Angriffsmethoden der Web-Entwicklung von René Fürst

Du willst mit Angriffsmethoden der Web-Entwicklung verstehen, wie Hacker deine Webseite angreifen – und wie du deinen Code absicherst? Unbekannte Sicherheitslücken können Logins, Formulare und Datenbankzugriffe zum Einfallstor für Schad-Code machen. Im Videokurs von Dozent René Fürst lernst du die Angriffsmethoden kennen und entwickelst Schritt für Schritt ein abgesichertes Login-Script mit PHP als eigenes Beispielprojekt.

Warum deine Webseite angreifbar ist

Ein funktionierendes Formular ist noch kein sicheres Formular. Werden Eingaben, Datenbankzugriffe oder Sitzungen unzureichend abgesichert, entstehen Angriffsmöglichkeiten. René Fürst greift damit ein Problem auf, das auch kleine Firmen und private Webseiten betrifft: Schad-Code findet seinen Weg in Webanwendungen, wenn Entwickler die technischen Angriffsmethoden und passende Gegenmaßnahmen nicht kennen.

Angriffsmethoden der Web-Entwicklung richtet sich laut Udemy besonders an Entwickler, denen diese Risiken bisher wenig bewusst sind und die ihre Webseiten vor Schad-Code schützen möchten. Deshalb beginnt der Kurs mit den Angriffen selbst. Erst wenn du ihren Ablauf nachvollziehen kannst, setzt du die Schutzmaßnahmen praktisch um – an einem Login, das du von Grund auf selbst entwickelst.

Welche Angriffe du verstehen lernst

Du lernst Sicherheitsregeln nicht losgelöst vom Code, sondern verstehst, welches Problem sie lösen sollen. Der Kurs erklärt fünf zentrale Angriffsarten und verbindet sie mit dem eigenen PHP-Beispielprojekt. So kannst du gezielter erkennen, an welchen Stellen deine Formulare, Datenbankabfragen und Benutzer-Sitzungen Schutz benötigen.

• SQL-Injection: Du verstehst SQL-Einschleusung und erkennst, weshalb Datenbankzugriffe sorgfältig abgesichert werden müssen
• Session-Hijacking: Du lernst das Übernehmen einer aktiven Sitzung kennen und verstehst den Nutzen sicherer PHP-Sessions
• Cross Site Scripting (XSS): Du erkennst XSS-Attacken und kannst entsprechende Schwachstellen in eigenen Webprojekten bewusster prüfen
• Cross-Site-Request-Forgery (CSRF): Du verstehst diese Angriffsart und lernst, deinen Login-Ablauf dagegen abzusichern
• Brute-Force-Attacke: Du lernst, wie wiederholte Anmeldeversuche ein Login angreifen und wie ein zeitlicher IP-Ban dagegen eingesetzt wird
• „Welche Hacking-Methode ist das?“: In der Wiederholungseinheit ordnest du Angriffe ein und festigst dein Verständnis

Das Ziel reicht vom Erkennen einer Schwachstelle bis zu ihrer Absicherung im Beispielprojekt: Du richtest einen Webserver ein, erstellst eine MySQL-Datenbank, gestaltest sichere HTML-Formulare und bindest PHP an die Datenbank an. Daraus entsteht ein Benutzer-Login-System, an dem du XSS, CSRF, Session-Hijacking und den Schutz vor wiederholten Angriffsversuchen nachvollziehen kannst.

Dein sicheres Login Schritt für Schritt

Du startest mit der Einführung in die sichere Programmierung und bereitest deine Arbeitsumgebung vor. Dazu gehören die Installation eines Webservers auf dem eigenen Rechner und des Atom Text Editor. Auch das Anmieten eines Root-/Cloud-Webservers mit PHP wird behandelt. Damit lernst du die technische Grundlage kennen, auf der du dein eigenes Login-Beispiel aufbaust.

Anschließend erstellst du eine neue MySQL-Datenbank, legst einen SQL-Benutzer an und definierst seine Zugriffsrechte. Über die PHP-MySQL-Datenbank-Schnittstelle und ein eigenes Datenbank-Verbindungsscript verbindest du Anwendung und Datenhaltung. Beim sicheren Anlegen der Datenbankwerte lernst du, diese Verbindung nicht nur funktionsfähig, sondern bewusst abgesichert zu gestalten.

Passwörter sollen auch bei einem Datenbank-Leak nicht im Klartext vorliegen. Dafür behandelt der Kurs Hashing mit SHA512 sowie gehashte und „gesalzene“ Passwörter im Lernprojekt. Danach folgen Registrierung und HTML, der Login-Prozess und der Logout-Prozess. Den kompletten Source-Code des entwickelten Login-Projekts erhältst du als Kursinhalt, damit du den Aufbau nachvollziehen und erneut durcharbeiten kannst.

• Zeitlicher IP-Ban: Wiederholte Anmeldeversuche bei einer Brute-Force-Attacke begrenzen
• Sichere PHP-Sessions: Aktive Benutzer-Sitzungen im Beispielprojekt absichern
• Gehashte und „gesalzene“ Passwörter: Zugangsdaten nicht als Klartext in der Datenbank speichern
• CSRF-Schutz: Die entsprechende Absicherung in den Login-Ablauf integrieren

Inhalt und Aufbau des Kurses

Der Mitgliederbereich gliedert sich in 10 Abschnitte mit insgesamt 36 Lernschritten; die Schrittzahlen lauten 2, 5, 5, 4, 2, 5, 3, 2, 5 und 3. Laut Anbieter umfasst das Training rund 4 Stunden Video-Material und 35 Lektionen. Die folgende Übersicht zeigt die behandelten Themen vom Einstieg bis zum vollständigen Source-Code; sie ist keine zusätzliche Zählung der Kursabschnitte.

Zum Kurs gehört der Lernschritt „Das E-Book, kostenlos für Teilnehmer“. Das begleitende E-Book „Sichere Web-Entwicklung mit PHP 7: Angriffsmethoden verstehen und abwehren am Praxisbeispiel – Sicheres Login-Skript erstellen“ erklärt laut Amazon-Beschreibung zuerst die theoretischen Angriffe und anschließend den Aufbau eines geschützten Login-Systems in PHP. Es lässt sich auf unbegrenzt vielen Geräten gleichzeitig nutzen und unterstützt Screenreader – praktisch zum Nachlesen neben den Videos.

Für wen eignet sich der Kurs?

Der PHP-Sicherheitskurs ist auf das Niveau Anfänger ausgerichtet; auch ein Einstieg ohne Programmiererfahrung ist vorgesehen. Die Einrichtung der Umgebung gehört zum Lernweg. Laut fernstudium-bewertung.com eignet sich das Training auch für Quereinsteiger, kann ohne besondere Voraussetzungen begonnen werden und bietet eine Vorschau. Die reguläre Lernzeit beträgt dort rund einen Monat und darf individuell überschritten werden.

So lernst du – jederzeit und überall

Nach Anmeldung beziehungsweise Freischaltung lernst du im Mitgliederbereich mit klar gegliederten Abschnitten und Lernschritten. Eine Fortschrittsanzeige in Prozent zeigt dir, wie weit du gekommen bist. Die Videos streamst du im Browser, 24 Stunden am Tag und 7 Tage die Woche. Du kannst dich am PC oder Smartphone anmelden, die mobile Website unterwegs nutzen und den Kurs beliebig oft wiederholen. Der Zugang ist einmalig, ein Abonnement gibt es nicht und versteckte Kosten entstehen laut Anbieter ebenfalls nicht.

Ein Download der Kurse ist nicht vorgesehen: Die Inhalte werden regelmäßig aktualisiert und erweitert, damit du im Browser jeweils das vom Anbieter bereitgestellte aktuelle Material siehst. Als letzte Aktualisierung ist laut Udemy Januar 2023 angegeben.

Für jeden abgeschlossenen Kurs erhältst du eine Abschlussbescheinigung, die du in deinem Profilbereich einsehen und herunterladen kannst. Auch Edukatico führt das deutschsprachige Anfängertraining mit Zertifikat. Dazu nennt der Anbieter eine 14-Tage-Geld-zurück-Garantie. Beginne Angriffsmethoden der Web-Entwicklung mit dem Verständnis der Angriffe und baue darauf dein eigenes Login-Beispiel auf.

Was Teilnehmer und Zahlen sagen

Dozent René Fürst ist seit über 25 Jahren in der IT tätig, mit Schwerpunkten in Server-Systemadministration, Sicherheit und Anwendersoftware. Nach eigenen Angaben hat er mit seinen Kursen über 65.000 Teilnehmer erreicht und ist Dozent beim Heise Verlag, Europas größtem IT-Fachmagazin. Sein beruflicher Hintergrund verbindet damit die Verwaltung von Systemen mit dem Sicherheitsthema dieses PHP-Kurses.

Sein Udemy-Profil beschreibt René Fürst außerdem als Systemadministrator und Datenschutzbeauftragten mit über 20 Jahren Erfahrung im IT-Business, unter anderem in IT-Sicherheit, Webprogrammierung und Webdesign. Die dort genannten Tätigkeitsfelder passen zum Kursansatz: technische Abläufe verstehen und die Absicherung direkt an einem eigenen Webprojekt nachvollziehen.

Für den Kurs wird eine Bewertung von 4,3 bei rund 1.300 Teilnehmerinnen und Teilnehmern genannt. Laut Udemy stehen 1.344 Belegungen und 84 Bewertungen zu Buche. Diese Zahlen beziehen sich auf das Training, nicht auf das gesamte Kursangebot des Dozenten. Neben Teilnehmer-Feedbacks führt der Anbieter außerdem einen Bereich „Zufriedene Partner“ als Referenz auf.

Stimmen zum Anbieter: Laut Udemy erreicht René Fürst als Premium-Instructor ein Dozenten-Rating von 4,4 bei 6.743 Bewertungen, 59.670 Teilnehmern und 38 Kursen; ein weiterer Profilstand nennt 59.850 Lernende und 6.796 Bewertungen. Diese unterschiedlichen Profilstände betreffen das gesamte Angebot und sind von der Bewertung dieses einzelnen Kurses zu unterscheiden.

„Ich habe es mir nun angeschaut und muss sagen, dass dieser Kurs sich lohnt, ich habe nun verstanden wie das mit XSS oder Brute Force Attacken abläuft. Und habe dadurch gemerkt was alles noch an Sicherheit an meiner Seite fehlt. (…)“

Daniel E., Teilnehmer

„Ein wirklich gut strukturierter Kurs und für jeden klar verständlich! Weiter so!“

Felix Z., Teilnehmer

„Ein super Kurs. Die Erklärungen sind klar und verständlich. Die Strukturierung gefällt sehr gut. (…) Hier wird gezeigt wie die Angriffe ablaufen und auch was man als Gegenmaßnahme unternehmen kann und auch sollte. Ich konnte einiges mitnehmen, was mir sehr geholfen hatte.“

Rene P., Teilnehmer

Wenn beim Nachvollziehen des Beispielprojekts Fragen entstehen, kannst du René Fürst als Teilnehmer direkt über das Kontaktformular erreichen. Der Dozent betont, für seine Teilnehmer da zu sein und bei Fragen zu helfen. Du hast damit neben den Videos, dem E-Book und dem Source-Code auch eine direkte Anlaufstelle für Rückfragen zum Kurs.

Häufige Fragen zu Angriffsmethoden der Web-Entwicklung

Autor: René Fürst

Mit über 25 Jahren IT-Praxis vermittelt der Wiener IT-Trainer René Fürst Wissen zu Linux, Cloud, IT-Sicherheit und Office. Seine Onlinekurse verbinden technische Weiterbildung mit Softwareanwendung und digitaler Zusammenarbeit.

Alle Produkte von René Fürst