Специалист Атака и защита веб - сайтов по OWASP Top 10
О курсе
Подробнее
Цель курса - научить успешно выявлять и устранять проблемы безопасности веб-приложений. Курс посвящен методикам проведения тестирования на проникновение согласно классификации OWASP Top 10. В курсе представлены подробные материалы по работе веб-серверов и веб-приложений. Детально описаны уязвимости в соответствии с классификацией OWASP Top 10 и техники применения эксплойтов для многочисленных тестов на проникновение. А также предложены рекомендации по укреплению защищённости веб-приложений для каждого вида уязвимости. В процессе обучения рассматривается применение современных ИИ-инструментов в задачах анализа безопасности. ИИ используется как вспомогательный инструмент для анализа исходного кода, поиска потенциальных уязвимостей, анализа результатов тестирования, а также подготовки и проверки защитных мер. При этом особое внимание уделяется самостоятельной проверке полученных результатов и пониманию принципов работы обнаруженных уязвимостей. На занятиях используется учебное веб-приложение, специально написанное на PHP + MySQL, содержащее множество уязвимостей, отсортированных по OWASP Top 10 2025. Студенты не только узнают, какие бывают уязвимости, но и учатся эксплуатировать эти уязвимости, то есть, проводить атаки на каждую уязвимость, учатся защищаться от таких атак. Курс авторский. Занятия проводит инструктор, имеющий статус сертифицированного этичного хакера, аналитика безопасности и пентестера. Целевая аудитория курса: Системные администраторы безопасности, инженеры и аудиторы, работающие или предполагающие работать на средних и крупных предприятиях. К основной целевой аудитории данного курса также относятся специалисты в области информационных технологий, включая администраторов предприятий, желающих улучшить свои знания и навыки в области безопасности веб-серверов. Курс будет интересен квалифицированным специалистам, желающим понять принципы и техники взлома веб-сайтов и меры по защите веб-сайтов от взлома, а также освоить применение современных ИИ-инструментов при анализе безопасности веб-приложений. После завершения обучения вы будете уметь проводить анализ и выполнять последовательное тестирование основных способов атаки на веб-приложения по классификации OWASP Top 10, выявлять уязвимости в исходном коде и применять современные инструменты, включая ИИ, для анализа и повышения защищённости веб-приложений. Научитесь быть неуязвимым у признанного профессионала мирового уровня.
Результат
Что вы получите
- подготовить учебное окружение и учебный сайт, в том числе с использованием ИИ-инструментов как вспомогательных;
- провести на учебном стенде проверку по категориям OWASP Top 10 2025 и сформулировать меры защиты по каждой пройденной категории;
- выявить на учебном приложении типовые дефекты контроля доступа, конфигурации, криптографии, инъекций, дизайна, аутентификации, целостности, журналирования и обработки исключений;
- отделить вывод ИИ-инструмента от проверенного результата и объяснить, в чём состоит найденная проблема.
Содержание
11 занятийПрограмма курса
№ТемаЧто внутри
01Модуль 1. Концепции веб-сайтов (1 ак. ч.)
Принципы работы веб-серверов и веб-приложений. Принципы безопасности веб-сайтов и веб-приложений. Что такое OWASP. Обзор классификации OWASP Top 10 2025. Знакомство с инструментами учебной проверки. Использование ИИ-инструментов при анализе веб-приложений (вспомогательно). Настройка лаборатории. Практика: запуск учебного сайта и подготовка окружения, с использованием ИИ-инструментов в процессе анализа учебного приложения. Результат: слушатель ориентируется в классификации 2025 и имеет рабочий учебный стенд.
02Модуль 2. Нарушение контроля доступа (2 ак. ч.)
Концепции и принципы нарушений контроля доступа. Административный портал; ограничение доступа к каталогам; обход каталога; небезопасная прямая ссылка на объект (iDOR); подключение файла (LFI/RFI); невалидированный редирект и форвард; подделка запросов на стороне сервера (SSRF). Способы защиты. Использование ИИ для выявления нарушений контроля доступа. Практика: учебные задания по контролю доступа на учебном сайте и формулирование защиты. Результат: слушатель находит типовые нарушения доступа на стенде и называет меры защиты.
03Модуль 3. Небезопасная конфигурация (2 ак. ч.)
Принципы атак на конфигурацию. Примеры из программы: robots.txt; раскрытие информации; небезопасное хранение архивов; раскрытие Git; раскрытие Docker API; общие ресурсы в AJAX; CORS; небезопасная конфигурация FTP, WebDAV, SMB, SNMP; «человек посередине» в HTTP. Практика: учебные задания по конфигурации учебного веб-сервера и защита. Результат: слушатель выявляет типовые ошибки конфигурации на стенде.
04Модуль 4. Атака на цепочку поставок (4 ак. ч.)
Концепции атак на цепочку поставок. Примеры из программы: CI/CD; переполнение буфера (локальное и удалённое); Log4Shell. Способы защиты. Практика: учебные задания по цепочке поставок на учебном сайте и защита. Результат: слушатель понимает риски поставки компонентов и типовые учебные сценарии этой категории.
05Модуль 5. Криптографические уязвимости (1 ак. ч.)
Концепции криптографических дефектов. Примеры из программы: Base64 как «шифрование»; хранение данных в текстовых файлах, HTML5-хранилище и базах; передача учётных данных по HTTP; небезопасное управление ключами. Способы защиты. Практика: учебные задания по криптографии на учебном сайте и защита. Результат: слушатель отличает кодирование от криптозащиты и видит типовые ошибки хранения и передачи секретов.
06Модуль 6. Инъекции (6 ак. ч.)
Понятие инъекции. XSS: отражённые и хранимые; XSS в запросах, JSON/AJAX/XML, записях, cookie, User-Agent; защита от XSS. SQL-инъекции: простые (ошибки, объединение), хранимые, слепые (логическая и временная основа); защита. Иные типы из программы: NoSQL, LDAP, XML, манипуляция HTTP-запросом, почтовые заголовки, SSI, PHP-код, команды ОС. Использование ИИ для защиты от инъекций. Практика: учебные задания по инъекциям на учебном сайте и защита. Результат: слушатель выявляет типовые инъекции на стенде и формулирует защиту.
07Модуль 7. Небезопасный дизайн (2 ак. ч.)
Концепции небезопасного дизайна. Примеры из программы: валидация только на клиенте; небезопасное восстановление и сброс пароля; ошибки бизнес-логики; CSRF; clickjacking; XXE; небезопасная загрузка файлов. Защитные меры. Практика: учебные задания по дизайну на учебном сайте и защита. Результат: слушатель связывает ошибку проектирования с учебным сценарием и мерой защиты.
08Модуль 8. Сбои аутентификации (2 ак. ч.)
Концепции и методы аутентификации. Форма входа; слабые пароли; перебор; универсальный пароль. Управление сеансом: cookie; предсказание идентификатора; фиксация сеанса; выход. Методы защиты. Практика: учебные задания по аутентификации на учебном сайте и защита. Результат: слушатель проверяет учебную аутентификацию и сеанс и называет защиту.
09Модуль 9. Сбои в обеспечении целостности ПО и данных (2 ак. ч.)
Концепции целостности. Атаки на целостность портала. Сериализация и принцип атаки на десериализацию. Примеры из программы: обход аутентификации; инъекция бэкдора; атаки на целостность ПО. Способы защиты. Практика: учебные задания по целостности на учебном сайте и защита. Результат: слушатель понимает риск нарушения целостности кода и данных на учебном стенде.
10Модуль 10. Сбои журналирования и оповещений (1 ак. ч.)
Концепции журналирования и оповещений. Примеры сбоев. Ограничение доступа устройств и логирование; логирование HTTP-заголовков; десериализация записей журналов. Способы защиты. Практика: учебные примеры сбоев журналирования на стенде и защита. Результат: слушатель видит, чем опасны журналы без оповещения.
11Модуль 11. Некорректная обработка исключительных ситуаций (1 ак. ч.)
Концепции. Примеры из программы: заголовок Host; ограничение доступа устройств; подделка HTTP-запросов. Способы защиты. Практика: учебные задания по обработке исключений на учебном сайте и защита. Результат: слушатель связывает некорректную обработку сбоя с учебным сценарием и мерой защиты.
01Модуль 1. Концепции веб-сайтов (1 ак. ч.)
Принципы работы веб-серверов и веб-приложений. Принципы безопасности веб-сайтов и веб-приложений. Что такое OWASP. Обзор классификации OWASP Top 10 2025. Знакомство с инструментами учебной проверки. Использование ИИ-инструментов при анализе веб-приложений (вспомогательно). Настройка лаборатории. Практика: запуск учебного сайта и подготовка окружения, с использованием ИИ-инструментов в процессе анализа учебного приложения. Результат: слушатель ориентируется в классификации 2025 и имеет рабочий учебный стенд.
02Модуль 2. Нарушение контроля доступа (2 ак. ч.)
Концепции и принципы нарушений контроля доступа. Административный портал; ограничение доступа к каталогам; обход каталога; небезопасная прямая ссылка на объект (iDOR); подключение файла (LFI/RFI); невалидированный редирект и форвард; подделка запросов на стороне сервера (SSRF). Способы защиты. Использование ИИ для выявления нарушений контроля доступа. Практика: учебные задания по контролю доступа на учебном сайте и формулирование защиты. Результат: слушатель находит типовые нарушения доступа на стенде и называет меры защиты.
03Модуль 3. Небезопасная конфигурация (2 ак. ч.)
Принципы атак на конфигурацию. Примеры из программы: robots.txt; раскрытие информации; небезопасное хранение архивов; раскрытие Git; раскрытие Docker API; общие ресурсы в AJAX; CORS; небезопасная конфигурация FTP, WebDAV, SMB, SNMP; «человек посередине» в HTTP. Практика: учебные задания по конфигурации учебного веб-сервера и защита. Результат: слушатель выявляет типовые ошибки конфигурации на стенде.
04Модуль 4. Атака на цепочку поставок (4 ак. ч.)
Концепции атак на цепочку поставок. Примеры из программы: CI/CD; переполнение буфера (локальное и удалённое); Log4Shell. Способы защиты. Практика: учебные задания по цепочке поставок на учебном сайте и защита. Результат: слушатель понимает риски поставки компонентов и типовые учебные сценарии этой категории.
05Модуль 5. Криптографические уязвимости (1 ак. ч.)
Концепции криптографических дефектов. Примеры из программы: Base64 как «шифрование»; хранение данных в текстовых файлах, HTML5-хранилище и базах; передача учётных данных по HTTP; небезопасное управление ключами. Способы защиты. Практика: учебные задания по криптографии на учебном сайте и защита. Результат: слушатель отличает кодирование от криптозащиты и видит типовые ошибки хранения и передачи секретов.
06Модуль 6. Инъекции (6 ак. ч.)
Понятие инъекции. XSS: отражённые и хранимые; XSS в запросах, JSON/AJAX/XML, записях, cookie, User-Agent; защита от XSS. SQL-инъекции: простые (ошибки, объединение), хранимые, слепые (логическая и временная основа); защита. Иные типы из программы: NoSQL, LDAP, XML, манипуляция HTTP-запросом, почтовые заголовки, SSI, PHP-код, команды ОС. Использование ИИ для защиты от инъекций. Практика: учебные задания по инъекциям на учебном сайте и защита. Результат: слушатель выявляет типовые инъекции на стенде и формулирует защиту.
07Модуль 7. Небезопасный дизайн (2 ак. ч.)
Концепции небезопасного дизайна. Примеры из программы: валидация только на клиенте; небезопасное восстановление и сброс пароля; ошибки бизнес-логики; CSRF; clickjacking; XXE; небезопасная загрузка файлов. Защитные меры. Практика: учебные задания по дизайну на учебном сайте и защита. Результат: слушатель связывает ошибку проектирования с учебным сценарием и мерой защиты.
08Модуль 8. Сбои аутентификации (2 ак. ч.)
Концепции и методы аутентификации. Форма входа; слабые пароли; перебор; универсальный пароль. Управление сеансом: cookie; предсказание идентификатора; фиксация сеанса; выход. Методы защиты. Практика: учебные задания по аутентификации на учебном сайте и защита. Результат: слушатель проверяет учебную аутентификацию и сеанс и называет защиту.
09Модуль 9. Сбои в обеспечении целостности ПО и данных (2 ак. ч.)
Концепции целостности. Атаки на целостность портала. Сериализация и принцип атаки на десериализацию. Примеры из программы: обход аутентификации; инъекция бэкдора; атаки на целостность ПО. Способы защиты. Практика: учебные задания по целостности на учебном сайте и защита. Результат: слушатель понимает риск нарушения целостности кода и данных на учебном стенде.
10Модуль 10. Сбои журналирования и оповещений (1 ак. ч.)
Концепции журналирования и оповещений. Примеры сбоев. Ограничение доступа устройств и логирование; логирование HTTP-заголовков; десериализация записей журналов. Способы защиты. Практика: учебные примеры сбоев журналирования на стенде и защита. Результат: слушатель видит, чем опасны журналы без оповещения.
11Модуль 11. Некорректная обработка исключительных ситуаций (1 ак. ч.)
Концепции. Примеры из программы: заголовок Host; ограничение доступа устройств; подделка HTTP-запросов. Способы защиты. Практика: учебные задания по обработке исключений на учебном сайте и защита. Результат: слушатель связывает некорректную обработку сбоя с учебным сценарием и мерой защиты.
Организатор
Автор курса
Мнения учеников
Отзывы о курсе
Оставьте отзыв
Расскажите о качестве обучения, поддержке и результате. Это поможет другим выбрать организацию осознанно.
Оставьте заявку
Консультант ответит на вопросы о курсе «Атака и защита веб - сайтов по OWASP Top 10» и поможет разобраться в деталях обучения.
Нажимая кнопку, вы даете согласие на обработку персональных данных
Направления:Информационная безопасность
Информация обновлена 12 октября 2026 г.
Продолжить выбор
Похожие курсы
Начать без затрат
