Die Idee
Nicht scannen. Testen.
Security-Scanner liefern Listen. Diese Schulung liefert eine Gewohnheit: Du behandelst jede Sicherheitsanforderung wie jede andere fachliche Anforderung: als ausführbaren Test. Die „Flagge“ ist hier kein Beweis eines Einbruchs, sondern ein grüner Test, der alle künftigen Einbrüche derselben Art verhindert.
Du arbeitest in einer absichtlich verwundbaren, realistischen PHP-Anwendung. Die Lücken sehen aus wie echte Entwicklungsfehler: vergessenes Escaping, String-Konkatenation in SQL, ein fehlender Autorisierungs-Check. Kein Framework verdeckt sie.
Der Zyklus
Drei Schritte pro Schwachstelle
Jede Schwachstelle wird zu einer „Station“. Pro Station durchläufst du denselben dreistufigen Zyklus: das Muster, das danach in deinem Arbeitsalltag bleibt.
Capture the Flag
Finde und exploite die Lücke von Hand, um den Angriffsvektor wirklich zu verstehen.
Reproduzieren
Formuliere die Sicherheitsanforderung als PHPUnit-Test. Gegen den verwundbaren Code ist er rot.
phpunit → FAILEDBeheben & Absichern
Ändere den Code, bis der Test grün ist. Er bleibt als Regressionsschutz erhalten.
phpunit → OKFür wen
Erfahrene PHP-Entwickler:innen
Du nimmst mit
- Ein wiederverwendbares Muster: Sicherheitsanforderung = Test
- Sicheres Erkennen der häufigsten Schwachstellenklassen im eigenen Code
- Die richtige Testebene wählen: Unit Test, wenn die Lücke in einer Klasse sitzt, oder integrativ, wenn sie erst an der Anwendungsgrenze entsteht
- Eine Sammlung Security-Tests als Regressionsschutz, die du direkt adaptieren kannst
Du bringst mit
- Solide PHP-Kenntnisse und Erfahrung mit objektorientiertem Code
- Du hast schon Tests mit PHPUnit geschrieben
- Eine lokale Umgebung mit PHP und Composer
- Neugier auf den Angreifer-Blick, Vorwissen in Security ist nicht nötig
Dein Trainer
Sebastian Bergmann
Sebastian ist der Schöpfer von PHPUnit, dem De-facto-Standard für das Testen von PHP-Code. Als Berater, Trainer und Mitgründer von thePHP.cc hilft er seit über zwei Jahrzehnten Teams dabei, wartbare, gut getestete Software zu bauen.
In dieser Schulung führt er dich nicht durch Folien, sondern durch echten verwundbaren Code. Du lernst, wie aus einem Exploit ein Test wird, der bleibt.
Anmeldung
Vier interaktive Live-Sitzungen zu je zwei Stunden als Zoom-Meeting. Kleine Gruppe, echter Code, deine Fragen.
Nächster Termin: