آموزش تست نفوذ وب مقدماتی تا پیشرفته
مدرس: عرفان توکلی
دوره Pentest Web (Basic & Advanced) با تدریس عرفان توکلی، یک مسیر ساختارمند برای ارزیابی امنیت وب‌اپلیکیشن و API است. آموزش از فهم HTTP، نشست، مدل اعتماد مرورگر و معماری برنامه آغاز می‌شود و به طراحی آزمون برای کنترل دسترسی، تزریق، پردازش سمت سرور و منطق کسب‌وکار می‌رسد. هدف، تشخیص ریشه آسیب‌پذیری و اثبات اثر آن با شواهد قابل بازتولید است.
Burp Suite در طول مسیر برای مشاهده ترافیک، بازپخش درخواست، مقایسه پاسخ و مدیریت تست استفاده می‌شود. متدولوژی OWASP WSTG به پوشش منظم کمک می‌کند، اما جای مدل‌سازی اختصاصی برنامه را نمی‌گیرد. در هر بخش، مرز اعتماد، محل پردازش ورودی، هویت کاربر و تفاوت رفتار کلاینت و سرور بررسی می‌شود تا تست به مجموعه‌ای از Payloadهای حفظی محدود نماند.
بخش پیشرفته به آزمون جریان‌های چندمرحله‌ای، OAuth/OIDC، JWT، GraphQL، Race Condition، Cache و ناسازگاری تفسیر HTTP می‌پردازد. سناریوها با تعریف فرضیه، کنترل متغیر، مقایسه نقش‌های کاربری و ثبت حداقل شاهد کافی تحلیل می‌شوند. در پایان، یافته به گزارش شامل Preconditions، مراحل بازتولید، Impact، شواهد و راهکار اصلاح در لایه مناسب تبدیل می‌شود. این دوره برای ساخت مهارت تست نفوذ وب و ادامه مسیر Bug Bounty و AppSec طراحی شده است.
مهارت‌هایی که در این دوره دنبال می‌کنید
- مدل‌سازی سطح حمله و مرزهای اعتماد برنامه
- استفاده هدفمند از Proxy، Repeater و ابزارهای Burp Suite
- طراحی تست احراز هویت و کنترل دسترسی چندنقشی
- تحلیل ریشه Injection، XSS، SSRF و آسیب‌پذیری پردازش ورودی
- بررسی جریان‌های تجاری، Race و API Authorization
- نوشتن گزارش فنی همراه با اصلاح و روش Retest
پیش‌نیازهای فنی
- آشنایی با TCP/IP، DNS و کارکرد وب‌سایت
- توانایی خواندن HTML و JavaScript در سطح مقدماتی
- آشنایی اولیه با خط فرمان و مفاهیم برنامه‌نویسی
- شناخت درخواست و پاسخ HTTP برای ورود به بخش‌های پیشرفته
ابزارها و منابع فنی مسیر آموزش
- Burp Suite و ابزارهای مشاهده و بازپخش HTTP
- Browser DevTools و ابزارهای خط فرمان HTTP
- OWASP WSTG و الگوی ثبت Coverage
- محیط‌های آزمایشگاهی وب، REST و GraphQL
برنامه آموزشی و سرفصل‌های تخصصی
1. HTTP، معماری وب و مدل اعتماد مرورگر
- Method، Status Code، Header و Content-Type
- Cookie، Cache و تفاوت Session و Token
- Same-Origin Policy، CORS و SameSite
- شناخت Reverse Proxy، Backend و محل اعتبارسنجی
2. Burp Suite؛ Interception، Repeater و تحلیل پاسخ
- تنظیم Proxy و Certificate در آزمایشگاه
- ساخت Target Scope و نگهداری تاریخچه درخواست
- بازپخش، مقایسه و تغییر کنترل‌شده پارامترها
- استفاده از Intruder با توجه به محدودیت مجوز ابزار
3. روش‌شناسی تست و مدل‌سازی سطح حمله
- تهیه Endpoint Inventory و نقشه Roleها
- شناخت پارامتر، روش HTTP و جریان داده
- طراحی Test Case مبتنی بر OWASP WSTG
- ثبت Coverage، Preconditions و شواهد تست
4. Authentication؛ ورود، بازیابی رمز و مدیریت Session
- تحلیل چرخه ایجاد، تمدید و پایان نشست
- بررسی Reset Token و اتصال آن به هویت کاربر
- تست MFA Flow، Step-up و عملیات حساس
- بررسی Session Fixation و خروج مؤثر از نشست
5. Access Control؛ IDOR، BOLA و مجوزهای عملکردی
- مقایسه دسترسی افقی و عمودی با چند حساب
- آزمون Object-level و Function-level Authorization
- بررسی مالکیت داده در Endpointهای REST
- تحلیل Mass Assignment و فیلدهای قابل تغییر
6. SQL Injection و تزریق در Query سمت سرور
- تشخیص Context عددی، متنی و ساختاری
- مقایسه نشانه خطا و تفاوت منطقی پاسخ
- شناخت محدودیت تحلیل بر اساس تأخیر زمانی
- اصلاح با Parameterized Query و مرزهای ORM
7. XSS؛ Context، DOM و کنترل خروجی
- تفکیک Reflected، Stored و DOM-based XSS
- ردیابی Source و Sink در JavaScript
- بررسی تفاوت HTML، Attribute و Script Context
- نقش Output Encoding، Sanitization و CSP
8. CSRF، CORS و امنیت تعامل بین مبداها
- ارزیابی اتصال CSRF Token به نشست و عملیات
- بررسی Origin، Credential و Preflight
- نقش SameSite و Content-Type در طراحی تست
- تفکیک تنظیم خطرناک از اثر قابل اثبات
9. SSRF، File Handling و پردازش سمت سرور
- بررسی نقاط دریافت URL و مرزهای اعتماد
- تحلیل Path Traversal، LFI و Download Endpoint
- ارزیابی Upload Validation و محل ذخیره فایل
- شناخت XXE و SSTI در معماری پردازش داده
10. امنیت API؛ REST، GraphQL و WebSocket
- بررسی Schema، Resolver و Authorization در GraphQL
- تحلیل Pagination، Filtering و Exposure داده
- آزمون مدیریت نشست و پیام WebSocket
- بررسی تفاوت کنترل کلاینت و منطق API
11. OAuth/OIDC، JWT و جریان‌های Federated Login
- شناخت Roleهای Client، Provider و Resource Server
- بررسی State، Nonce و Redirect URI
- تحلیل Claim، Signature و چرخه عمر JWT
- تست اتصال حساب و جابه‌جایی هویت بین جریان‌ها
12. Business Logic؛ خرید، تخفیف و جریان چندمرحله‌ای
- مدل‌سازی State Transition و Invariant تجاری
- بررسی اتصال مبلغ، سفارش، کاربر و تراکنش
- تحلیل تکرار عملیات و کنترل Idempotency
- طراحی تست با مقایسه مسیر عادی و مسیر جایگزین
13. Race Condition و هم‌زمانی درخواست‌ها
- شناسایی عملیات Check-then-act و State مشترک
- طراحی آزمون کنترل‌شده هم‌زمانی در آزمایشگاه
- تفکیک نتیجه تصادفی از Race قابل بازتولید
- بررسی Transaction، Lock و راهکار اصلاح
14. Cache، HTTP Parsing و مرز Proxy/Backend
- شناخت Cache Key و تفاوت پاسخ خصوصی و عمومی
- تحلیل Web Cache Poisoning و Deception در سطح سناریو
- بررسی ناسازگاری تفسیر درخواست در زنجیره HTTP
- ثبت Preconditions و محدودیت ابزار و پروتکل
15. گزارش حرفه‌ای، اولویت‌بندی و Retest
- نوشتن مراحل بازتولید حداقلی و دقیق
- تفکیک Root Cause، Impact و Severity
- پیشنهاد اصلاح متناسب با Context برنامه
- اعتبارسنجی رفع آسیب‌پذیری و Regression Test
سناریوی تمرین و خروجی فنی
یک وب‌اپلیکیشن آزمایشگاهی چندنقشی همراه با API ارزیابی می‌شود. خروجی شامل نقشه سطح حمله، ماتریس مجوزها، Coverage تست، چند گزارش با اثر مستقل و مستند Retest است؛ برای هر یافته، مسیر داده و علت شکست کنترل امنیتی باید مشخص باشد.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.