Course Description:

คลาส Web Application Security 101 จะอธิบายถึงมุมมอง offensive security ของ web application เป็นหลัก เนื่องจากปัจจุบัน HTTP/HTTPS จัดเป็น protocol ที่ใช้งานกันอย่างกว้างขวางที่สุดและเป็นช่องทางที่อุปกรณ์ network มักจะมีการเปิดให้ใช้งานอยู่แล้วทั้งขาเข้า(ingress) และขาออก(egress) จึงทำให้เป็นจุดที่มักจะถูกโจมตีได้ง่าย และหากมีความเสียหายจะเกิดผลกระทบมากเช่นกัน สำหรับคลาสนี้จะกล่าวถึงเทคโนโลยีของ web application ในปัจจุบัน สอนทักษะและสิ่งที่ควรรู้ต่างๆสำหรับการตรวจสอบ security ของ web application และกล่าวถึงช่องโหว่ที่ควรรู้ต่างๆ โดยการเรียนจะประกอบไปด้วยการบรรยายและ hands-on exercises ที่จะฝึกทักษะและเรียนรู้เทคนิคการโจมตี web application ระดับพื้นฐาน

Course Outline:

Day 1:

1. Overview

- introduction
- methodology
- standards

2. Web application architecture and technology

- HTTP
- HTTPS
- framework and related technology
- web crawler
- web proxy tools

3. Reconnaissance

- information gathering
- discovering infrastructure
- fingerprinting application/framework
- google hacking
- OSINT: Open Source Intelligence

Day 2:

4. Vulnerabilities assessment

- uncovering vulnerabilities
- information leakage
- XSS:Cross-Site Scripting
- SQL injection
- malicious file upload
- XSRF: Cross-Site Request Forgery
- Attacking session and access control

5. Advanced topics in web application security 101

- BeEF: Browser Exploitation Framework

6. Conclusion and suggestions

- How should we go on?
- web app pentesting environment

Student Requirements and Prerequisites:

- basic knowledge of TCP/IP, HTTP
- คุ้นเคยกับการใช้งาน vmware workstation