Für wen
- Pentester und Bug-Bounty-Jäger, die vom Black-Box-Test zum Quellcode wechseln wollen.
- Application Security Engineers, die eine wiederholbare Review-Methode brauchen und Scanner-Ergebnisse bewerten müssen.
- Erfahrene Entwickler und Tech Leads, die Pull Requests prüfen und Sicherheitsfehler vor dem Merge finden wollen.
Was Sie danach können
- Ein fremdes Repository kartieren: Einstiegspunkte, Vertrauensgrenzen und der Code, der Ihre Zeit verdient.
- Nicht vertrauenswürdige Eingaben von der Quelle bis zur gefährlichen Operation verfolgen und echte Befunde von Fehlalarmen der Scanner unterscheiden.
- Fehler in Authentifizierung, Autorisierung, Mandantentrennung und Geschäftslogik finden, die Werkzeuge übersehen.
- Die Ausnutzbarkeit in einem lokalen Labor belegen und die Schwere so begründen, dass Produktverantwortliche sie nachvollziehen.
- Varianten einer bekannten Schwachstelle mit Patch-Vergleichen und eigenen Semgrep- oder CodeQL-Abfragen finden.
- Befunde mit Ursache, Nachweis und Korrektur beschreiben und prüfen, ob eine vorgeschlagene Korrektur hält.
Voraussetzungen
- Sie lesen sicher Code in mindestens einer dieser Sprachen: JavaScript/TypeScript, PHP, Java oder Python.
- Sie kennen HTTP und die üblichen Klassen von Web-Schwachstellen auf dem Niveau der OWASP Top 10.
- Sie arbeiten mit git, Docker und der Kommandozeile und können auf Englisch lernen. Wir beginnen mit einer kurzen Einstufung, damit der Plan zu Ihnen passt.
Lehrplan
Acht Module. Ihr Plan folgt ihnen in der Reihenfolge und Tiefe, die zu Ihrem Stand passen: zügig durch Bekanntes, länger dort, wo Sie es brauchen.
Eine fremde Codebasis aus Sicherheitssicht lesenMachen Sie aus einem unbekannten Repository eine Karte dessen, was ein Angreifer erreichen kann.
- Einstiegspunkte: Routen, Controller, Jobs, Webhooks und Message-Consumer
- Framework-Konventionen, die Routing und Middleware verbergen
- Ein Bedrohungsmodell auf einer Seite: Werte, Akteure und Vertrauensgrenzen
- Ein zeitlich begrenztes Review dort einsetzen, wo das Risiko liegt
Quellen, gefährliche Operationen und DatenflussVerfolgen Sie nicht vertrauenswürdige Eingaben bis zu der Stelle, an der sie Schaden anrichten.
- Manuelle Verfolgung von der Quelle zur gefährlichen Operation, auch über Umwege
- Validierung, Bereinigung und Kodierung: wann was tatsächlich schützt
- SQL, Befehle, Templates, Dateipfade, SSRF und Deserialisierung
- SAST-Ergebnisse bewerten: bestätigen, verwerfen oder weiter untersuchen
Authentifizierung und SitzungenPrüfen Sie den Code, der entscheidet, wer der Nutzer ist.
- Anmeldung, Registrierung, Passwort-Reset und MFA
- Lebenszyklus von Tokens und Sitzungen: ausstellen, prüfen, ablaufen, widerrufen
- Fehler bei der JWT-Prüfung am Beispiel der fast-jwt-Patch-Kette
- Redirect-, State- und Audience-Prüfungen in OAuth und OpenID Connect
Autorisierung und MandantentrennungFinden Sie die fehlende Prüfung, durch die ein Kunde die Daten eines anderen erreicht.
- Prüfungen auf Objekt- und Funktionsebene (BOLA, BFLA, IDOR) in Handlern, Middleware und ORM-Abfragen
- Mass Assignment
- Mandantenbezug in Abfragen, Caches und Hintergrundjobs
- GraphQL-Resolver und administrative Endpunkte
Geschäftslogik, Zustand und NebenläufigkeitFinden Sie Code, der die Regeln bricht, auf denen das Produkt beruht.
- Invarianten: was immer gelten muss und welcher Code es verletzt
- Race Conditions bei Zahlungen, Gutscheinen und Kontingenten
- Vertrauen in Preise, Rollen und Kennungen vom Client
- Arithmetik: Überlauf, Abschneiden und Shift-Breite (CVE-2025-37858)
Parser, Plattformen und LieferkettePrüfen Sie die Annahmen, die der Code über seine Umgebung trifft.
- Pfad-Normalisierung und Parser-Unterschiede (CVE-2026-21589, CVE-2026-104935)
- Prüfungen, die nach einer fehlgeschlagenen Suche verschwinden (CVE-2024-26855)
- Grenzen des serverseitigen Renderings nach React2Shell
- Abhängigkeiten, Build-Skripte und Lockfiles nach der Kompromittierung von Axios in npm
Ausnutzbarkeit und Auswirkung belegenVon der verdächtigen Zeile zum bestätigten, priorisierten Befund.
- Vorbedingungen, Erreichbarkeit und Kontrolle durch den Angreifer
- Ein minimaler Nachweis im lokalen Labor
- Schwere nach CVSS mit geschäftlichem Kontext
- Patch-Vergleich und Variantenanalyse mit Semgrep und CodeQL
Korrekturen, Berichte und KI-generierter CodeDie Schwachstelle beheben lassen und dafür sorgen, dass es dabei bleibt.
- Befunde, die Entwickler übernehmen: Stelle, Ursache, Nachweis, Korrektur
- Eine vorgeschlagene Korrektur und ihren Regressionstest prüfen
- Sichere Standardwerte, die eine ganze Fehlerklasse beseitigen
- KI-generierten Code prüfen und die Aussagen eines KI-Reviewers kontrollieren
Praxis
Verfolgungs-Labore
Geführte Reviews von Anwendungen, die ich für den Kurs vorbereitet habe: Sie verfolgen Eingaben durch echten Framework-Code bis zur verwundbaren Zeile.
Variantensuche
Sie starten mit einem veröffentlichten Patch in einem Open-Source-Projekt und suchen denselben Fehler an anderen Stellen dieser Codebasis in der verwundbaren Version.
Korrekturen prüfen
Sie entscheiden, ob eine vorgeschlagene Korrektur die Ursache beseitigt oder nur das gemeldete Symptom, und schreiben den Test, der es belegt.
Abschlussprüfung
Review einer mandantenfähigen Webanwendung
Ein zeitlich begrenztes Review einer für den Kurs gebauten Anwendung mit Quellcode und laufender Kopie. Sie schreiben einen professionellen Befundbericht, den wir in einer letzten Sitzung gemeinsam besprechen.
Bewertungskriterien
- Übersicht über Einstiegspunkte und Vertrauensgrenzen
- Bestätigte Befunde mit Nachweis und Reproduktionsschritten
- Richtige Ursache für jeden Befund
- Nachvollziehbare Begründung der Schwere
- Korrekturen, die die Ursache beheben, mit Test
- Wenige Fehlalarme, offene Fragen klar getrennt
Was diesen Kurs unterscheidet
Eine Person, ein Trainer
Jede Sitzung findet mit mir statt, und der Plan folgt Ihrem Fortschritt statt einem festen Kursplan.
Echte Fälle statt Lehrbuchschnipsel
Sie prüfen Code aus veröffentlichten Schwachstellen, darunter solche, die ich selbst analysiert oder behoben habe, und Anwendungen, die für den Kurs vorbereitet sind.
Erst die Methode, dann die Werkzeuge
Scanner werden dort behandelt, wo sie stark sind. Sie lernen, ihre Ergebnisse zu bewerten und zu finden, was sie nicht modellieren können.
Werkzeuge
Standards und Quellen
- OWASP Code Review Guide
- OWASP Application Security Verification Standard (ASVS)
- OWASP Cheat Sheet Series
- CWE Top 25 Most Dangerous Software Weaknesses
- NIST SP 800-218, Secure Software Development Framework
Fallstudien zum Lesen
- fast-jwt-Algorithmenverwechslung: beim dritten Mal behoben
- CVE-2026-21589: Atlassians Datei-Lesefehler hinter „::“
- CVE-2024-26855: Eine fehlende Zeigerprüfung im Linux-ice-Treiber
- Nach React2Shell: drei Sicherheitsgrenzen für die Prüfung von Serverkomponenten
Fragen zu diesem Kurs
Welche Programmiersprachen brauche ich?
Die Labore nutzen TypeScript/Node.js, PHP und Java, für die Fälle mit nativem Code C. Es genügt, eine davon sicher zu lesen; die Methode lässt sich auf andere Sprachen übertragen, und genau das üben wir.
Wie lange dauert es?
Das hängt von Ihrem Ausgangsniveau und Ihrer Zeit zwischen den Sitzungen ab. Den Plan vereinbaren wir nach der ersten Einstufung und passen ihn mit Ihrem Fortschritt an.
Ist das eine Vorbereitung auf OSWE?
Nein. OSWE zertifiziert White-Box-Ausnutzung über eine Prüfung. Dieser Kurs vermittelt eine Review-Methode, Ursachenanalyse und gute Korrekturen unter persönlicher Betreuung. Viele Fähigkeiten überschneiden sich, und der Kurs bereitet gut auf jede White-Box-Arbeit vor.
Brauche ich einen kommerziellen Scanner?
Nein. Alles im Kurs läuft mit kostenlosen Open-Source-Werkzeugen.
Wann kann ich anfangen?
Schreiben Sie kurz zu Ihrem Stand und Ihren Zielen. Ich antworte innerhalb von drei Tagen, um ein kostenloses 20-minütiges Einstufungsgespräch zu vereinbaren; danach legen wir Ihren Plan und den Starttermin fest.
Was kostet es?
Ein Kurs kostet $1,490 für rund 10 Einzelsitzungen à 90 Minuten, mit Laboren, Prüfung der Übungen, Abschlussprüfung und Teilnahmebescheinigung. Beide Kurse zusammen kosten $2,690, eine einzelne 90-minütige Sitzung $150.
Wie läuft das Einzeltraining ab?
Wir treffen uns online zu Live-Sitzungen. Zwischen den Sitzungen bearbeiten Sie Labore und Übungen, die ich für Ihren Stand auswähle, und in der nächsten Sitzung besprechen wir Ihre Ergebnisse. Das Tempo richtet sich nach Ihrem Fortschritt, nicht nach einem festen Zeitplan.
In welcher Sprache finden die Sitzungen statt?
Auf Englisch für internationale Teilnehmende. Arabische Muttersprachler können Arabisch oder Englisch wählen. Englische Fachbegriffe aus Werkzeugen, Berichten und Stellenanzeigen bleiben erhalten.
Gibt es Präsenztermine?
Nein. Alle Sitzungen, Labore, Übungen und Rückmeldungen finden online statt.
Erhalte ich ein Zertifikat?
Nach bestandener Abschlussprüfung erhalten Sie eine Teilnahmebescheinigung. Sie wird von mir ausgestellt und ist keine Branchenzertifizierung wie OSWE. Was ein Arbeitgeber prüfen kann, ist die Arbeit selbst: Ihr Abschlussbericht.
Sind die praktischen Übungen legal?
Ja. Alle Übungen nutzen Anwendungen, die ich für den Kurs vorbereitet habe, und Open-Source-Projekte in Versionen mit veröffentlichten Sicherheitshinweisen, alles auf Ihrem eigenen Rechner. Sie testen nie ein System, das Ihnen nicht gehört oder für das Sie keine schriftliche Erlaubnis haben.
Was, wenn ich mehr Zeit brauche?
Brauchen Sie mehr Sitzungen als geplant, kostet jede zusätzliche Sitzung $150; wir vereinbaren sie vorher.
Wie es weitergeht
Weiter mit dem codegestützten Pentest-Kurs für Webanwendungen und APIs.