از مبانی وب تا ارزیابی امنیتی ساختاریافته
مدرس: عرفان توکلی
تست نفوذ حرفه‌ای وب با شناخت رفتار برنامه آغاز می‌شود؛ نه با اجرای بی‌هدف ابزار. در این دوره، بخش پایه مدل درخواست و پاسخ، نشست، هویت و سطح دسترسی را روشن می‌کند و بخش پیشرفته روی زنجیره تحلیل، منطق کسب‌وکار و ارزیابی API متمرکز می‌شود.
در سناریوهای آموزشی، یافته‌ها با اثر واقعی و شرایط وقوع بررسی می‌شوند. تفاوت میان خروجی ابزار، ضعف احتمالی و آسیب‌پذیری قابل بازتولید اهمیت دارد. نتیجه باید به توسعه‌دهنده نشان دهد چه کنترلی کافی نیست، مشکل در چه محدوده‌ای رخ می‌دهد و چگونه می‌توان اصلاح آن را آزمود.
تمام تمرین‌های عملی در آزمایشگاه یا سامانه دارای مجوز انجام می‌شوند. رویکرد دوره، ارزیابی هدفمند و گزارش مسئولانه است تا مسیر یادگیری از مفاهیم اولیه تا تحلیل مسئله‌های پیچیده‌تر پیوسته بماند.
دستاوردهای یادگیری
- مدل‌سازی درخواست، نشست و مرز اعتماد
- طراحی تست مجاز برای کنترل دسترسی و ورودی
- بررسی منطق کسب‌وکار و جریان‌های API
- اعتبارسنجی یافته با شواهد کمینه و روشن
- نوشتن گزارش و آزمون اصلاح آسیب‌پذیری
پیش‌نیازهای دوره
- آشنایی مقدماتی با وب، مرورگر و شبکه
- دانش پایه HTML و یک زبان برنامه‌نویسی مفید است
سرفصل‌های آموزشی
پایه وب و محیط تمرین
- HTTP، مرورگر و سیاست‌های مبدأ
- تعریف دامنه مجاز و آماده‌سازی آزمایشگاه
نقشه‌برداری برنامه
- شناخت نقش‌ها، جریان‌ها و سطح حمله
- کار با Proxy و ثبت درخواست‌ها
هویت و نشست
- ورود، بازیابی حساب و چرخه نشست
- بررسی کنترل‌های احراز هویت
کنترل دسترسی
- مجوز در سطح شیء و عملیات
- آزمون تفکیک نقش‌ها در سناریوی مجاز
ورودی و خروجی
- دسته‌های تزریق و پردازش ورودی
- زمینه خروجی و کنترل‌های دفاعی
منطق کسب‌وکار
- گردش‌کار، ترتیب عملیات و محدودیت‌ها
- تحلیل سناریوهای چندمرحله‌ای
امنیت API
- مدل مجوز و قراردادهای API
- بررسی اعتبارسنجی، منابع و خطاها
موضوعات تکمیلی
- پیکربندی، فایل و درخواست سمت سرور
- اولویت‌بندی تست بر اساس ریسک
ارزیابی و گزارش
- تأیید اثر با شواهد کمینه
- پیشنهاد اصلاح و Retest
تمرین پایانی
ارزیابی یک برنامه وب آزمایشگاهی، ساخت ماتریس نقش و مجوز و ارائه گزارش آسیب‌پذیری همراه با شرایط بازتولید، اثر و پیشنهاد اصلاح.