Descripción general:

Este es un entrenamiento cuyo objetivo es preparar a las personas para desarrollar pruebas de seguridad para aplicaciones del mundo real.  

Esta es la Segunda Edición porque se han actualizado algunos escenarios de los ejercicios en la modalidad Capture the Flag (que continúan siendo apoyados por el team de instructores durante su ejecución) y se han adicionado tópicos nuevos.

Desde los fundamentos de base de pentesting de aplicaciones hasta prácticas nacientes como DevSecOps, el entrenamiento cubre aspectos diversos de aplicaciones web, APIs y móviles.

¿A quién está dirigido?
Personas con perfil técnico que pueden ser administradores de infraestructura de redes y servidores, desarrolladores de aplicaciones, pentesters de nivel junior o seniors que desean incursionar en pentest de aplicaciones.

Temario:

Introducción a las Aplicaciones Web desde la perspectiva de Seguridad Ofensiva

• Fundamentos de Seguridad en Aplicaciones

• Arquitecturas utilizadas en Aplicaciones (tradicional y como servicio en la nube).

• Uso de buscadores para encontrar aplicaciones vulnerables en producción.    

Metodologías para Pruebas de Seguridad de Aplicaciones

• OWASP Testing Guide

• OWASP Top 10 Riesgos en Aplicaciones Web

• OWASP Mobile Security Testing Guide

• OWASP Top 10 Riesgos en Aplicaciones Móviles

• OWASP Top 10 Riesgos en APIs

• Tipos de Pruebas DAST, SAST, IAST

Análisis y Explotación de Vulnerabilidades Web

• Uso de herramientas tipo Proxy para análisis y explotación de vulnerabilidades en aplicaciones web.

• Inyecciones de SQL (visibles y ciegas).

• Capture the Flag (CtF) : Inyecciones SQL.

• Secuencia de comandos en sitios cruzados (XSS).

• CtF : Búsqueda de información sensible (post-penetración).

• Carga de Archivos Arbitraria y Webshells.

• Fallas en Autenticación y Gestión de Sesiones (IDOR).

• CtF : Ataques IDOR (**UPDATED**)

• Ataques automatizados en base a proxies.

• Ataques de diccionario a procesos de autenticación básica.

• Ataques a Reglas de Negocios (escalamiento horizontal y vertical).

• CtF : Ataques a Roles y falta de validación en opciones de upload.

Explotación Automatizada de vulnerabilidades web.

• Herramientas de análisis automatizadas.

• Herramientas de explotación automatizadas.

• Ejercicio de uso y aplicación de herramientas.

Fundamentos

Revisión Automatizada de Código

* Web Scrapping

  Ejercicios.

# Evaluación de Web Services vía SOAP/REST/GRAPHQL

(**UPDATED**)

* Arquitectura de Web Services y Micro Servicios.

* Análisis y Explotación de Vulnerabilidades vía SOAP/REST/GRAPHQL

Ejercicio : pruebas en aplicaciones basadas en APIs Restful.

   Ejercicio : pruebas en aplicaciones basadas en GRAPHQL. (**NEW**)

   Ejercicio : Explotación de vulnerabilidades en aplicaciones móviles (mediante un API Restful)

CtF : Bypass de Login, Inyección de SQL y Defacement.

 # Pruebas en Aplicaciones Móviles (DAST)

Requerimientos técnicos:

Un computador con una máquina virtual de 4GB de RAM, HD de 30GB y conexión a Internet.

Español	3 días (horario: por confirmar)
Del 30 de octubre al 1° de noviembre 2022	ONSITE  BUENOS AIRES

Costo:

Trainer:  Jorge Jara

Desarrollador de software y pentester enfocado en aplicaciones y pruebas de seguridad bajo la práctica de DevSecOps. En el ámbito de entrenamiento, es trainer para cursos de seguridad ofensiva a nivel de infraestructura y aplicaciones. Forma parte del team de Open-Sec desde el 2019 y cuenta con las certificaciones 

Trainer:  William Marchand

Miembro del equipo Open-Sec desde 2015, lleva varios años haciendo pentesting y es el "master chef" de evasión EDR y despliegue C2 en el equipo Open-Sec. Su vida diaria está compuesta de la ejecución de pentests a nivel de infraestructura y aplicaciones y la formación en seguridad ofensiva en diferentes aspectos. Ha participado como ponente en conferencias como PeruHack, BSides Latam y Ekoparty.

Tiene las certificaciones eJPT y C)PTE y se desempeña como Team Lead.

Trainer:  Hernán Parodi

Pentester y red teamer del equipo de Open-Sec con experiencia en pruebas sobre infraestructura, tecnología no convencional y aplicaciones. Focalizado en la seguridad ofensiva, ha completado numerosas evaluaciones identificando vectores de ataque que los adversarios utilizan para comprometer infraestructuras críticas. También, realiza pruebas de penetración para aplicaciones en sectores comunes como el de medios de pago y otros como los de salud. Cuenta con las certificaciones C)PTE y eWPT.

Forma parte del team de Open-Sec desde el 2010 y actualmente es el Manager de todas las operaciones del grupo.