01
Модуль 1: Введение в XSS и безопасность браузера
Модель безопасности браузера, контексты вывода и типы XSS в Node.js
- 11. XSS и модель безопасности браузера~5 мин
- 22. Тест: Основы XSS~3 мин
Путь nodejs Intermediate 7 модулей 26 шагов (14 теор · 5 лаб · 7 квиз) ~4 ч 46 мин
Node.js XSS: контексты вывода и защита
Разберите reflected, stored и DOM-based XSS в Node.js/Express, проследите путь данных и обоснуйте выбор защиты для текстового, HTML- и URL-контекста. Теория и самопроверка связаны с 5 тренировочными лабами; ограничения их практических проверок разобраны в материалах. CSP и nonce дополняют безопасный вывод данных, а автоматизация дана как обзор возможностей SAST/DAST и роли проверок в CI/CD, без настройки сканеров и конвейера. Время — редакторская оценка чтения, размышления и работы в лабах, а не измеренный результат прохождения.
02
Модуль 2: Reflected XSS
Отражённые данные в HTML-ответе; явное экранирование и autoescaping шаблонов
- 11. Reflected XSS: res.send() и шаблоны~5 мин
- 2. Практика: Reflected XSSeasy ~30 мин2. Практика: Reflected XSS
- 33. Защита: Nunjucks autoescaping~5 мин
- 44. Тест: Reflected XSS~3 мин
03
Модуль 3: Stored XSS
Хранимый XSS через комментарии и профили
- 11. Stored XSS: сохранённые данные и граница вывода~5 мин
- 2. Практика: Stored XSSmedium ~45 мин2. Практика: Stored XSS
- 33. Защита: DOMPurify и xss npm~5 мин
- 44. Тест: Stored XSS~3 мин
04
Модуль 4: DOM-based XSS
Источники и места вывода в браузере; безопасные DOM API и CSP как дополнительный уровень
- 11. DOM-based XSS: источники и приёмники~5 мин
- 2. Практика: DOM-based XSSmedium ~45 мин2. Практика: DOM-based XSS
- 33. Защита: Content Security Policy~5 мин
- 44. Тест: DOM-based XSS~3 мин
05
Модуль 5: XSS в атрибутах HTML
Контексты атрибутов; экранирование значений и политика допустимых URL
- 11. XSS в контексте атрибутов HTML~5 мин
- 2. Практика: Attribute XSSmedium ~45 мин2. Практика: Attribute XSS
- 33. Защита: Allowlist URL-схем~5 мин
- 44. Тест: Attribute XSS~3 мин
06
Модуль 6: CSP и Nonce-based защита
CSP и согласование nonce с документом; в практике остаётся открытой проверка nonce и сохранения легитимного интерфейса
- 11. CSP и Nonce: продвинутая защита~5 мин
- 2. Практика: Обход CSP через unsafe-inlineeasy ~30 мин2. Практика: Обход CSP через unsafe-inline
- 33. Защита: crypto.randomBytes nonce~5 мин
- 44. Тест: CSP и Nonce~3 мин
07
Модуль 7: Итоговый разбор, Defense-in-Depth и обзор автоматизации
Самостоятельный выбор защиты, оценка свидетельств и границы автоматизированных проверок
- 11. Сравнение XSS: от классификации к защитному решению~5 мин
- 22. Defense-in-Depth: многослойная защита от XSS в Node.js~5 мин
- 33. Обнаружение XSS: SAST/DAST-инструменты, CI-гейты и триаж находок~5 мин
- 44. Тест: XSS в Node.js~3 мин