWASP Top 10, которые бьют по пользователю напрямую: межсайтовый скриптинг (A03), провалы аутентификации и управления сессиями (A07) и криптографические провалы при защите чувствительных данных (A02). Разбираем первопричины, реальные нагрузки и меры защиты, бьющие в корень.
Модуль 4. Конфигурация, компоненты и системная защита
04 / модульЗаключительный модуль курса OWASP Top 10: мисконфигурация (A05) и уязвимые компоненты (A06) на примере Log4Shell, серверные классы рисков — SSRF (A10), провалы целостности (A08) и логирования/мониторинга (A09), а также системный взгляд: цепочки атак, defense in depth и secure SDLC. Завершается итоговым отчётом об аудите и финальным тестом по всему курсу.