Kursinhalt

Grundlegende Prinzipien und Einführung in die Materie

• Was ist Sicherheit?
• Diskussion: Sicherheitskonzepte im Vergleich
• Warum ist Sicherheit notwendig (Beispiele bekannter Hacks etc.)?

Grundlegende Prinzipien und Einführung in die Materie

• Facetten der Sicherheit als Teilaspekte eines tragfähigen Sicherheitskonzepts
• Kenne Deinen Feind - wie Angreifer ein Zielsystem auskundschaften

Remote File Inclusion / Remote Code Execution

• Manipulation an GET-Parametern (?include=/etc/passwd et al.)
• Welche weiteren Parameter kann man manipulieren (Header-Manipulation, POST, etc.)
• Auswirkungen solcher Manipulationen
• Eigene Scripte säubern, Parametermanipulation verhindern

Authentifizierung und Autorisierung

• Abgrenzung der AAA: Authentication, Authorization, Accounting
• Authentifizierung in PHP über Formulare oder Apache-Auth sicher gestalten
• Common Pitfalls
• nicht-algorithmische Attacken (Bruteforce, Social Engineering, Raten) verhindern

SQL-Probleme

• SQL-Injection: Typen (First Order, Second Order)
• Prominente Opfer von SQL-Injection
• First-Order SQL Injection: Beispiele und Behebung
• Second-Order SQL Injection: Beispiele und Behebung
• Prepared Statements und andere Wundermittel
• Übungen und Vertiefung

XSS / CSRF

• DOM, JavaScript, Same-Origin - Auffrischung
• Was ist XSS?
• XSS Angriffsvektoren und mögliche Gegenmaßnahmen
• XSS in HTML5
• Clickjacking, UI Redressing
• Cross-Site Request Forgery
• Content-Security Policies definieren und nutzen

Sessions

• Sessions in eigenen Applikationen sicher einsetzen
• Sessions in Shared-User Environments
• Session Fixation, Session Riding

Zeitlicher Ablauf

• Wer möchte, reist bis 22 Uhr am Vortag an und nutzt den Abend bereits zum Fachsimpeln am Kamin oder im Park.
• An den Kurstagen dann von 9-18 Uhr (mit 2 Kaffee- und 1 Mittagspause) etwa 60% Schulungen und 40% Übungen. Selbstverständlich arbeitet jeder Teilnehmer am "eigenen" Notebook oft parallel zum Referenten mit.
• Anschließend Abendessen und Angebote für Fachsimpeln, Ausflüge uvm. Wir schaffen eine Atmosphäre, in der Fachleute sich ungezwungen austauschen. Wer das nicht will, wird zu nichts gezwungen und findet auch jederzeit Ruhe.