Мини-курсСредний8 мин3 модуля · 15 карт · 15 шагов

XSS Mastery

Name: XSS Mastery
Price: 4990 RUB
Availability: InStock

Купить за 4 990 ₽В корзину$54⚡ Тестовый режим: реальной оплаты не произойдёт

О курсе

Стань мастером Cross-Site Scripting — от Reflected до DOM-based, от кражи cookies до обхода CSP и WAF. Реальные кейсы XSS-червей и продвинутых эксплойтов, которые приносят тысячи долларов на bug bounty!

Чему ты научишься

находить и эксплуатировать Reflected, Stored и DOM-based XSS
проводить session hijacking и кражу cookies через XSS
обходить CSP, WAF и клиентские фильтры
создавать продвинутые XSS-пейлоады с кодированием и мутациями
понимать и эксплуатировать Mutation XSS (mXSS)
внедрять защиту от XSS: sanitization, CSP, HttpOnly

Что нужно знать

базовые знания HTML, CSS и JavaScript

Программа

Основы XSS

5 карт · 5 шагов · тест 14 вопросов

Три вида XSS, пять контекстов внедрения — после этого модуля ты будешь видеть XSS там, где другие даже не подозревают

1.
Что такое XSS и почему это опасноПонимание Cross-Site Scripting как класса уязвимостей, механизм работы и реальные последствия атак1 шагов
2.
Reflected XSS — атака через URLПолный разбор Reflected XSS: от обнаружения до эксплуатации через параметры URL1 шагов
3.
Stored XSS — постоянная инъекцияХранимый XSS: как вредоносный код сохраняется на сервере и атакует каждого посетителя страницы1 шагов
4.
DOM-based XSS — атака на стороне клиентаDOM XSS: когда уязвимость живёт в JavaScript-коде страницы, а сервер не при чём1 шагов
5.
Контексты внедрения: HTML, атрибуты, JavaScript, URLКак контекст отражения определяет выбор payload и стратегию обхода фильтров1 шагов

Продвинутые техники

5 карт · 5 шагов · тест 15 вопросов

Превращаем XSS в настоящее оружие — от перехвата сессий и кейлоггинга до самораспространяющихся XSS-червей

1.
Обход фильтров и WAFТехники обхода серверных фильтров, WAF и клиентских валидаций для XSS-инъекций1 шагов
2.
Кража cookies и сессийЭксплуатация XSS для перехвата session cookies, токенов авторизации и полного захвата аккаунта1 шагов
3.
Keylogger и формграббер через XSSСоздание JavaScript-кейлоггера и перехватчика форм для сбора паролей и данных через XSS1 шагов
4.
XSS в современных фреймворках (React, Angular, Vue)Как React, Angular и Vue защищают от XSS, и где разработчики всё равно допускают уязвимости1 шагов
5.

Эксплуатация и защита

5 карт · 5 шагов · тест 14 вопросов

WAF блокирует? CSP мешает? Научись обходить любые защитные механизмы и понимать, как правильно от них защищаться

1.
XSS и CSRF: комбинированные атакиXSS превращает CSRF-защиту в иллюзию — через чтение токенов, выполнение действий от имени жертвы и построение полных цепочек атак1 шагов
2.
Эскалация XSS: от alert до полного контроляПревращение простого XSS в критическую уязвимость: чтение данных, захват аккаунтов, RCE через XSS1 шагов
3.
Автоматизация: XSStrike, Dalfox, Burp ScannerИнструменты для автоматического обнаружения XSS: настройка, использование и интерпретация результатов1 шагов
4.
Защита: CSP, HttpOnly, санитизация, encodingПолный арсенал защиты от XSS: Content Security Policy, флаги cookies, правильное экранирование и санитизация1 шагов