De Web Hacktraining is een intensieve workshop van een dag. Developers, security engineers en IT-professionals leren hoe een aanvaller in de praktijk een webapplicatie hackt. De leidraad is de OWASP Top 10, aangevuld met kwetsbaarheden die wij tijdens pentests vaak tegenkomen. In plaats van alleen te lezen over Cross-Site Scripting (XSS), SQL-injecties, XXE-aanvallen of remote code execution via een file upload, voert u deze aanvallen zelf uit met Burp Suite Professional en sqlmap tegen kwetsbare webapplicaties in onze labomgeving.
Webapplicaties zijn een geliefd doelwit bij hackaanvallen, en de kwetsbaarheden uit de OWASP Top 10 zijn daarbij veelgebruikte aanvalsvectoren. Door zelf te hacken begrijpt u niet alleen hoe zo’n kwetsbaarheid werkt, maar ook hoe u die in uw eigen code voorkomt.
De training geven we volledig op uw locatie, met twee web security specialisten van Hackify. Wij nemen de ingerichte laptops mee en een eigen labomgeving met meerdere kwetsbare webapplicaties, zodat iedere deelnemer kan meedoen met de aanvallen. Van XSS en CSRF aan de clientkant tot SQL-injecties, XXE en remote code execution via file uploads: alles gebeurt in een veilige, afgeschermde omgeving.
Een developer bouwt elke dag webapplicaties, maar leert zelden hoe een aanvaller die daadwerkelijk overneemt. Weten dat SQL-injecties bestaan is iets anders dan zelf een database uitlezen. Weten wat XSS is, is iets anders dan zelf een sessie overnemen.
Een praktische web security training is verstandig in de volgende situaties:
Wie zelf een webapplicatie hackt, snapt waar het valideren van invoer belangrijk is, waarom prepared statements een SQL-injectie tegenhouden en hoe een Content Security Policy de impact van XSS beperkt.
Een web hacktraining volgt een realistische aanvalsstroom tegen moderne webapplicaties. We gebruiken de OWASP Top 10 als leidraad en richten ons op de kwetsbaarheden die wij in de praktijk het meest zien. U voert alle aanvallen zelf uit met Burp Suite en sqlmap, tegen kwetsbare webapplicaties in onze labomgeving.
We beginnen met een korte introductie van de OWASP Top 10: de belangrijkste categorieën van webapplicatiekwetsbaarheden en de impact daarvan op een organisatie. Daarna richten we ons op Burp Suite: het instellen van de proxy, het onderscheppen van HTTP-verkeer, het ontdekken van parameters en het opzetten van een efficiënte testaanpak.
Dit onderdeel gaat over aanvallen aan de clientkant. U leert verschillende vormen van Cross-Site Scripting uitvoeren, van reflected en stored tot DOM-based, en ziet hoe XSS leidt tot het overnemen van een sessie en het stelen van gegevens. Daarnaast behandelen we Cross-Site Request Forgery (CSRF) en laten we zien hoe een aanvaller acties uitvoert namens een ingelogde gebruiker. Alles gebeurt hands-on met Burp Suite en de developer tools van de browser.
Vervolgens duiken we in injectieaanvallen aan de serverkant. We behandelen SQL-injecties, van een eenvoudige authentication bypass tot het uitlezen van data met een UNION-query, en laten zien hoe u met sqlmap snel kwetsbare parameters vindt en misbruikt. Daarnaast kijken we naar XXE-aanvallen (XML External Entity) en hoe een verkeerd geconfigureerde XML-parser leidt tot het buitmaken van gegevens of een SSRF-achtig scenario.
Daarna bekijken we hoe gebrekkige toegangscontrole leidt tot privilege escalation. We richten ons op IDOR (Insecure Direct Object References) en laten zien hoe u vanuit een gewoon gebruikersaccount toegang krijgt tot admin-functionaliteit of de gegevens van een andere gebruiker. U leert hoe u met Burp Suite stelselmatig autorisatieproblemen opspoort en misbruikt.
Tot slot behandelen we kwetsbaarheden in uploadfunctionaliteit waarmee remote code execution mogelijk is. We laten zien hoe een ogenschijnlijk onschuldige uploadfunctie wordt misbruikt om een webshell te plaatsen of code uit te voeren op de achterliggende server. Het eindresultaat is een volledige overname van de webapplicatie en de server eronder, met toegang tot de databases en gevoelige gegevens.
Wilt u uw development- en securityteams hands-on laten ervaren hoe je een webapplicatie hackt en beveiligt? Neem dan vrijblijvend contact met ons op. We vertellen u graag meer over onze aanpak, en horen graag meer over uw applicaties, uw technologie en uw leerdoelen.
Elke web hacktraining is anders, dus stellen we voor elke opdracht een voorstel op maat op. De training kan binnen 3 weken plaatsvinden en geven we volledig op uw locatie, met laptops en een complete kwetsbare labomgeving van ons. De training duurt een dag van 7 uur en volgt het hele aanvalspad: van de introductie op de OWASP Top 10 en aanvallen aan de clientkant tot injectie, broken access control en een volledige overname van de webapplicatie en de server.
Wij geven uw developers een hands-on dag in OWASP Top 10-exploitatie zodat ze de bugs herkennen voordat ze er een schrijven. Vraag een voorstel op maat aan.
Neem contact opOf mail ons direct via [email protected]
De Web Hacktraining duurt een dag, met 7 uur hands-on werk.
De hele dag staat het praktisch hacken van realistische webapplicaties centraal.