ransomleak/training-application-securityTreinamento interativo de codificação segura com exercícios práticos SCORM cobrindo as vulnerabilidades web e de API do OWASP Top 10, exposição de Git/secrets e exemplos de remediação em 10+ linguagens.
40 exercícios gratuitos de codificação segura em código aberto que ensinam segurança de aplicações web da forma como os desenvolvedores aprendem — explorando vulnerabilidades reais como injeção SQL, cross-site scripting (XSS) e controle de acesso quebrado, e depois escrevendo a correção. Módulos SCORM interativos que cobrem o OWASP Top 10 para Web, API, segurança de repositórios Git e muito mais. Exemplos de remediação em JavaScript, TypeScript, Java, C#, Python, Scala, PHP, Ruby, Go e Kotlin.
👥 Fale com os Fundadores | 🔗 Explore a Biblioteca Completa | 🎮 Experimente uma demonstração ao vivo de DOM XSS
Ler o OWASP Top 10 uma vez por ano e passar em um questionário de múltipla escolha não impede vulnerabilidades de aplicações web em produção. Os desenvolvedores precisam ver o que uma exploração real faz — injeção SQL despejando um banco de dados, cross-site scripting sequestrando uma sessão, controle de acesso quebrado expondo dados de outro usuário — e então escrever o código seguro que impede isso.
Cada exercício desta biblioteca segue uma metodologia de três fases: explorar, rastrear, remediar.
Você executa um teste de penetração prático contra uma aplicação intencionalmente vulnerável — injeção SQL contra um banco de dados, XSS que dispara em um navegador, SSRF que alcança o endpoint de metadados da nuvem — e então rastreia exatamente como a vulnerabilidade foi introduzida e aplica as melhores práticas de codificação segura para corrigi-la.
Os exercícios cobrem:
Cada exercício termina com um questionário com limite de aprovação de 100%. Quando um desenvolvedor está escrevendo código de produção, ele já explorou todas as vulnerabilidades comuns de aplicações web e conhece as melhores práticas de codificação segura que as previnem.
Cada exercício é distribuído como um .zip SCORM 1.2 — importe em qualquer LMS (Moodle, SAP SuccessFactors, Cornerstone, TalentLMS ou qualquer sistema compatível com SCORM), incorpore ao seu pipeline de treinamento de SDLC ou faça uma pré-visualização no SCORM Cloud antes do lançamento.
Com marca branca — sem logotipos, sem backlinks, sem dependência de fornecedor. Use-os como parte de um programa DevSecOps, de uma iniciativa de SDLC seguro ou como treinamento autônomo de segurança de aplicações.
Licenciado sob Creative Commons Attribution-NonCommercial 4.0 International. Você pode usar, adaptar e redistribuir com atribuição para qualquer finalidade não comercial — treinamento interno, workshops, cursos universitários. A revenda do conteúdo como produto autônomo não é permitida.
Precisa de treinamento de codificação segura em escala sem administrar seu próprio LMS? Oferecemos uma plataforma empresarial em nuvem projetada especificamente para treinamento de segurança de aplicações em equipes de engenharia. Entre em contato para vê-la em ação.
Multilocatário desde o início — ofereça treinamento de segurança de aplicações em todo o seu portfólio de clientes a partir de um único painel:
Interessado? Fale conosco
Clickjacking — Roube um clique em um botão de aprovação bancária sobrepondo um iframe transparente, capturando uma aprovação real e aplicando a diretiva CSP frame-ancestors.
Injeção de Comandos — Encadeie um segundo comando a uma ferramenta do lado do servidor adulterando uma requisição capturada, observando segredos do servidor vazarem e aplicando a execução por lista de argumentos.
Componentes com Vulnerabilidades Conhecidas — Obtenha execução de código por meio de uma biblioteca desatualizada explorando uma CVE publicada, executando comandos via um upload manipulado e atualizando a versão e fazendo a varredura no CI.
Cross-Site Request Forgery — Mova dinheiro de uma página em que a vítima nunca confiou publicando automaticamente uma transferência entre sites, entendendo por que os cookies acompanham a requisição e adicionando tokens por sessão e SameSite.
Travessia de Diretórios — Leia arquivos do sistema por meio de um link de download escapando da pasta pretendida, extraindo /etc/passwd do servidor e canonicalizando e depois verificando.
DOM XSS — Dispare XSS que o servidor nunca vê escondendo um payload no hash da URL, rastreando um sink inseguro de innerHTML e trocando para textContent.
Navegação Forçada — Extraia uma exportação de PII de funcionário de uma rota sem link acessando uma URL interna anonimamente, entendendo por que obscuridade não é controle de acesso e aplicando autenticação no servidor.
Escalonamento Horizontal de Privilégios — Altere um dígito e leia os dados de outro cliente percorrendo um IDOR de ambos os lados, enumerando ids de registros sequenciais e adicionando a verificação de propriedade ausente.
— Redirecione um e-mail de redefinição de senha para um domínio similar forjando o cabeçalho X-Forwarded-Host, roubando o token de redefinição clicado e fixando uma URL base configurada.
Autorização Quebrada no Nível de Função — Acesse endpoints exclusivos de funcionários a partir de uma conta somente leitura alcançando rotas de administrador como analista, extraindo uma lista de equipe e enfileirando um pagamento e adicionando uma proteção de função no nível do roteador.
Autorização Quebrada no Nível de Objeto — Troque um id e leia os dados de outro usuário alterando o id do objeto em uma requisição, coletando registros percorrendo ids e aplicando propriedade por objeto.
Autenticação de Usuário Quebrada — Faça força bruta em um código de login de seis dígitos atacando um endpoint de verificação ilimitado, assumindo a conta apenas com um e-mail e limitando a taxa por conta com 429.
Exposição Excessiva de Dados — Leia os campos que a interface nunca mostra comparando a página renderizada com o JSON bruto, encontrando telefone, data de nascimento e coordenadas e serializando uma lista de permissões de campos.
Gerenciamento Inadequado de Inventário — Leia registros por meio de uma versão desativada da API trocando v2 por um v1 descontinuado, contornando controles que a nova versão aplica e aposentando versões antigas com 410 Gone.
Injeção — Transforme uma caixa de busca em uma leitura completa do banco de dados escapando de uma consulta de catálogo, despejando a tabela de usuários com UNION e parametrizando para que a entrada permaneça como dado.
Registro e Monitoramento Insuficientes — Consulte um cliente e não deixe rastros acessando um registro sem ticket, entendendo por que ninguém consegue atribuir a ação e adicionando registros de auditoria e alertas.
Atribuição em Massa — Crie um saldo de fidelidade com duas chaves extras adicionando campos a um corpo PATCH, gravando atributos que você não deveria possuir e vinculando apenas campos editáveis.
Segredos no Histórico do Git — Recupere uma chave de API ativa do commit que a removeu percorrendo o histórico de um arquivo de configuração limpo, reproduzindo uma chave que nunca foi rotacionada e rotacionando primeiro e depois limpando com git filter-repo.
Diretório .git Exposto — Reconstrua uma base de código inteira a partir de uma única URL pública encontrando um .git navegável na raiz da web, despejando o repositório e recuperando o código-fonte e implantando artefatos de build em vez do repositório.
Arquivos de Segredos Commitados — Clone um repositório público e leia o .env commitado identificando arquivos de segredos rastreados desde o primeiro commit, deixando de rastreá-los com git rm --cached e rotacionando, e adicionando um .gitignore e um hook de pré-commit.
Falsificação de Autor de Commit — Implante um backdoor usando o nome de um mantenedor coletando uma identidade de autor do git log, lendo o selo de assinatura Unverified e exigindo commits assinados para todos os colaboradores, incluindo administradores.
Bypass de Proteção de Branch — Faça force-push sobre main e pule revisão e CI reescrevendo o histórico em um branch desprotegido, enviando código não revisado direto para produção e exigindo pull requests, revisores e verificações.
Tokens de Acesso Vazados — Clone repositórios privados com um token de um gist público verificando o que um token com escopo excessivo pode alcançar, revogando e rotacionando em vez de apenas excluir o gist, e reemitindo tokens granulares e de curta duração.
Pull Requests Maliciosos — Capture um backdoor escondido dentro de uma correção de teste aparentemente inofensiva lendo o diff completo em vez da descrição, sinalizando edições fora do escopo em scripts de deploy e endurecendo a revisão com CODEOWNERS e limites de forks.
— Extraia uma chave de deploy diretamente de um log de build público encontrando a etapa do workflow que exibe um segredo, impedindo que entradas não confiáveis sejam executadas como comandos de shell e fixando ações por SHA do commit e rotacionando a chave.
Redirecionamento de URL Inseguro — Oculte uma página de phishing atrás de um login real abusando do parâmetro next, entendendo por que o domínio parece correto e permitindo apenas destinos relativos.
Código de Depuração Remanescente — Extraia segredos de produção de uma rota de depuração esquecida encontrando um endpoint que despeja variáveis de ambiente, lendo segredos de JWT e de banco de dados e falhando de forma fechada com uma lista de permissões.
PII na URL — Extraia dados pessoais diretamente de um link identificando identificadores em strings de consulta, acompanhando o vazamento até logs e referrers e reescrevendo para tokens opacos.
XSS Refletido — Crie uma URL maliciosa que é executada no momento em que é aberta refletindo um payload em uma página de busca, entendendo o fluxo em que a vítima clica no link e escapando na fronteira de renderização.
Server-Side Request Forgery — Faça o servidor buscar suas próprias credenciais da nuvem abusando de um recurso de pré-visualização de links, alcançando o endpoint de metadados e validando destinos de saída.
Fixação de Sessão — Plante um id de sessão e herde o login da vítima fixando um id conhecido na vítima, observando o login reutilizá-lo e regenerando-o a cada login.
Injeção SQL — Despeje um banco de dados através de um único formulário de busca desprotegido explorando um payload de tautologia, exfiltrando tabelas com UNION SELECT e aplicando a correção parametrizada.
XSS Armazenado — Plante um script em um comentário e observe-o disparar armazenando um payload em conteúdo de usuário, vendo-o ser executado para o próximo visitante e escapando a saída no momento da renderização.
Exposição de Token na URL — Reproduza um token de sessão coletado de um log de referrer capturando um token em uma URL de redirecionamento, reproduzindo-o em uma conta ativa e movendo-o para um cookie HttpOnly.
Enumeração de Usuários — Colete uma lista verificada de clientes a partir de um formulário de login lendo corpos de erro diferentes, medindo vazamentos de tempo de resposta e unificando erros e tempos.
Escalonamento Vertical de Privilégios — Forje uma claim de função e torne-se administrador adulterando o token de sessão, saltando de visualizador para administrador e verificando tokens antes de confiar neles.
Aleatoriedade Fraca — Preveja um token de redefinição de senha e assuma a conta coletando amostras de tokens do gerador, recuperando o estado de Math.random() e migrando para crypto.randomBytes.
Injeção XXE — Leia o arquivo de senhas por meio de um upload de XML enviando um pedido de compra manipulado, resolvendo uma entidade externa e desabilitando a resolução de entidades.
Configuração Incorreta de Segurança — Leia uma conta conectada de qualquer site refletindo uma origem CORS arbitrária, transformando uma página de isca em arma e restringindo o CORS a uma lista de permissões.
Consumo Irrestrito de Recursos — Extraia um catálogo com uma única requisição superdimensionada definindo o tamanho da página a partir da requisição, puxando 250.000 registros de uma vez e limitando o tamanho da página no servidor.
