Все направления

Экспресс-курс · Подготовка к пентесту

Веб для пентестера

Прочитать чужое веб-приложение и составить его карту

Набор открыт: записаться может любой желающий, вступительных испытаний нет

ДЛИТЕЛЬНОСТЬ
около 3 месяцев
РИТМ
3 раза в неделю по 90 минут
ЯЗЫК ГРУППЫ
русский или английский
ЗАНЯТИЙ
33
МОДУЛЕЙ
7
ВОЗРАСТ (ОРИЕНТИР)
9–11 класс и взрослые
ВХОД
уверенное владение компьютером, веб-опыт не нужен

О программе

Входной курс к Red Team и пентесту: без веб-базы разбирать веб-уязвимости невозможно. За 33 занятия — протокол, разметка и DOM, JavaScript, состояние и сессии, сервер, база данных и API. Порядок обратный школьному: сначала трафик, потом страница, потому что пентестер смотрит на запросы раньше, чем на вёрстку. Атак и эксплуатации здесь нет — это подготовка; сами уязвимости разбираются дальше, в Треке B и Red Team. Работа только на учебном стенде, кодекс подписывается на первом занятии.

Модули

  1. WX0

    Как устроен веб

    занятия 1–5 · 5 шт.
    • Клиент, сервер, HTTP: из чего собирается страница
    • Запрос и ответ: методы, заголовки, коды состояния
    • DevTools — главный инструмент курса
    • URL, DNS, TLS: адрес и защищённый канал
    • Практика: полный разбор сетевого обмена приложения
  2. WX1

    HTML и DOM

    занятия 6–9 · 4 шт.
    • Структура документа и семантика
    • Формы: поля, типы, отправка данных
    • DOM: дерево страницы и как его читать
    • Практика: разбор чужой страницы
  3. WX2

    CSS ровно столько, сколько нужно

    занятия 10–11 · 2 шт.
    • Селекторы, каскад, блочная модель
    • Как отличить вёрстку от логики: скрытое — не значит выключенное
  4. WX3

    JavaScript: синтаксис

    занятия 12–18 · 7 шт.
    • Как исполняется JavaScript в браузере
    • Приведение типов и подвохи сравнений
    • Условия, циклы и чтение чужой логики
    • Функции, аргументы, область видимости
    • Массивы и методы массивов
    • Объекты и JSON: в ответе полей больше, чем на экране
    • Практика: свои скрипты разбора
  5. WX4

    JavaScript: браузер и сеть

    занятия 19–23 · 5 шт.
    • DOM из кода: поиск, изменение, создание элементов
    • События: обработчики, всплытие, делегирование
    • Асинхронность: промисы и ожидание результата
    • fetch: свои запросы, заголовки, разбор ответа
    • Практика: скрипт обхода живого приложения
  6. WX5

    Клиент — сервер: состояние и сессии

    занятия 24–28 · 5 шт.
    • Cookies: как сервер узнаёт пользователя
    • Сессии и токены: session id против JWT
    • Хранилища браузера: localStorage и sessionStorage
    • Same-Origin, CORS и заголовки безопасности
    • Практика: вход пользователя от формы до сессии
  7. WX6

    Сервер, данные, API

    занятия 29–33 · 5 шт.
    • Как устроен backend: маршруты, обработчики, ответы
    • Базы данных и SQL за одно занятие
    • Путь данных: форма → сервер → база → ответ
    • REST API: работа вручную и разбор чужого API
    • Итог: карта веб-приложения и вход в трек пентеста