Corso completoQuesto corso fornisce gli strumenti e la metodologia per condurre un security assessment di un'applicazione web con un approccio "black box", simulando le attività svolte da un potenziale attaccante. Include esercitazioni pratiche condotte su app volutamente vulnerabili.
Il corso insegna a pianificare, condurre e documentare un penetration test professionale di applicazioni web. Segue la OWASP Web Security Testing Guide (WSTG) e la OWASP Top 10, testando le applicazioni soprattutto in modalità black box e passando al gray box quando sono disponibili codice sorgente o credenziali. La maggior parte del corso si svolge in laboratorio. Con Burp Suite come proxy principale, i partecipanti mappano la superficie di attacco, manipolano il traffico e vanno a caccia dei punti dove di solito si annidano le falle: autenticazione, autorizzazione, gestione delle sessioni, validazione dell'input, logica applicativa e sicurezza client-side. Ogni argomento viene prima spiegato e poi sfruttato su un'applicazione volutamente vulnerabile, così i partecipanti mettono in pratica ciascuna tecnica invece di limitarsi a leggerla. Al termine sanno condurre un assessment in autonomia e riportare i risultati in modo che il cliente possa agire, coprendo impatto, rischio e remediation. È rivolto ad auditor, specialisti di sicurezza e sviluppatori che vogliono competenze offensive concrete sul web. Questo è un corso base; per un assessment professionale dei tuoi sistemi, scopri il nostro servizio di Security Assessment, erogato dal nostro team di esperti.
Conoscenza di base dell'architettura delle applicazioni web e del funzionamento del protocollo HTTP/HTTPS.
Familiarità con le principali tecnologie web (HTML, JavaScript, SQL) a livello di lettura.
Dimestichezza con gli strumenti di sviluppo del browser e con un ambiente a riga di comando.
Interesse per le tematiche di hacking e cybersecurity; non è richiesta alcuna esperienza pregressa di penetration testing.
Introduzione all'application security: concetti fondamentali, panorama attuale delle minacce e i principi alla base della OWASP Top 10 e della OWASP Web Security Testing Guide (WSTG).
Metodologia di testing delle applicazioni web: assessment black box e gray box, scoping, regole di ingaggio e come strutturare un workflow di testing ripetibile.
Strumenti e risorse: configurare e utilizzare Burp Suite (Proxy, Target, Repeater, Intruder, Decoder) insieme agli strumenti di supporto impiegati durante un assessment.
Information Gathering & Configuration Management: fingerprinting delle tecnologie, enumerazione di contenuti e punti di ingresso e revisione della configurazione di server, TLS e header HTTP.
Testing dei meccanismi di autenticazione: protezioni anti brute-force, gestione delle credenziali, flussi di reset password e bypass dell'autenticazione multifattore.
Testing dei meccanismi di autorizzazione: privilege escalation orizzontale e verticale, Insecure Direct Object References (IDOR) e bypass dei controlli di accesso.
Individuazione e sfruttamento delle vulnerabilità di logica applicativa: abuso di workflow multi-step, race condition e logica di business errata.
Testing della gestione delle sessioni: session fixation, token prevedibili o esposti e Cross-Site Request Forgery (CSRF), e come testarli.
Testing della validazione dell'input: SQL injection, Cross-Site Scripting (reflected, stored e DOM-based), command injection e altre classi di injection, dal rilevamento allo sfruttamento.
Testing delle problematiche client-side: misconfigurazioni CORS, Clickjacking e altre debolezze legate alla fiducia del browser, e come testarle.
Vulnerabilità crittografiche: individuazione di algoritmi deboli, gestione inadeguata di chiavi e segreti e trasporto non sicuro, con le relative mitigazioni.
Denial of Service: comprendere le condizioni di denial of service a livello applicativo e come testarle in sicurezza.
Bug Bounty: come funzionano i programmi di bug bounty e di coordinated disclosure e come le tecniche apprese si applicano in contesti reali.
Corso completoTesting di sicurezza di app Android e iOS: analisi statica, dinamica e di rete su target mobile reali.
SCOPRI DI PIÙ Corso completoUn'introduzione all'offensive security: reconnaissance, sfruttamento e come ragiona un attaccante.
SCOPRI DI PIÙ Corso completoSecure coding per il web, indipendente dal linguaggio: le principali classi di vulnerabilità e come difendersi.
SCOPRI DI PIÙ Corso completoUsare gli assistenti di coding AI in sicurezza, con Copilot, Codex, Claude Code e strumenti SAST, per trovare e correggere le vulnerabilità mentre si scrive codice.
SCOPRI DI PIÙData di efficacia: 26 aprile 2018
BeDefended S.r.l. ("noi", "ci" o "nostro") gestisce il sito www.bedefended.com (il "Servizio").
Questa pagina ti informa sulle nostre politiche relative alla raccolta, all'uso e alla divulgazione dei dati personali quando utilizzi il nostro Servizio e sulle scelte che hai a disposizione in merito a tali dati.
La presente Privacy Policy è fornita ai sensi dell'articolo 13 del GDPR 2016/679 (Regolamento Generale sulla Protezione dei Dati).
Utilizziamo i tuoi dati per fornire e migliorare il Servizio. Utilizzando il Servizio, acconsenti alla raccolta e all'uso delle informazioni in conformità con la presente policy.
Per Dati personali si intendono i dati relativi a una persona fisica vivente identificabile a partire da tali dati (o da tali dati e da altre informazioni in nostro possesso o che potrebbero entrare in nostro possesso).
I Dati di utilizzo sono dati raccolti automaticamente, generati dall'uso del Servizio o dall'infrastruttura del Servizio stesso (ad esempio, la durata della visita di una pagina).
I cookie sono piccole quantità di dati memorizzate sul dispositivo di un Utente.
Per Titolare del trattamento si intende la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.
Ai fini della presente Privacy Policy, siamo noi il Titolare del trattamento dei tuoi dati.
Per Responsabile del trattamento (o Fornitore di servizi) si intende la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta i dati personali per conto del Titolare del trattamento.
Possiamo avvalerci dei servizi di diversi Fornitori di servizi al fine di trattare i tuoi dati in modo più efficace.
L'Interessato è qualsiasi persona fisica vivente che è oggetto dei Dati personali.
L'Utente è la persona che utilizza il nostro Servizio. L'Utente corrisponde all'Interessato, ovvero il soggetto dei Dati personali.
Potremmo raccogliere diversi tipi di informazioni per varie finalità, allo scopo di fornirti il nostro Servizio e di migliorarlo.
Durante l'utilizzo del nostro Servizio, potremmo chiederti di fornirci alcune informazioni di identificazione personale che possono essere usate per contattarti o identificarti ("Dati personali"). Le informazioni di identificazione personale possono includere, a titolo esemplificativo ma non esaustivo, indirizzo email, nome e cognome.
Utilizziamo cookie tecnici per migliorare l'esperienza di navigazione degli utenti e per raccogliere informazioni sull'uso del sito.
I cookie sono file contenenti una piccola quantità di dati che possono includere un identificativo univoco anonimo. I cookie vengono inviati al tuo browser da un sito web e memorizzati sul tuo dispositivo.
Questi cookie non raccolgono Dati personali in grado di identificarti. Tutte le informazioni raccolte da questi cookie sono aggregate in forma anonima e vengono utilizzate esclusivamente per migliorare la funzionalità del sito.
In ogni caso puoi impostare il tuo browser per rifiutare tutti i cookie o per indicare quando un cookie viene inviato.
Potremmo inoltre raccogliere informazioni sul modo in cui il Servizio viene consultato e utilizzato ("Dati di utilizzo"). Questi Dati di utilizzo possono includere informazioni quali il tipo di browser, la versione del browser, le pagine del nostro Servizio visitate, l'ora e la data di ogni visita, il tempo trascorso su tali pagine e altri dati diagnostici.
BeDefended S.r.l. utilizza i dati raccolti per varie finalità:
- Fornire e mantenere il nostro Servizio
- Comunicarti modifiche al nostro Servizio
- Consentirti di partecipare alle funzionalità interattive del nostro Servizio quando scegli di farlo
- Fornire assistenza ai clienti
- Raccogliere analisi o informazioni preziose che ci consentano di migliorare il nostro Servizio
- Monitorare l'utilizzo del nostro Servizio
- Rilevare, prevenire e affrontare problemi tecnici
BeDefended S.r.l. conserverà i tuoi Dati personali solo per il tempo necessario alle finalità indicate nella presente Privacy Policy. Conserveremo e utilizzeremo i tuoi Dati personali nella misura necessaria per adempiere ai nostri obblighi legali (ad esempio, se siamo tenuti a conservare i tuoi dati per rispettare le leggi applicabili), risolvere controversie e far rispettare i nostri accordi e le nostre policy.
BeDefended S.r.l. conserverà i Dati di utilizzo anche per finalità di analisi interna. I Dati di utilizzo sono generalmente conservati per un periodo di tempo più breve, salvo quando tali dati vengono utilizzati per rafforzare la sicurezza o migliorare la funzionalità del nostro Servizio, oppure quando siamo legalmente obbligati a conservarli per periodi più lunghi.
Le tue informazioni, inclusi i Dati personali, possono essere trattate e conservate su computer situati al di fuori del tuo stato, provincia, paese o altra giurisdizione governativa in cui le leggi sulla protezione dei dati possono differire da quelle della tua giurisdizione.
Se ti trovi al di fuori dell'Italia e scegli di fornirci informazioni, tieni presente che possiamo trasferire i dati, inclusi i Dati personali, in Italia o in altri paesi dell'UE e trattarli lì.
Il tuo consenso alla presente Privacy Policy, seguito dall'invio di tali informazioni, costituisce il tuo consenso a tale trasferimento.
BeDefended S.r.l. adotterà tutte le misure ragionevolmente necessarie per garantire che i tuoi dati siano trattati in modo sicuro e in conformità con la presente Privacy Policy e nessun trasferimento dei tuoi Dati personali avrà luogo verso un'organizzazione o un paese a meno che non siano presenti controlli adeguati, inclusa la sicurezza dei tuoi dati e delle altre informazioni personali.
BeDefended S.r.l. può divulgare i tuoi Dati personali nella convinzione in buona fede che tale azione sia necessaria per:
- Adempiere a un obbligo di legge
- Proteggere e difendere i diritti o la proprietà di BeDefended S.r.l.
- Prevenire o indagare su possibili illeciti connessi al Servizio
- Proteggere la sicurezza personale degli utenti del Servizio o del pubblico
- Tutelarsi da responsabilità legali
La sicurezza dei tuoi dati è importante per noi, ma ricorda che nessun metodo di trasmissione su Internet o metodo di archiviazione elettronica è sicuro al 100%. Sebbene ci impegniamo a utilizzare mezzi commercialmente accettabili per proteggere i tuoi Dati personali, non possiamo garantirne la sicurezza assoluta.
BeDefended S.r.l. si impegna ad adottare misure ragionevoli per consentirti di correggere, modificare, cancellare o limitare l'uso dei tuoi Dati personali.
Puoi contattarci per apportare modifiche ai tuoi Dati personali.
Se desideri essere informato su quali Dati personali deteniamo su di te e se vuoi che vengano rimossi dai nostri sistemi, ti preghiamo di contattarci.
In determinate circostanze, hai il diritto:
- Di accedere e ricevere una copia dei Dati personali che deteniamo su di te
- Di rettificare qualsiasi Dato personale inesatto che deteniamo su di te
- Di richiedere la cancellazione dei Dati personali che deteniamo su di te
Tieni presente che potremmo chiederti di verificare la tua identità prima di rispondere a tali richieste.
Possiamo avvalerci di società e persone terze per facilitare il nostro Servizio ("Fornitori di servizi"), per fornire il Servizio per nostro conto, per eseguire servizi correlati al Servizio o per aiutarci ad analizzare come viene utilizzato il nostro Servizio.
Queste terze parti hanno accesso ai tuoi Dati personali solo per eseguire tali compiti per nostro conto e sono obbligate a non divulgarli o utilizzarli per altre finalità.
Possiamo utilizzare Google Analytics come Fornitore di servizi terzo per monitorare e analizzare l'uso del nostro Servizio.
Google Analytics è un servizio di analisi web offerto da Google che tiene traccia e riporta il traffico del sito web. Google utilizza i dati raccolti per tracciare e monitorare l'uso del nostro Servizio. Puoi disattivare la condivisione della tua attività sul Servizio con Google Analytics installando il componente aggiuntivo del browser per la disattivazione di Google Analytics. Il componente aggiuntivo impedisce al JavaScript di Google Analytics (ga.js, analytics.js e dc.js) di condividere informazioni con Google Analytics sull'attività delle visite. Per maggiori informazioni sulle pratiche di privacy di Google, visita la pagina web Privacy & Termini di Google: Informativa sulla privacy di Google
Il nostro Servizio può contenere link ad altri siti non gestiti da noi. Se fai clic su un link di terze parti, verrai indirizzato al sito di tale terza parte. Ti consigliamo vivamente di esaminare la Privacy Policy di ogni sito che visiti.
Non abbiamo alcun controllo e non ci assumiamo alcuna responsabilità per i contenuti, le politiche sulla privacy o le pratiche di siti o servizi di terze parti.
Il nostro Servizio non si rivolge a persone di età inferiore ai 16 anni ("Minori").
Non raccogliamo consapevolmente informazioni di identificazione personale da persone di età inferiore ai 16 anni. Se sei un genitore o un tutore e sei a conoscenza del fatto che tuo figlio ci ha fornito Dati personali, ti preghiamo di contattarci. Se veniamo a conoscenza di aver raccolto Dati personali da minori senza la verifica del consenso dei genitori, adottiamo misure per rimuovere tali informazioni dai nostri server.
Potremmo aggiornare di tanto in tanto la nostra Privacy Policy. Pubblicheremo la nuova Privacy Policy su questa pagina.
Ti consigliamo di rivedere periodicamente la presente Privacy Policy per eventuali modifiche. Le modifiche alla presente Privacy Policy hanno effetto dal momento in cui vengono pubblicate su questa pagina.
Se hai domande sulla presente Privacy Policy, puoi contattarci via posta: Via Caprera 47, 10136 Torino (TO) - Italia