Security in web applications and operating systems

Cílem této laboratorní úlohy je prostudovat některé z hlavních zranitelností (ověřování skrytých polí, slabá identifikace relace) ve webových aplikacích, prostudovat některé základní způsoby provádění útoků a pochopit původ těchto zranitelností a jak se jim vyhnout.

S čím se v úloze seznámíte

Úloha je realizována prostřednictvím aplikačního prostředí WebGoat vyvinutého organizací OWASP (The Open Web Application Security Project) naprogramovaném v jazyce Java. Jedná se o výcvikovou aplikaci, která záměrně obsahuje nejrůznější formy zranitelností. .

Druhá aplikace, kterou budete v úloze využívat je aplikace ZAP (Zed Attack Proxy) od organizace Checkmarx. Jedná se o aplikaci typu proxy, která slouží jako mezivrstva mezi internetovým prohlížečem a systémovou síťovou službou operačního systému. Tato vrstva umožňuje analýzu a manipulaci se zprávami před odesláním na cílový server – internetový prohlížeč již nemá na obsah těchto zpráv vliv.

Průběžné úkoly jsou

• Spuštění prostředí WebGoat
• Validace (ověření) parametrů
• Skrytá pole – Analýza skrytých polí na webové stránce
• Skrytá pole – Modifikace skrytých polí
• Ověřování polí na straně klienta – Nalezení formuláře
• Ověřování polí na straně klienta – Obejití ověřování
• Správa relací a ověřování – Identifikace relace s cookie
• Správa relací a ověřování – Odcizení relace

Potřebný čas na laboratorní úlohu je max. 45 minut.