Introduzione

1. 1. La programmazione delle applicazioni Web

   La differenza fra programmazione tradizionale e programmazione di applicazioni web di nuova generazione

2. 2. La sicurezza delle applicazioni Web

   Come significa preservare la sicurezza delle applicazioni Web: integrità, disponibilità e confidenzialità dei dati

Protocollo HTTP e codifiche

1. 3. Richieste e risposte HTTP

   Introduzione al protocollo HTTP: la gestione del server e del client delle risposte e delle richieste

2. 4. Codici di risposta e metodi

   I principali codici di risposta del server e i principali metodi del protocollo HTTP

3. 5. Cookie e sistemi di codifica 

   I cookie e i vari sistemi per decodificare caratteri speciali e dati binari

Test di un'applicazione web

1. 6. Prima di cominciare: le basi

   Le componenti del nostro sistema (ideale), i più comuni errori di configurazione, e alcuni consigli.

2. 7. Obiettivi e metodi

   Quali sono gli obiettivi che ci proponiamo in una valutazione di sicurezza e quali i metodi da applicare?

3. 8. Mapping di un'applicazione web

   Gli strumenti per testare un'applicazione web: dagli spider automatici alla mappatura manuale di una applicazione.

4. 9. Esempio di spidering di un'applicazione web

   Usiamo Burp suite per mappare un'applicazione web controllando manualmente richieste e risposte

5. 10. Analisi codice lato client

   L'importanza per la sicurezza delle applicazioni web dell'analisi del codice HTML e degli script conservati in una pagina

Attacchi alle password

1. 11. Attacco all'autenticazione: password deboli

   Metodi per prevedere i comportamenti di un meccanismo di autenticazione e aggirarlo. Prima parte, le tecnologie e le password deboli

2. 12. Attacco all'autenticazione: brute force

   Metodi per prevedere i comportamenti di un meccanismo di autenticazione e aggirarlo. Seconda parte: attacchi brute force e di social engineering

Attacchi al codice

1. 13. Privilege escalation

   La scalata di privilegi: gli attacchi che danno accesso a risorse o documenti cui l'utente non ha accesso

2. 14. Gestione delle sessioni

   Gli attacchi più comuni alle sessioni: il furto del cookie e la gestione dei token

3. 15. Sql injection

   Gli attacchi alle richieste ad un database: come includere codice proprio in una query

4. 16. Code injection

   Gli attacchi al codice dell'applicazione: come inserire delle proprie istruzioni nella logica dell'applicazione

5. 17. Information disclosure

   Come sfruttare gli errori e le segnalazioni dell'applicazione per raccogliere informazioni sul suo comportamento

6. 18. Path traversal

   Come accedere al file system di un server utilizzando un attacco dal Web

7. 19. Cross Site Scripting (Xss)

   Come modificare una pagina Web per recuperare informazioni sensibili e cookie

Altri attacchi

1. 20. Google hacking

   Come utilizzare Google per cercare informazioni in siti Web da usare per attacchi di hacking

2. 21. Applicazioni compilate

   Come decompilare file Java, Flash e .Net per poter indagare il codice delle applicazioni che vi sono contenute

3. 22. Hack "Web 2.0"

   Accenni agli attacchi alle applicazioni Web 2.0 progettate con tecnologie Ajax

Appendici: check list

1. 23. I principi di sicurezza Web

   Un breve elenco di principi base da conoscere quando si vuole programmare un'applicazione web

2. 24. Domande utili

   Quali domande si deve porre uno sviluppatore per verificare la sicurezza di un'applicazione Web

3. 25. Check list di sicurezza Web

   Un elenco di controlli da eseguire per testare la sicurezza di un'applicazione Web