Lesson Plan Title: Client Side Filtering
+Название урока: Фильтрация данных на стороне клиента
Concept / Topic To Teach:
+Тема для изучения:
-It is always a good practice to send to the client only information which they are supposed -to have access to. In this lesson, too much information is being sent to the client, creating -a serious access control problem. +Всегда считается хорошей практикой отправлять на сторону клиента только ту информацию, доступ к которой он имеет. +В данном уроке на сторону клиента будет отправлено очень много информации, что создаст серьёзные проблемы с контролем доступа к ней. -General Goal(s):
-For this exercise, your mission is exploit the extraneous information being returned by the -server to discover information to which you should not have access. \ No newline at end of file +Основные цели и задачи:
+Ваша цель состоит в том, чтоб среди принимаемых со стороны сервера данных найти ту +информацию, доступа к которой у вас нет. diff --git a/webgoat/src/main/webapp/lesson_plans/ru/ClientSideValidation.html b/webgoat/src/main/webapp/lesson_plans/ru/ClientSideValidation.html index e712b6fb7..ccc490f83 100644 --- a/webgoat/src/main/webapp/lesson_plans/ru/ClientSideValidation.html +++ b/webgoat/src/main/webapp/lesson_plans/ru/ClientSideValidation.html @@ -1,15 +1,14 @@Lesson Plan Title: Insecure Client Storage
+Название урока: Insecure Client Storage
Concept / Topic To Teach:
+Тема для изучения:
-It is always a good practice to validate all input on the server side. Leaving the -mechanism for validation on the client side leaves it vulnerable to reverse -engineering. Remember, anything on the client side should not be -considered a secret. +Хорошей практикой является проверка на стороне сервера абсолютно всех принимаемых данных. +Реализация механизмов проверки только на стороне клиента делает приложение уязвимым. +Запомните, всё что отправляется на сторону клиента не должно содержать критически важных +данных или механизмов. -General Goal(s):
-For this exercise, your mission is to discover a coupon code to receive an unintended -discount. Then, exploit the use of client side validation to submit an order with a -cost of zero. +Основные цели:
+В данном упражнении первая ваша задача - обнаружить действующий код купона обеспечивающего скидку. +Далее необходимо исследовать механизм проверки вводимых данных и добиться покупки товара за нулевую цену. diff --git a/webgoat/src/main/webapp/lesson_plans/ru/DOMInjection.html b/webgoat/src/main/webapp/lesson_plans/ru/DOMInjection.html index 19c19ee0b..8b4a87564 100644 --- a/webgoat/src/main/webapp/lesson_plans/ru/DOMInjection.html +++ b/webgoat/src/main/webapp/lesson_plans/ru/DOMInjection.html @@ -1,23 +1,23 @@Lesson Plan Title: How to Perform DOM Injection Attack.
+Название урока: Выполнение атаки класса 'DOM-инъекция'.
Concept / Topic To Teach:
-How to perform DOM injection attacks. +Тема для изучения:
+Выполнение атаки класса 'DOM-инъекция'.-How the attacks works: +Как работают атаки данного вида:
-Some applications specially the ones that uses AJAX manipulates and updates the DOM -directly using javascript, DHTML and eval() method.General Goal(s):
+Основные цели и задачи:
-* Your victim is a system that takes an activation key to allow you to use it.Lesson Plan Title: DOM Based Cross Site Scripting (XSS)
+Название урока: Межсайтовый скриптинг основанный на DOM (DOM XSS)
Concept / Topic To Teach:
+Тема для изучения:
-The Document Object Model (DOM) presents an interesting problem from -a security standpoint. It allows the content of a web page to be dynamically -modified, but that can be abused by attackers during a malicious code injection. XSS, -a type of malicious code injection, can occur when unvalidated user input is used directly -to modify the content of a page on the client side. +Объектная модель документа (DOM), с точки зрения безопаности, создаёт собой одну интересную проблему. +Она позволяет содержимому веб-страниц динамически меняться, что само по себе является хорошей возможностью +не только для веб-мастеров, но и для злоумышленников. С её помощью нападающие могут помещать в код страниц +вредоносные вставки (XSS), если в процессе модификации их содержимого на стороне клиента не происходит +достаточной проверки данных вводимых пользователем. + -General Goal(s):
-For this exercise, your mission is to use this vulnerability to inject -malicious code into the DOM. Then in the last stage, you will correct -the flaws in the code to address the vulnerability. \ No newline at end of file +Основные цели и задачи:
+В данном упражнении вам необходимо с использованием этой уязвимости поместить вредоносный код +в объектную модель документа. А в самом конце вы исправите ошибку приводящую к её появлению. diff --git a/webgoat/src/main/webapp/lesson_plans/ru/DangerousEval.html b/webgoat/src/main/webapp/lesson_plans/ru/DangerousEval.html index f6190530c..b3ee6b20a 100644 --- a/webgoat/src/main/webapp/lesson_plans/ru/DangerousEval.html +++ b/webgoat/src/main/webapp/lesson_plans/ru/DangerousEval.html @@ -1,14 +1,16 @@Lesson Plan Title: Dangerous Use of Eval
+Название урока: Опасное использование eval()
Concept / Topic To Teach:
+Тема для изучения:
-It is always a good practice to validate all input on the server side. XSS can occur -when unvalidated user input is reflected directly into an HTTP response. In this lesson, unvalidated -user-supplied data is used in conjunction with a Javascript eval() call. In a reflected -XSS attack, an attacker can craft a URL with the attack script and store it on another -website, email it, or otherwise trick a victim into clicking on it. +Хорошей практикой является проверка на стороне сервера всех принимаемых данных. +В случаях когда непроверенные пользовательские данные напрямую отражаются в HTTP-ответе имеется +риск появления XSS-уязвимостей. В текущем приложении не проходящие проверку пользовательские данные помещаются +в строку передаваемую функции eval(). В подобных ситуациях (они называются отражёнными XSS-уязвимостями) +злоумышленник может составить URL содержащий специальные вредоносные вставки, и опубликовать его +на стороннем веб-сайте, отправить по почте или любым другим способом донести его до жертвы. -General Goal(s):
-For this exercise, your mission is to come up with some input which, when run through eval, -will execute a malicious script. In order to pass this lesson, you must 'alert()' document.cookie. \ No newline at end of file +Основные цели и задачи:
+Ваша цель - добиться выполнения произвольного JavaScript-кода в данном приложении используя +уже имеющийся в странице вызов eval(). Для того чтоб успешно завершить урок вы дложны вызвать выполнение строки +'alert(document.cookie)'. \ No newline at end of file diff --git a/webgoat/src/main/webapp/lesson_plans/ru/HttpBasics.html b/webgoat/src/main/webapp/lesson_plans/ru/HttpBasics.html index 38c9d1056..82fac4497 100644 --- a/webgoat/src/main/webapp/lesson_plans/ru/HttpBasics.html +++ b/webgoat/src/main/webapp/lesson_plans/ru/HttpBasics.html @@ -23,7 +23,7 @@ предназначаются для CGI-программ использующих метод POST для принятия информации.Основные цели и задачи:
-Введите ваше имя в поле расположенное ниже и нажмите "go" для отправки формы. Сервер примет ваш запрос, выстроит +Введите ваше имя в поле расположенное ниже и нажмите "Вперёд!" для отправки формы. Сервер примет ваш запрос, выстроит полученную строку в обратном порядке и выведет результат на экран. Данный пример иллюстрирует основы обработки данных полученных из HTTP-запроса.Lesson Plan Title: How to Perform JSON Injection
+Название урока: Выполнение атак класса 'JSON-инъекция'
Concept / Topic To Teach:
-This lesson teaches how to perform JSON Injection Attacks. -Тема для изучения:
+На данном уроке вы научитесь осуществлять атаки класса 'JSON-инъекция' +-How the attacks works: +Как работают такие атаки:
-JavaScript Object Notation (JSON) is a simple and effective lightweight data exchange format. JSON can be in a lot of forms such as arrays, lists, hashtables and other data structures. -JSON is widely used in AJAX and Web2.0 application and is favored by programmers over XML because of its ease of use and speed. -However, JSON, like XML is prone to Injection attacks. A malicious attacker can inject the reply from the server and inject some arbitrary values in there. +JSON - это простой, "легковесный" и эффективный формат передачи данных. Данные, +передаваемые с его помощью, могут иметь различные формы. Например это может быть массив, список, хеш-таблица и т.д. +JSON обычно используется в AJAX- и Web2.0-приложениях, постепенно вытесняя XML за счёт своей простоты и скорости обработки. +В то же время JSON, как и XML, предрасположен к атакам инъективного класса. Например злоумышленник может перехватить ответ +сервера и внедрить в него произвольные данные.General Goal(s):
+Основные цели и задачи:
-* You are traveling from Boston, MA- Airport code BOS to Seattle, WA - Airport code SEA.Lesson Plan Title: Same Origin Policy Protection
+Название урока: Защита с помощью политики одного источника (Same Origin Policy)
Concept / Topic To Teach:
+Тема для изучения:
-A key element of AJAX is the XMLHttpRequest (XHR), which allows javascript to make asynchronous -calls from the client side to a server. However, as a security measure these requests may -only be made to the server from which the client page originated. +Ключевым элементом технологии AJAX является компонент XMLHttpRequest (XHR). Он позволяет с помощью JavaScript +отправлять запросы на сторону сервера в асинхронном режиме. Из соображений безопасности запрос можно отправить +только на тот домен, с которого загружена текущая страница. -General Goal(s):
-This exercise demonstrates the Same Origin Policy Protection. XHR requests -can only be passed back to the originating server. Attempts to pass data to -a non-originating server will fail."; +Основные цели и задачи:
+Упражнение демонстрирует механизмы защиты обеспеченные политикой одного источника (Same Origin Policy) +Через компонент XHR можно отправлять запрос лишь на тот сервер, с которого была загружена текущая +страница. Попытки отправить запрос на другой сервер потерпят неудачу. "; diff --git a/webgoat/src/main/webapp/lesson_plans/ru/SilentTransactions.html b/webgoat/src/main/webapp/lesson_plans/ru/SilentTransactions.html index d3377dce8..d1d15675d 100644 --- a/webgoat/src/main/webapp/lesson_plans/ru/SilentTransactions.html +++ b/webgoat/src/main/webapp/lesson_plans/ru/SilentTransactions.html @@ -1,24 +1,27 @@Lesson Plan Title: How to Perform Silent Transactions Attacks.
+Название урока: Атаки связанные со скрытыми операциями.
Concept / Topic To Teach:
-This lesson teaches how to perform silent transactions attacks. +Тема для изучения:
+На данном уроке вы поймёте как осуществляются атаки связанные со скрытыми операциями.-How the attacks works: +Как работают атаки такого рода:
-Any system that silently processes transactions using a single submission is dangerous to the client. -For example, if a normal web application allows a simple URL submission, a preset session attack will -allow the attacker to complete a transaction without the users authorization. -In Ajax, it gets worse: the transaction is silent; it happens with no user feedback on the page, -so an injected attack script may be able to steal money from the client without authorization.General Goal(s):
+Основные цели и задачи:
-* This is a sample internet banking application - money transfer page.Lesson Plan Title: How to Perform XML Injection Attacks.
+Название урока: Как выполняются атаки класса 'XML-инъекция'.
Concept / Topic To Teach:
- This lesson teaches how to perform XML Injection attacks. +Тема для изучения:
+На данном уроке вы научитесь осуществлять атаки класса 'XML-инъекция'-How the attacks works: +Как работает данный вид атак:
-AJAX applications use XML to exchange information with the server. This XML can be easily intercepted and altered by a malicious attacker. - +AJAX-приложения используют XML для передачи данных на сервер. Ушедший XML может быть легко перехвачен +и изменён злоумышленником.General Goal(s):
+Основные цели:
-WebGoat-Miles Reward Miles shows all the rewards available. Once you've entered your account ID, the lesson will show you your balance and the products you can afford. Your goal is to try to add more rewards to your allowed set of rewards. Your account ID is 836239. +Вы видите список призов, которые можно получить по программе 'WebGoat-Miles Reward Miles'. +Когда вы введёте ID своего аккаунта приложение отобразит вам ваш баланс и список призов, которые +вы можете заказать. Цель - заказать призы на которые у вас не хватает очков. +ID вашего аккаунта 836239.