Kostenloses Training zu sicherem Kodieren & Anwendungssicherheit — Open-Source-SCORM-Übungen

40 kostenlose Open-Source-Übungen zu sicherem Kodieren, die Webanwendungssicherheit so vermitteln, wie Entwickler lernen — durch das Ausnutzen realer Schwachstellen wie SQL-Injection, Cross-Site-Scripting (XSS) und fehlerhafter Zugriffskontrolle und das anschließende Schreiben des Fixes. Interaktive SCORM-Module, die die OWASP Top 10 für Web, API, Git-Repository-Sicherheit und vieles mehr abdecken. Beispiele für die Behebung in JavaScript, TypeScript, Java, C#, Python, Scala, PHP, Ruby, Go und Kotlin.

Praktische Übung zu sicherem Kodieren

👥 Mit den Gründern sprechen | 🔗 Die gesamte Bibliothek durchsuchen | 🎮 Live-Demo zu DOM-XSS ausprobieren

Warum praxisnahes Training zu sicherem Kodieren besser funktioniert als Folien

Einmal im Jahr die OWASP Top 10 zu lesen und einen Multiple-Choice-Test zu bestehen, verhindert keine Webanwendungsschwachstellen in der Produktion. Entwickler müssen sehen, was ein echter Exploit bewirkt — SQL-Injection, die eine Datenbank ausliest, Cross-Site-Scripting, das eine Sitzung kapert, fehlerhafte Zugriffskontrolle, die die Daten eines anderen Benutzers offenlegt — und dann den sicheren Code schreiben, der das verhindert.

Jede Übung in dieser Bibliothek folgt einer Drei-Phasen-Methodik: ausnutzen, nachvollziehen, beheben.

Sie führen einen praktischen Penetrationstest gegen eine absichtlich verwundbare Anwendung durch — SQL-Injection gegen eine Datenbank, XSS, das im Browser ausgelöst wird, SSRF, das den Cloud-Metadaten-Endpunkt erreicht — verfolgen dann genau, wie die Schwachstelle eingeführt wurde, und wenden Best Practices für sicheres Kodieren an, um sie zu beheben.

Die Übungen decken ab:

OWASP Top 10 Schwachstellen in Webanwendungen — fehlerhafte Zugriffskontrolle, Injection (SQL-Injection, Command-Injection), Cross-Site-Scripting (DOM-XSS, reflektiertes XSS, gespeichertes XSS), CSRF, SSRF, Directory Traversal, Sicherheitsfehlkonfiguration, Session Fixation und mehr.
OWASP API Security Top 10 — fehlerhafte Autorisierung auf Objektebene (BOLA), fehlerhafte Autorisierung auf Funktionsebene, fehlerhafte Authentifizierung, Massenzuweisung, übermäßige Datenfreigabe, Sicherheitsfehlkonfiguration, unzureichende Protokollierung und Überwachung.
Git- & Supply-Chain-Sicherheit — geleakte Geheimnisse im Commit-Verlauf, exponierte .git-Verzeichnisse, CI/CD-Pipeline-Angriffe, bösartige Pull Requests, Umgehung des Branch-Schutzes, Leck von Zugriffstokens. Und mehr!

Jede Übung endet mit einem Quiz mit einer Bestehensgrenze von 100 %. Wenn Entwickler Produktionscode schreiben, haben sie bereits jede gängige Webanwendungsschwachstelle ausgenutzt und kennen die Best Practices für sicheres Kodieren, die sie verhindern.

SCORM-Pakete für sicheres Kodieren — bereit für Ihr LMS

Jede Übung wird als SCORM-1.2-.zip geliefert — importieren Sie sie in jedes LMS (Moodle, SAP SuccessFactors, Cornerstone, TalentLMS oder alles, was SCORM-konform ist), binden Sie sie in Ihre SDLC-Schulungspipeline ein oder testen Sie sie vor dem Rollout auf SCORM Cloud.

White-Label — keine Logos, keine Backlinks, keine Herstellerbindung. Verwenden Sie sie als Teil eines DevSecOps-Programms, einer Secure-SDLC-Initiative oder als eigenständiges Training für Anwendungssicherheit.

Lizenz

Lizenziert unter Creative Commons Attribution-NonCommercial 4.0 International. Sie dürfen den Inhalt unter Namensnennung für jeden nicht-kommerziellen Zweck verwenden, anpassen und weiterverbreiten — interne Schulungen, Workshops, Universitätskurse. Der Weiterverkauf des Inhalts als eigenständiges Produkt ist nicht gestattet.

Training zur Sicherheit von Unternehmensanwendungen

Für Engineering- & DevSecOps-Teams

Sie benötigen Schulungen zu sicherem Kodieren in großem Umfang, ohne ein eigenes LMS zu betreiben? Wir liefern eine Enterprise-Cloud-Plattform, die speziell für Schulungen zur Anwendungssicherheit in Engineering-Teams entwickelt wurde. Nehmen Sie Kontakt auf, um sie in Aktion zu sehen.

Rollenbasierte Zuweisung — Übungen automatisch nach Team, Technologie-Stack oder Risikostufe zuweisen; benutzerdefinierte Lernpfade erstellen, die auf Ihre SDLC-Meilensteine abgestimmt sind
Compliance-Dashboards — prüffertige Abschlussberichte für SOC 2, ISO 27001, PCI DSS, HIPAA und NIS2; Export als PDF, CSV oder Planung wiederkehrender Zustellungen
SSO & Provisioning — SAML 2.0, OAuth 2.0, OIDC mit Okta, Azure AD oder Google Workspace; SCIM-Autoprovisionierung, sodass sich Personaländerungen automatisch synchronisieren
SIEM- & Workflow-Anbindungen — Abschluss- und Risikoereignisse an Splunk, Sentinel oder QRadar senden; Slack- und Teams-Benachrichtigungen zu Schulungsmeilensteinen; vollständige API mit Webhooks für benutzerdefinierte Integrationen
Eigene Inhalte einbringen — interne Richtlinien für sicheres Kodieren, Architecture Decision Records oder Post-Mortem-Durchläufe neben der Übungsbibliothek hochladen

Für MSPs & Beratungen

Von Grund auf mandantenfähig — liefern Sie Schulungen zur Anwendungssicherheit für Ihr gesamtes Kundenportfolio aus einer einzigen Oberfläche:

Mandanten pro Kunde — isolierte Umgebungen mit Lizenzverwaltung pro Mandant, Kunden-Branding und konsolidierter Berichterstattung über das gesamte Portfolio
White-Label-Verteilung — Ihre Domain, Ihr Logo, die Identität Ihres Kunden; Bereitstellung über gehostete Mandanten oder SCORM-Exporte pro Kunde
Compliance-Nachweise — Abschlussnachweise pro Entwickler für CIS Controls, CMMC 2.0, SOC 2 und die Dokumentation, die Cyberversicherer bei der Verlängerung anfordern

Interessiert? Nehmen Sie Kontakt zu uns auf

Inhaltsverzeichnis

OWASP Top 10 für Webanwendungen

Clickjacking — Einen Klick auf einen Bestätigungsbutton einer Bank stehlen, indem ein transparentes Iframe überlagert, eine echte Bestätigung erfasst und CSP frame-ancestors ausgeliefert wird.
Command Injection — Einen zweiten Befehl an ein serverseitiges Tool anhängen, indem eine abgefangene Anfrage manipuliert wird, dabei zusehen, wie Servergeheimnisse leaken, und die Ausführung über Argumentlisten ausliefern.
Components with Known Vulnerabilities — Codeausführung durch eine veraltete Bibliothek erlangen, indem eine veröffentlichte CVE ausgenutzt wird, Befehle über einen präparierten Upload ausgeführt werden und die Version erhöht und in CI gescannt wird.
Cross-Site Request Forgery — Geld von einer Seite bewegen, der das Opfer nie vertraut hat, indem eine Cross-Site-Überweisung automatisch abgesendet wird, nachvollziehen, warum Cookies mitgesendet werden, und Sitzungstokens und SameSite ergänzt werden.
Directory Traversal — Systemdateien über einen Download-Link lesen, indem der vorgesehene Ordner verlassen wird, /etc/passwd vom Server geholt wird und nach der Kanonisierung verifiziert wird.
DOM XSS — XSS auslösen, das der Server nie sieht, indem ein Payload im URL-Hash versteckt wird, eine unsichere innerHTML-Senke nachverfolgt wird und auf textContent umgestellt wird.
Forced Browsing — Einen Export persönlicher Mitarbeiterdaten von einer nicht verlinkten Route abrufen, indem eine interne URL anonym erreicht wird, nachvollziehen, warum Obskurität keine Zugriffskontrolle ist, und die Authentifizierung serverseitig durchsetzen.
Horizontal Privilege Escalation — Eine Ziffer ändern und einen anderen Kunden auslesen, indem ein IDOR von beiden Seiten durchlaufen wird, sequenzielle Datensatz-IDs aufgezählt werden und die fehlende Besitzprüfung ergänzt wird.
Host Header Injection — Eine E-Mail zum Zurücksetzen des Passworts auf eine ähnlich aussehende Domain umleiten, indem der X-Forwarded-Host-Header gefälscht wird, das geklickte Reset-Token gestohlen wird und eine konfigurierte Basis-URL festgepinnt wird.

OWASP Top 10 für API-Sicherheit

Broken Function Level Authorization — Nur für Mitarbeiter gedachte Endpunkte von einem schreibgeschützten Konto aus aufrufen, indem Admin-Routen als Analyst erreicht werden, eine Liste abgerufen und eine Auszahlung in die Warteschlange gestellt wird, und eine Rollenprüfung auf Router-Ebene ergänzt wird.
Broken Object Level Authorization — Eine ID austauschen und einen anderen Fahrer auslesen, indem die Objekt-ID in einer Anfrage geändert wird, Datensätze durch Durchlaufen von IDs gesammelt werden und die Besitzprüfung pro Objekt durchgesetzt wird.
Broken User Authentication — Einen sechsstelligen Login-Code per Brute-Force knacken, indem ein unbegrenzter Verify-Endpunkt angegriffen wird, das Konto nur mit einer E-Mail übernommen wird und die Anforderungsrate pro Konto mit 429 begrenzt wird.
Excessive Data Exposure — Die Felder lesen, die die UI nie zeigt, indem die gerenderte Seite mit dem rohen JSON verglichen wird, Telefon, Geburtsdatum und Koordinaten gefunden werden und eine Allow-Liste für Felder serialisiert wird.
Improper Inventory Management — Datensätze über eine ausgemusterte API-Version lesen, indem v2 gegen ein veraltetes v1 getauscht wird, Kontrollen umgangen werden, die die neue Version durchsetzt, und alte Versionen mit 410 Gone ausgemustert werden.
Injection — Ein Suchfeld in eine vollständige Datenbankauslesung verwandeln, indem aus einer Katalogabfrage ausgebrochen wird, die Benutzertabelle per UNION ausgelesen wird und parametrisiert wird, sodass Eingaben Daten bleiben.
Insufficient Logging & Monitoring — Einen Kunden nachschlagen und keine Spur hinterlassen, indem auf einen Datensatz ohne Ticket zugegriffen wird, nachvollziehen, warum niemand es zuordnen kann, und Audit-Datensätze und Warnungen ergänzt werden.
Mass Assignment — Ein Treueguthaben mit zwei zusätzlichen Schlüsseln erzeugen, indem Felder zu einem PATCH-Body hinzugefügt werden, Attribute geschrieben werden, die man nicht besitzen sollte, und nur bearbeitbare Felder gebunden werden.

Git- & Repository-Sicherheit

Secrets in Git History — Einen aktiven API-Schlüssel aus dem Commit wiederherstellen, der ihn entfernt hat, indem die Historie einer bereinigten Konfigurationsdatei durchlaufen wird, ein Schlüssel wiederverwendet wird, der nie rotiert wurde, und zuerst rotiert und dann mit git filter-repo gesäubert wird.
Exposed .git Directory — Eine vollständige Codebasis aus einer einzigen öffentlichen URL rekonstruieren, indem ein durchsuchbares .git im Web-Root gefunden wird, das Repository ausgelesen und der Quellcode wiederhergestellt wird, und Build-Artefakte statt des Repos bereitgestellt werden.
Committed Secret Files — Ein öffentliches Repo klonen und seine eingecheckte .env lesen, indem seit dem ersten Commit verfolgte Geheimnisdateien entdeckt werden, sie mit git rm --cached aus der Verfolgung genommen und rotiert werden und eine .gitignore sowie ein Pre-Commit-Hook hinzugefügt wird.
Commit Author Spoofing — Eine Hintertür unter dem Namen eines Maintainers platzieren, indem eine Autor-Identität aus git log geerntet wird, das Abzeichen „Unverified“ gelesen wird und signierte Commits für alle Mitwirkenden einschließlich Administratoren verlangt werden.
Branch Protection Bypass — Per Force-Push über main hinweggehen und Review und CI überspringen, indem die Historie auf einem ungeschützten Branch umgeschrieben wird, nicht geprüfter Code direkt in Produktion geht, und Pull-Requests, Reviewer und Checks verlangt werden.
Leaked Access Tokens — Private Repos mit einem Token aus einem öffentlichen Gist klonen, indem geprüft wird, was ein übermäßig berechtigtes Token erreichen kann, das Token widerrufen und rotiert wird, statt nur das Gist zu löschen, und feingranulare, kurzlebige Tokens neu ausgestellt werden.
Malicious Pull Requests — Eine in einem freundlichen Test-Fix versteckte Hintertür erkennen, indem der vollständige Diff statt der Beschreibung gelesen wird, Änderungen außerhalb des Rahmens an Deploy-Skripten markiert werden und das Review mit CODEOWNERS und Fork-Limits gehärtet wird.
— Einen Deploy-Key direkt aus einem öffentlichen Build-Log holen, indem der Workflow-Schritt gefunden wird, der ein Geheimnis ausgibt, verhindert wird, dass nicht vertrauenswürdige Eingaben als Shell-Befehle ausgeführt werden, und Aktionen per Commit-SHA gepinnt und der Schlüssel rotiert wird.

Beliebteste

training-application-security