Частично вдохновленный этим постом задумался, почему бы не сделать что-то похожее у себя в городе, добавив немного субкультуры и лайв-демонстраций различных атак.
Итого было решено поделиться знаниями, организовав бесплатные занятия по InfoSec для всех желающих. Под катом программа занятий и подробности.
Для тех, кто не из Томска — можете просто прокомментировать выбранные темы и возможно предложить свои.
Пока расписал содержание только первой «главы» занятий, да и вообще, это пока наброски.
Key words — это список ключевых терминов и понятий, о которых надо иметь хотя бы представление, иначе занятие будет лишь каким-то триллером с непонятным сюжетом.
По содержимому курса: 60% практики, 40% теории / 70% атак, 30% защиты. Т.е. на каждом занятии будет лайв-демонстрация атаки или подробный скринкаст.
Планируемое время: где-то ~ с 5 ~ с 7 вечера по субботам, вести буду я. Конечно же, если есть желающие помочь в этом деле — пишите. Если все пойдет успешно, еще бы хотелось главу по reverse-инженерингу (Olly, IDA и т.д.)
UPD1: Первое занятие состоится в эту субботу, в 15:00 в 106 аудитории СБИ «Дружба» (на Южной)
Будет проектор + колонки + во всем СБИ есть wifi с внешкой, который тоже будет нужен для лайв-демонстраций. Возможно к реальным атакам будем подключать тех, кто придет.
Вместимость около ~ 80 человек. Я не думаю, что придет больше) придет больше — принесем стулья :)
P.S. Решается вопрос так же и с видео записью, думаю организуем. Есть желание помочь — буду рад.
P.P.S. Чуть позже здесь же опубликую ссылку на сайт с централизованной информацией и актуальными новостями.
UPD2: Просьба имеющим аккаунты ВКонтакте отметить свое присутствие тут: vk.com/event30194153, чтобы знать, сколько народу ожидать
UPD3: oisd.sergeybelove.ru
Итого было решено поделиться знаниями, организовав бесплатные занятия по InfoSec для всех желающих. Под катом программа занятий и подробности.
Для тех, кто не из Томска — можете просто прокомментировать выбранные темы и возможно предложить свои.
I. Атаки на веб-приложения и методы защиты 1) Cross-Site Scripting Что такое XSS, виды XSS, их обнаружение; Пример внедрения сниффера и угона cookies; Немного о фильтрах. key words: post, get cookies, html, javascript, web-dev lang (php) 2) Cross-site request forgery Пояснение идеи подделки межсайтовых запросов; Почему POST так же легок, как GET, практический пример; CSRF + passive XSS -> снова "угоним" cookies; Защищаемся с помощью токенов. key words: post, get, cookies, html(frame), javascript, web-dev lang (php) 3) Remote/Local File Inclusion Пример уязвимого кода LFI через логи/переменные окружения и др. Нулл-байты key words: web-dev lang (php) 4) SQL inj SQL инъекции как следствие недостаточной фильтрации; Последовательный разбор схемы внедрения произвольного запроса; Отличие инъекций в разных БД; Практика: от инъекции до произвольного выполнения команд на сервере. key words: sql, php, unix 5) Denial of Service в веб-приложениях Отличия DDoS от DoS; DoS сервера БД через инъекцию, практический пример; DoS веб-сервера; DoS с помощью TCP-flood'инга (?). key words: sql, tcp, RFC 2616 6) Обзор софта Сканеры брешей в веб-скриптах; Утилиты для "раскрутки" sql-инъекций; Дебаггеры, локальные прокси; key words: web scanner, debug, proxy, sql II. Сетевые атаки. Атаки на ОС 1) Ошибки конфигурации сетевого ПО и их использование 2) Эксплойты. Metasploit Framework (использование + автоматический эксплоитнг) 3) Повышение привелегий в системе 4) Снифинг, спуфинг. Man in the Middle 5) Сетевые черви, ботнеты. Немного о Stuxnet
Пока расписал содержание только первой «главы» занятий, да и вообще, это пока наброски.
Key words — это список ключевых терминов и понятий, о которых надо иметь хотя бы представление, иначе занятие будет лишь каким-то триллером с непонятным сюжетом.
По содержимому курса: 60% практики, 40% теории / 70% атак, 30% защиты. Т.е. на каждом занятии будет лайв-демонстрация атаки или подробный скринкаст.
- Не важен университет/возраст/пол/цвет кожи
- Не надо нигде регистрироваться или подавать заявки
- Не надо ничего никому платить
Планируемое время: где-то ~ с 5 ~ с 7 вечера по субботам, вести буду я. Конечно же, если есть желающие помочь в этом деле — пишите. Если все пойдет успешно, еще бы хотелось главу по reverse-инженерингу (Olly, IDA и т.д.)
UPD1: Первое занятие состоится в эту субботу, в 15:00 в 106 аудитории СБИ «Дружба» (на Южной)
Будет проектор + колонки + во всем СБИ есть wifi с внешкой, который тоже будет нужен для лайв-демонстраций. Возможно к реальным атакам будем подключать тех, кто придет.
Вместимость около ~ 80 человек. Я не думаю, что придет больше) придет больше — принесем стулья :)
P.S. Решается вопрос так же и с видео записью, думаю организуем. Есть желание помочь — буду рад.
P.P.S. Чуть позже здесь же опубликую ссылку на сайт с централизованной информацией и актуальными новостями.
UPD2: Просьба имеющим аккаунты ВКонтакте отметить свое присутствие тут: vk.com/event30194153, чтобы знать, сколько народу ожидать
UPD3: oisd.sergeybelove.ru