Ilustracja warsztatu pracyZapisy wkrótce
XSS i wykonanie kodu w przeglądarce
Zrozum, dlaczego ten sam tekst w jednym miejscu jest bezpieczny, a w innym uruchamia kod. Przeanalizujesz reflected, stored i DOM XSS oraz modelowe wyniki retestu. Osobno wykonasz ograniczone testy z nieszkodliwym znacznikiem w odizolowanym środowisku przeglądarki. Ich wynik nie potwierdza naprawy całej aplikacji.
449 złplanowana cena brutto
W przeglądarce · Bez instalacji · Tutor i narracja
Otwierasz przeglądarkę. Zaczynasz naukę.
Nie tracisz pierwszego wieczoru na konfigurację środowiska. Aplikacja, narzędzia i kontekst zadania są w jednym miejscu. Nie potrzebujesz Dockera, VPN, maszyny wirtualnej ani płatnego oprogramowania.
Wirtualny tutor prowadzi przez przykład i wskazuje istotne elementy aplikacji, kodu lub narzędzia. Łatwiej powiązać instrukcję z tym, co dzieje się na ekranie.
Narracja tłumaczy mechanizm, decyzję i rezultat. Możesz zatrzymać prowadzenie, wrócić do wcześniejszego kroku i przeanalizować go we własnym tempie.
Przejmujesz pracę w ćwiczeniu: zmieniasz dane, wykonujesz próbę albo podejmujesz decyzję. Porównujesz wynik i poprawiasz rozwiązanie na podstawie wyjaśnienia.
Jedno środowisko, bez przełączania się między filmem a instalacją. Narzędzia dobieramy do tematu: od żądań HTTP i kodu po terminal, kalkulator lub dokument. Ćwiczysz w symulatorach i na przygotowanych przypadkach, bez atakowania cudzych systemów.
Co będziesz potrafić?
Zamiast próbować tego samego ciągu wszędzie, dobierasz test do miejsca, w którym aplikacja używa treści użytkownika.
Jeden przykład XSS działa, a podobny już nie.
Wskazujesz miejsce użycia danych i wyjaśniasz, dlaczego dana próba jest właściwa dla tego kontekstu.
Odbicie tekstu w odpowiedzi traktujesz jak wykonanie kodu.
Uzyskujesz ograniczony dowód w laboratorium, wskazując odbiorcę, warunki wyświetlenia i zaobserwowany skutek.
Poprawka blokuje test, ale psuje edytor lub podgląd.
Porównujesz niebezpieczne wejście z dozwoloną treścią. Uzasadniasz kodowanie lub sanitację i rolę dodatkowych zabezpieczeń.
Przećwiczysz analizę formularzy, edytorów, wiadomości i podglądów, aby zgłaszać potwierdzone problemy oraz sprawdzać poprawki bez utraty funkcjonalności.
Każdą umiejętność łączysz z konkretnym rezultatem pracy. Do wyjaśnień możesz wracać w trakcie ćwiczenia.
Zakres, za którym stoją materiały
Zobacz, co składa się na program: lekcje, objaśnienia, przykłady i ćwiczenia. Liczby poniżej opisują różne rodzaje materiałów.
Liczby opisują źródłową, anglojęzyczną bazę materiałów. Lista oczekujących dotyczy planowanej edycji polskiej. Liczby nie oznaczają ukończenia jej tłumaczenia. Kroki demonstracji, przykłady i zadania to różne jednostki, nie godziny nagrań ani liczba unikalnych podatności.
Punkt wejścia
Zapisy dotyczą polskiej edycji. Nazwy poleceń, fragmenty kodu i oznaczenia standardów pozostają w oryginale.
Sposób nauki
Tutor prowadzi przez przykład i wyjaśnia kolejne decyzje. W ćwiczeniu możesz wrócić do kontekstu, sprawdzić wynik i poprawić swoją odpowiedź.
Cel, ograniczenia i dane wejściowe. Wiesz, co sprawdzasz i po co.
Obserwujesz demonstrację z komentarzem tutora, krok po kroku.
Pracujesz z danymi, narzędziem lub scenariuszem. Porównujesz rezultat z oczekiwaniem.
Uzasadniasz decyzję i poznajesz ograniczenia. Wracasz do miejsc wymagających poprawy.
Ćwiczenia korzystają z symulatorów oraz wybranych mechanizmów wykonywanych w przeglądarce. Nie wymagają atakowania cudzych systemów.
Planowany program
Każdy obszar rozwija konkretną umiejętność. Poznajesz nie tylko temat, ale także działanie i rezultat, do którego prowadzi nauka.
Przy każdym temacie znajdziesz umiejętność i konkretny rezultat ćwiczenia.
Chcę dołączyć do listyOdszukasz dane w tekście HTML, atrybucie, ciągu JavaScript, adresie URL lub osadzonym JSON. Prześledzisz granice, które parser rozpoznaje w każdym miejscu. Na tej podstawie wybierzesz próbę testową i sposób oddzielenia danych od kodu.
Ćwiczenie z tutorem
Porównasz wartość zwróconą bezpośrednio w odpowiedzi, treść zapisaną do późniejszego wyświetlenia i dane przetwarzane przez skrypt w DOM. Dla każdego wariantu wskażesz źródło oraz miejsce użycia. Zbudujesz test odpowiadający rzeczywistej drodze danych.
Ćwiczenie z tutorem
Zaczniesz od zwykłej treści, a potem zastosujesz znacznik pokazujący wykonanie w odizolowanym ćwiczeniu przeglądarkowym. Porównasz wynik z samym odbiciem tekstu i zablokowaną próbą. Zapiszesz rolę, kontekst i obserwację bez pobierania haseł, tokenów ani prywatnych danych.
Ćwiczenie z tutorem
Prześledzisz zgłoszenie klienta wyświetlane później osobie obsługującej wsparcie. Oddzielisz zapis wiadomości od jej otwarcia przez odbiorcę. Przygotujesz test, który pokazuje, w czyim kontekście powstaje skutek i jakie znaczenie ma rola tej osoby.
Ćwiczenie z tutorem
Przeanalizujesz przepływ z fragmentu adresu i postMessage do operacji modyfikującej stronę. Sprawdzisz pochodzenie oraz strukturę wiadomości i dobór bezpiecznego API. Porównasz innerHTML z umieszczeniem wartości jako tekstu.
Ćwiczenie z tutorem
Przećwiczysz przypadek, w którym aplikacja ma zachować pogrubienie lub linki, ale usunąć niebezpieczne konstrukcje. Porównasz reguły sanitacji z DOM utworzonym przez przeglądarkę. Uwzględnisz dozwolone protokoły linków i testy poprawnego formatowania.
Ćwiczenie z tutorem
Ustalisz, do jakiego stanu i funkcji może dotrzeć skrypt w badanym kontekście. Oddzielisz odczyt cookie od działania z automatycznie dołączaną sesją. Dzięki temu opiszesz wpływ na konkretną aplikację bez przypisywania każdemu XSS identycznych konsekwencji.
Analiza przypadku
Porównasz zablokowanie wykonania przez CSP z usunięciem przyczyny w kodzie. Poznasz rolę Trusted Types i znaczenie bezpiecznej polityki tworzenia wartości. Sprawdzisz, które zabezpieczenie zadziałało w danym wariancie i co nadal wymaga naprawy.
Analiza przypadku
Dobierzesz kodowanie do miejsca wyświetlenia danych, bezpieczne operacje DOM do zwykłego tekstu i sanitację do dozwolonego HTML. Porównasz podatny oraz poprawiony kod. Sprawdzisz, czy zmiana usuwa przyczynę, zamiast blokować tylko pojedynczy przykład wejścia.
Ćwiczenie z tutorem
Przeanalizujesz dostarczone oczekiwane wyniki retestu dla wyszukiwarki, zapisanej wiadomości, podglądu DOM i treści formatowanej. To wyniki modelowe, nie obserwacje z ponownie wykonanych testów aplikacji. Zaplanujesz brakujące próby, w tym sprawdzenie poprawnego działania funkcji po naprawie.
Warsztat na przygotowanych danych
W praktyce
Każdy przypadek ma kontekst, konkretne działanie i rezultat. Nie chodzi o zapamiętanie polecenia, ale o zrozumienie, dlaczego wynik się zmienił.
Prześledzisz w modelu aplikacji treść zgłoszenia od wysłania do wyświetlenia pracownikowi wsparcia. Porównasz dostarczone oczekiwane wyniki przed poprawką i po niej oraz zaplanujesz test w sesji odbiorcy. Model nie wykonuje tego testu.
Rezultat pracyOpis modelowego przypadku stored XSS oraz plan testów wykonania i regresji w sesji odbiorcy.
Przeanalizujesz dane trafiające do DOM i wymagania dotyczące dozwolonego formatowania. Dobierzesz bezpieczne API lub sanitację oraz zaplanujesz testy niebezpiecznego wejścia i poprawnej treści. Osobno sprawdzisz wybrany znacznik w odizolowanym środowisku przeglądarki. Taka próba nie weryfikuje mechanizmu sanitacji używanego w aplikacji.
Rezultat pracyMacierz kontekstów i zestaw testów, które sprawdzają ochronę oraz użyteczność funkcji.
Certyfikat ukończenia
Gdy ukończysz kurs, certyfikat zostanie wydany automatycznie i wysłany na Twój adres e-mail. Zawiera imię i nazwisko, datę wydania i unikalny kod, a na drugiej stronie zakres kursu.
Weryfikacja kodu: cyberszkola.pl/weryfikacja
Zapowiedź osobnego szkolenia
Planowana cena szkolenia
Polska edycja · Termin nie jest jeszcze ogłoszony
Powiadom mnie o starcieZapis jest bezpłatny. Przed otwarciem sprzedaży otrzymasz termin, pełny zakres i warunki zakupu. Dziś nie pobieramy płatności. To osobna lista zainteresowanych, nie rezerwacja miejsca ani zakup.
Dla firm i zespołów
Zgodne z platformami LMS, m.in.:
oraz innymi platformami obsługującymi standardy e-learningowe.
Cena dla firm
Wdrożenie we własnym LMS firmy od 50 licencji.
Zapytaj o wycenęNapisz na [email protected]: liczba osób, wybrane szkolenia i system LMS, jeśli go używacie.
Autor projektu
Twórca projektów Cyberwiedza, cyberszkola i AI SecLabs. W tych szkoleniach łączę wyjaśnienie mechanizmu z ćwiczeniem, obserwacją i decyzją, którą trzeba umieć uzasadnić.
Nie wystarczy uruchomić polecenie. Ważne jest, co jego wynik potwierdza, czego nie potwierdza i jaki powinien być następny krok.
Więcej o autorzePrzed zapisem
Przykłady są punktem wyjścia do rozpoznania kontekstu i doboru testu. W odizolowanym środowisku przeglądarki sprawdzasz rzeczywiste wykonanie nieszkodliwego znacznika. Warsztat retestu korzysta natomiast z dostarczonych oczekiwanych wyników: uczysz się planować weryfikację poprawki, ale nie wykonujesz pełnego retestu aplikacji.
Warto rozumieć podstawy HTML, zmiennych, funkcji i modyfikowania strony. Kurs wyjaśnia przepływ danych oraz znaczenie operacji DOM, ale nie zastępuje wprowadzenia do programowania w JavaScript.
Nie. To zapowiedź kursu i lista zainteresowanych. Zapis nie jest zakupem, rezerwacją miejsca ani zobowiązaniem do zapłaty.
Termin, cena i warunki dostępu zostaną ogłoszone przed otwarciem sprzedaży. Lista zainteresowanych służy do wysłania tej informacji.
Szkolenie jest dostępne po polsku i po angielsku — język przełączasz w dowolnym momencie, a lekcje, objaśnienia ćwiczeń i narracja są w obu wersjach. Polecenia, kod i nazwy narzędzi zachowują oryginalną składnię, taką samą jak w codziennej pracy.
Nie. Wszystkie ćwiczenia kursu wykonujesz w przeglądarce, na komputerze z dostępem do internetu. Aplikacje szkoleniowe, terminale, edytory i warsztaty są częścią platformy. Nie instalujesz Dockera, maszyny wirtualnej ani VPN i nie potrzebujesz płatnych narzędzi zewnętrznych.
Nie. Pracujesz w interaktywnym środowisku. Wirtualny tutor wskazuje istotne elementy, a narracja wyjaśnia działanie i jego wynik. Zatrzymujesz lekcję, wracasz do wcześniejszych kroków i wykonujesz własne próby. To prowadzenie wbudowane w kurs, nie indywidualne konsultacje z człowiekiem.
Nie. Korzystasz z aplikacji szkoleniowych, symulatorów i przygotowanych danych. Poznajesz mechanizm oraz jego ograniczenia w bezpiecznym środowisku. Odsyłacze do materiałów zewnętrznych są uzupełnieniem, nie warunkiem ukończenia ćwiczeń.
Tak, certyfikat ukończenia. Gdy ukończysz kurs, otrzymasz certyfikat w języku angielskim z unikalnym kodem, który każdy może sprawdzić na cyberszkola.pl/weryfikacja. To potwierdzenie ukończenia kursu wystawiane przez autora, a nie certyfikacja branżowa. Nie obiecujemy zatrudnienia.
Nie. To autorskie szkolenia korzystające z publicznych odniesień i własnych przypadków. Nie zastępują licencjonowanych standardów, akredytacji ani kwalifikacji wymaganych w branżach regulowanych.
Dołącz do listy oczekujących
Zostaw adres e-mail. Otrzymasz wiadomość o otwarciu zapisów, programie i warunkach pierwszej edycji. Nie musisz regularnie sprawdzać strony.
Planowana cena: 449 zł brutto