Для кого
- Начинающие и опытные пентестеры, которым нужен метод уровня реальных проектов, а не список пейлоадов.
- Участники bug bounty, которые хотят понимать, почему уязвимость существует, и описывать её реальные последствия.
- Разработчики и инженеры по безопасности приложений, которые тестируют приложения своей компании.
Что вы сможете делать
- Определять рамки тестирования веб-приложения или API с письменным разрешением, правилами проведения и планом.
- Строить карту поверхности атаки и по работающему приложению, и по его исходному коду.
- Находить и подтверждать ошибки аутентификации, контроля доступа и мультитенантности воспроизводимым методом.
- Эксплуатировать серверные и клиентские уязвимости в лаборатории и выбирать безопасные доказательства для рабочих систем.
- Тестировать бизнес-логику и состояния гонки, которые сканеры не умеют моделировать.
- Писать отчёт с последствиями, доказательствами и рекомендациями и проверять исправление на исправленной сборке.
Что нужно до начала
- Вы понимаете HTTP, cookie, заголовки и устройство веб-приложений и API.
- Вы работали с Burp Suite или Caido и решали лабораторные по веб-безопасности, например в PortSwigger Web Security Academy.
- Вы читаете код, работаете с Linux и Docker и готовы заниматься на английском. Начинаем с короткой оценки уровня.
Программа
Восемь модулей в порядке реального проекта, адаптированные под ваш уровень.
Основы проектаДоговоритесь, что и как можно тестировать, до первого запроса.
- Письменное разрешение и правила проведения
- Рамки: приложения, API, окружения, учётные записи и роли
- План тестирования по OWASP WSTG и ASVS
- Безопасная работа с доказательствами и персональными данными
Разведка и карта поверхности атакиНайдите все входы — снаружи и в коде.
- Обход приложения в сравнении с маршрутами в исходном коде
- Спецификации OpenAPI, схемы GraphQL и JavaScript-бандлы
- Матрица «роли × эндпоинты»
- Что тестировать в первую очередь
Тестирование аутентификации и сессийПроверьте, как приложение решает, кто вы.
- Вход, MFA, сброс пароля и управление сессиями
- Уязвимости JWT, OAuth и OpenID Connect
- Цепочки захвата учётных записей
- Подтверждение причины в коде
Контроль доступа и мультитенантностьДокажите, может ли один пользователь добраться до данных или функций другого.
- Метод двух учётных записей для BOLA, IDOR и BFLA
- Повышение привилегий и выход за пределы арендатора
- Полуавтоматические проверки авторизации
- Поиск пропущенной проверки в исходном коде
Серверные инъекции и подделка запросовЭксплуатируйте сервер и понимайте, как далеко можно идти на рабочей системе.
- SQL-, командные и шаблонные инъекции
- SSRF, обход путей, XXE и небезопасная десериализация
- Загрузка файлов и злоупотребление парсерами
- Безопасные доказательства на проде в сравнении с полной эксплуатацией в лаборатории
Уязвимости на стороне браузераПроверьте, что приложение позволяет атакующему в браузере жертвы.
- XSS в разных контекстах и что CSP останавливает, а что нет
- CSRF, CORS и clickjacking
- postMessage и клиентская маршрутизация
- Ответственная демонстрация последствий
Бизнес-логика, гонки и злоупотребление APIЛомайте правила продукта, а не только его парсер.
- Злоупотребление сценариями и состоянием
- Состояния гонки в лимитах, балансах и купонах
- Массовое присваивание, ограничения частоты и вебхуки
- OWASP API Security Top 10 на практике
Последствия, отчёт и повторная проверкаПревратите находки в решения и подтвердите исправления.
- Цепочки находок и реальные последствия
- Критичность по CVSS v4.0 с учётом бизнес-контекста
- Воспроизводимые доказательства и резюме для руководства
- Проверка исправлений на исправленной сборке
Практика
Лабораторные модулей
Лабораторные на приложениях, подготовленных мной для курса, с доступным исходным кодом — чтобы подтверждать каждую находку на уровне причины.
Упражнения с двумя учётными записями
Повторяемые упражнения по контролю доступа и изоляции арендаторов — областям, где реальные приложения ошибаются чаще всего.
Практика отчётов
Короткие упражнения, превращающие сырые находки в пункты отчёта, понятные и разработчику, и руководителю.
Итоговая проверка
Полный проект: от рамок до повторной проверки
Ограниченный по времени тест SaaS-приложения с несколькими ролями, созданного для курса, с доступом к коду. Вы пишете рамки и план, тестируете, готовите отчёт и затем проверяете исправленную сборку. Отчёт мы разбираем вместе.
Критерии оценки
- Рамки и план соответствуют правилам проведения
- Покрытие аутентификации, контроля доступа и бизнес-логики
- Подтверждённые воспроизводимые находки с обоснованной критичностью
- Безопасные и соразмерные доказательства
- Отчёт, по которому могут действовать и разработчик, и руководитель
- Точная повторная проверка исправлений
Чем отличается этот курс
Один ученик — один преподаватель
Вы тестируете вместе со мной, и каждое занятие начинается с того, что вы нашли после предыдущего.
Чёрный и белый ящик вместе
Вы тестируете работающее приложение и подтверждаете каждую находку в исходном коде — так реальная уязвимость отличается от совпадения.
Проект целиком
Рамки, отчёт и повторная проверка изучаются и оцениваются наравне с эксплуатацией, а свежие CVE, которые я разбирал, служат примерами.
Инструменты
Стандарты и источники
- OWASP Web Security Testing Guide (WSTG)
- OWASP API Security Top 10
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-115, Technical Guide to Information Security Testing
- FIRST CVSS v4.0
Разборы, которые можно прочитать уже сейчас
- CVE-2026-104935: Ivanti доверяет заголовку, не URL
- CVE-2026-85097: Bricksforge верит имени файла
- Аудит безопасности кода или пентест: что заказать?
Вопросы о курсе
Это курс этичного хакинга для начинающих?
Нет. Курс предполагает знание основ веб-безопасности. Если вы начинаете с нуля, правильный первый шаг — бесплатные ресурсы вроде PortSwigger Web Security Academy, а первичная оценка покажет, готовы ли вы к этому курсу.
Сколько длится обучение?
Зависит от вашего начального уровня и времени между занятиями. План мы согласуем после первичной оценки и корректируем по мере продвижения.
Нужен ли Burp Suite Professional?
Нет. Лабораторные работают с Burp Suite Community или Caido. Там, где функция Professional экономит время, я покажу бесплатную альтернативу.
Рассматриваются ли сети или Active Directory?
Нет. Курс посвящён веб-приложениям и API — направлению, в котором я тестирую сам.
Когда можно начать?
Напишите коротко о своём уровне и целях. Я отвечу в течение трёх дней, мы договоримся о бесплатной 20-минутной встрече для оценки уровня, а после неё согласуем план и дату начала.
Сколько стоит обучение?
Один курс стоит 79 000 ₽: около 10 индивидуальных занятий по 90 минут, лабораторные, проверка заданий, итоговая оценка и сертификат. Оба курса вместе — 142 000 ₽, отдельное 90-минутное занятие — 7 500 ₽.
Как проходит индивидуальное обучение?
Мы встречаемся онлайн на живых занятиях. Между ними вы выполняете лабораторные и задания, подобранные под ваш уровень, а на следующем занятии мы разбираем результаты. Темп определяется вашим прогрессом, а не фиксированным расписанием.
На каком языке проходят занятия?
На английском языке для иностранных учеников. Носители арабского могут выбрать арабский или английский. Английские термины из инструментов, отчётов и вакансий сохраняются.
Есть ли очные занятия?
Нет. Все занятия, лабораторные, задания и обратная связь проходят онлайн.
Будет ли сертификат?
После успешной итоговой проверки вы получаете сертификат о прохождении. Его выдаю я, и это не отраслевая сертификация вроде OSWE. Работодатель может проверить саму работу — ваш итоговый отчёт.
Законны ли практические задания?
Да. Вся практика ведётся на приложениях, которые я подготовил для курса, и на open-source проектах в версиях с опубликованными уязвимостями — всё работает на вашем компьютере. Вы не тестируете системы, которые вам не принадлежат или на тестирование которых у вас нет письменного разрешения.
Что если мне понадобится больше времени?
Если понадобится больше занятий, чем запланировано, каждое дополнительное стоит 7 500 ₽, и мы согласуем его заранее.
Дальше
Углубите работу с кодом на курсе аудита безопасности кода.