Dieser praktische Sicherheitskurs richtet sich an Einsteiger, die einen Terminalbefehl eingeben und Browsertabs wechseln können. Du reparierst eine vorbereitete Anwendung, damit ein Link zu einem Konto gehört, korrekt abläuft und nur einmal funktioniert.
Ein Guided Lab behandelt normale Wiederherstellung, sichtbaren Missbrauch, eine kleine Python-Reparatur und Regression in vier Schritten. Eine Challenge überträgt dieselben Regeln auf ein Personalportal mit anderen Konten und falsch kombinierter Bedingung. Jede Einheit startet unabhängig.
Was du lernen wirst
- Einer Rücksetzmail folgen und temporäre Token von Anmeldepasswörtern unterscheiden.
- Replay, fremde Konten und abgelaufene Token an synthetischen Konten demonstrieren.
- Eine kleine Python-Funktion mit erklärten Bedingungen und vorbereitetem Transaktionshelfer lesen und bearbeiten.
- Gespeicherten Eigentümer, zukünftigen Ablauf, unbenutzten Zustand und atomaren Verbrauch verlangen.
- Erlaubte Wiederherstellung und Anmeldung sowie verweigerten Missbrauch, Konkurrenz und unveränderte andere Konten testen.
Für wen dieser Kurs geeignet ist
Für Einsteiger mit Interesse an Anwendungssicherheit und Kontowiederherstellung. Nur einfache Terminaleingaben und Tabwechsel sind Voraussetzung; Python-, SQL- oder Authentifizierungsentwicklungserfahrung ist unnötig. Die kleine Codeänderung wird vorher erklärt.
LabEx stellt eine fertige Linux-Instanz mit App Server, Portal Web und Mailbox Web bereit. Zustellung und Identitäten sind synthetisch; HTTP, SQLite-Transaktionen, Passwortänderung und Anmeldung werden echt ausgeführt. Lokale Einrichtung oder externe Maildienste sind unnötig.
Häufig gestellte Fragen
Muss ich ein Authentifizierungssystem schreiben?
Nein. Du reparierst einen kleinen Handler. Sperren, Passwort-Hashing und der Rest der Anwendung sind vorbereitet; die nötige Python-Syntax wird erklärt.
Wie wird die Fertigstellung geprüft?
Prüfungen betrachten echte Kontofolgen und führen deinen unveränderten Handler mit verwerfbaren HTTP-/Datenbankdaten aus. Reguläre Wiederherstellung muss gelingen, ungültige Anfragen müssen scheitern. Berichte, kopierte Logs und Erfolgstexte werden nicht bewertet.
Ist dies eine vollständige Checkliste für Produktivsysteme?
Nein. Der Fokus liegt auf Eigentümer, Ablauf, einmaliger Nutzung und Atomarität. Sichere Zustellung, Ratenlimits, Sitzungsaufhebung, Schutz gegen Aufzählung und produktive Identitätssicherung sind ausgenommen. Die Challenge nutzt bekannte Werkzeuge und Tokenfelder ohne neues Authentifizierungsprotokoll.
