01
Модуль 1: Введение в Access Control
OWASP Broken Access Control, middleware chain в Express и общая стратегия контроля доступа.
- 1. Broken Access Control — OWASPPro
- 2. Express middleware chain и авторизацияPro
- 3. Проверка знанийPro
Путь nodejs 6 модулей
Node.js Access Control: RBAC, IDOR и Defense-in-Depth в Express
Фундаментальный курс по контролю доступа в Node.js на Express. Изучите Forced Browsing к админ-панелям, горизонтальную эскалацию (IDOR) и обход URL-нормализации. Защита через middleware авторизации, ownership checks, path normalization, RBAC/ABAC через accesscontrol/CASL и автоматизацию обнаружения уязвимостей.
02
Модуль 2: Forced Browsing
Прямой доступ к /admin без проверки роли и защита через role middleware.
- 1. Атака — прямой доступ к административным URLPro
- 2. Защита — role middlewarePro
- 3. Проверка знанийPro
- 4. Практика — Forced BrowsingeasyPro
03
Модуль 3: Horizontal Access Control (IDOR)
Доступ к данным другого пользователя через /users/:id/data и защита через ownership middleware и row-level filtering.
- 1. Атака — горизонтальная эскалация привилегийPro
- 2. Защита — ownership check middlewarePro
- 3. Проверка знанийPro
- 4. Практика — горизонтальный IDORmediumPro
04
Модуль 4: URL Bypass
Обход проверок через регистр, trailing slash и кодирование URL. Защита через нормализацию пути и Router-based авторизацию.
- 1. Атака — обход через регистр, слэши и кодированиеPro
- 2. Защита — нормализация пути в Express.RouterPro
- 3. Проверка знанийPro
- 4. Практика — URL BypasseasyPro
05
Модуль 5: Итоговый обзор
RBAC в Express, библиотеки accesscontrol и CASL, реальные CVE и единый чек-лист контроля доступа.
- 1. Итоговый обзор — RBAC, CASL и реальные CVEPro
- 2. Финальный тест по модулям 1-5Pro
06
Модуль 6: Defense-in-Depth и автоматизация
Многослойная защита от Access Control уязвимостей. SAST через ESLint и Semgrep, DAST через ZAP и Nuclei, CI/CD pipeline и метрики мониторинга.
- 1. Defense-in-Depth — многослойная защитаPro
- 2. Автоматизация — SAST, DAST, CI/CDPro
- 3. Финальный тест по Defense-in-DepthPro