فلش‌کارت‌های آموزشی حملات XSS: پیشگیری، کشف و مقابله گام به گام

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره حملات XSS: پیشگیری، کشف و مقابله گام به گام

موضوع کلی: امنیت وب

موضوع میانی: حملات XSS (Cross-Site Scripting)

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر امنیت وب
• 2. آشنایی با OWASP Top 10
• 3. XSS چیست؟ تعاریف و مفاهیم اساسی
• 4. تاریخچه و تکامل حملات XSS
• 5. چرا XSS مهم است؟ درک شدت و گستردگی
• 6. تفاوت XSS با سایر حملات تزریق (Injection Attacks)
• 7. تفاوت XSS با CSRF
• 8. XSS بازتابی (Reflected XSS): مبانی
• 9. XSS بازتابی: مکانیسم و عملکرد
• 10. XSS ذخیره‌شده (Stored XSS): مبانی
• 11. XSS ذخیره‌شده: مکانیسم و عملکرد
• 12. XSS مبتنی بر DOM (DOM-based XSS): مبانی
• 13. XSS مبتنی بر DOM: مکانیسم و عملکرد
• 14. تفاوت‌های کلیدی بین Reflected, Stored و DOM-based XSS
• 15. HTML Contexts برای XSS
• 16. Attribute Contexts برای XSS
• 17. JavaScript Contexts برای XSS
• 18. URL Contexts برای XSS
• 19. CSS Contexts برای XSS
• 20. تزریق اسکریپت با تگ `<script>`
• 21. تزریق اسکریپت با تگ `<img>` (onerror)
• 22. تزریق اسکریپت با تگ `<a>` (javascript: pseudo-protocol)
• 23. تزریق اسکریپت با تگ `<svg>`
• 24. تزریق اسکریپت با تگ `<iframe/object/embed>`
• 25. تزریق اسکریپت در رویدادهای HTML (Event Handlers)
• 26. Payloads رایج XSS: مقدمه
• 27. Payload برای سرقت کوکی
• 28. Payload برای تغییر DOM
• 29. Payload برای تغییر مسیر (Redirection)
• 30. Payload برای Keylogging
• 31. Payload برای حملات فیشینگ (Phishing)
• 32. Payload برای کنترل مرورگر (Browser Hooking)
• 33. Payload برای Bypass Content Security Policy (CSP)
• 34. رمزگذاری و Obfuscation در Payloads XSS
• 35. مراحل کشف آسیب‌پذیری XSS
• 36. شناسایی نقاط ورودی کاربر (User Input Points)
• 37. تست پارامترهای URL
• 38. تست فرم‌های ورودی
• 39. تست هدرهای HTTP
• 40. تست کوکی‌ها
• 41. استفاده از مرورگر برای بررسی پاسخ‌ها
• 42. ابزارهای دستی برای تست XSS
• 43. ابزارهای خودکار اسکنر XSS: معرفی
• 44. ابزارهای خودکار اسکنر XSS: Burp Suite
• 45. ابزارهای خودکار اسکنر XSS: OWASP ZAP
• 46. ابزارهای خودکار اسکنر XSS: XSSer
• 47. ابزارهای خودکار اسکنر XSS: XSStrike
• 48. نوشتن اسکریپت‌های سفارشی برای کشف XSS
• 49. اصل حداقل امتیاز (Principle of Least Privilege) در XSS
• 50. اعتبارسنجی ورودی (Input Validation): مقدمه
• 51. اعتبارسنجی ورودی: White-listing در مقابل Black-listing
• 52. اعتبارسنجی ورودی: اعتبارسنجی سمت سرور
• 53. اعتبارسنجی ورودی: اعتبارسنجی سمت کلاینت (توصیه‌نشده برای امنیت)
• 54. Encoding خروجی (Output Encoding): مقدمه
• 55. HTML Entity Encoding
• 56. JavaScript Encoding
• 57. URL Encoding
• 58. CSS Encoding
• 59. ترکیب Encoding و Escaping برای امنیت
• 60. Content Security Policy (CSP): مبانی
• 61. CSP: دستورالعمل‌ها و پیکربندی
• 62. CSP: گزارش‌گیری و نظارت
• 63. CSP: چالش‌ها و روش‌های Bypass
• 64. HttpOnly Cookies برای محافظت از سشن‌ها
• 65. Secure Flags برای کوکی‌ها
• 66. Sandboxing با IFrames
• 67. X-XSS-Protection Header
• 68. Trusted Types API (برای DOM-based XSS)
• 69. WAF (Web Application Firewall) برای XSS
• 70. فریم‌ورک‌های امنیتی و کتابخانه‌های ضد-XSS
• 71. Bypass فیلترهای XSS: مقدمه
• 72. Bypass فیلتر با استفاده از Unconventional Tags/Attributes
• 73. Bypass فیلتر با Character Encoding Tricks
• 74. Bypass فیلتر با Obfuscation و Polymorphism
• 75. Bypass فیلتر با Double Encoding
• 76. Bypass فیلتر با استفاده از Event Handlers پیچیده
• 77. Bypass فیلتر با Data URIs
• 78. Mutation XSS: مفهوم و مثال‌ها
• 79. Universal XSS (UXSS)
• 80. Self-XSS: خطرات و سوءتفاهم‌ها
• 81. XSS در APIها و JSON Payloads
• 82. XSS در برنامه‌های تک صفحه‌ای (SPAs)
• 83. XSS و JSONP
• 84. Server-Side Template Injection (SSTI) و ارتباط با XSS
• 85. XSS در محیط‌های موبایل (Mobile XSS)
• 86. مطالعه موردی: XSS در پلتفرم‌های اجتماعی
• 87. مطالعه موردی: XSS در سیستم‌های مدیریت محتوا (CMS)
• 88. مطالعه موردی: XSS در وب‌سایت‌های تجارت الکترونیک
• 89. مطالعه موردی: XSS در APIهای RESTful
• 90. گزارش‌دهی آسیب‌پذیری XSS (Responsible Disclosure)
• 91. برنامه باگ بانتی و XSS
• 92. ابزارهای Browser-based برای تست XSS (مثلاً XSS Hunter)
• 93. مدیریت آسیب‌پذیری XSS در سازمان
• 94. اتوماسیون تست امنیت (SAST, DAST) برای XSS
• 95. آموزش توسعه‌دهندگان برای کدنویسی امن
• 96. بهترین شیوه‌ها برای توسعه‌دهندگان وب
• 97. بهترین شیوه‌ها برای مدیران سیستم
• 98. آینده حملات XSS و روندهای نوظهور
• 99. مروری بر مفاهیم کلیدی و نکات پایانی
• 100. منابع بیشتر برای یادگیری و تمرین