Varje laboration följer samma pedagogiska slinga i fem delar. Slingan är själva poängen med häftet: att se en svaghet utan att förstå varför den finns ger ingen varaktig kunskap, och att lära sig en försvarsmekanism utan att ha sett vad den skyddar mot ger ingen förståelse för varför den är utformad som den är.

A. Observera – Se svagheten i verkligheten, i en avsedd övningsmiljö. B. Analysera – Hitta grundorsaken i koden eller konfigurationen. Varför uppstår problemet? C. Försvara – Bygg motåtgärden. Detta är den tyngsta delen i varje laboration. D. Verifiera – Bekräfta att åtgärden faktiskt fungerar och att funktionaliteten är intakt. E. Dokumentera – Skriv upp fyndet som i ett riktigt uppdrag.

Om Del A: De praktiska angreppsmomenten genomförs via de plattformar som är byggda för ändamålet — DVWA, OWASP Juice Shop, PortSwigger Web Security Academy och TryHackMe. Dessa har egna guidade, pedagogiska genomgångar i sanktionerade miljöer, med inbyggda säkerhetsnivåer och facit. Häftet hänvisar till dem i stället för att duplicera dem, och lägger i stället tyngdpunkten på analys- och försvarsdelen, där kursledarens värde är som störst.

Tre absoluta regler

1. Allt arbete sker i din egen isolerade labbmiljö eller på de nämnda övningsplattformarna. Aldrig mot system du inte äger eller har uttryckligt, skriftligt tillstånd att testa.
2. Labbet ska vara nätverksisolerat. Ett labb som av misstag når ut på internet eller ett produktionsnät kan orsaka verklig skada och verkligt juridiskt ansvar.
3. Medvetet sårbara applikationer får aldrig exponeras mot internet. De är konstruerade för att vara lätta att ta över, och upptäcks inom minuter om de är nåbara utifrån.

Rekommenderat upplägg

Laborationerna är ordnade i stigande svårighetsgrad och bygger på varandra. Lab 0 är obligatoriskt först. Lab 1–2 ger grundförståelse för trafik och verktyg. Lab 3–7 behandlar applikations- och konfigurationssäkerhet. Lab 8–9 växlar till försvarsperspektivet (blue team). Lab 10 knyter ihop allt. Räkna med 1,5–3 timmar per laboration.

---

Every lab follows the same five-part teaching loop. The loop is the whole point of the workbook: seeing a weakness without understanding why it exists produces no lasting knowledge, and learning a defense mechanism without having seen what it protects against produces no understanding of why it is designed the way it is.

A. Observe – See the weakness for real, in a purpose-built practice environment. B. Analyze – Find the root cause in the code or configuration. Why does the problem exist? C. Defend – Build the countermeasure. This is the heaviest part of every lab. D. Verify – Confirm the fix actually works and that functionality is intact. E. Document – Write the finding up as you would in a real engagement.

About Part A: The hands-on attack steps are carried out through platforms built for that purpose — DVWA, OWASP Juice Shop, PortSwigger Web Security Academy and TryHackMe. These provide their own guided, educational walkthroughs in sanctioned environments, with built-in difficulty levels and solutions. The workbook points to them rather than duplicating them, and instead puts its weight on the analysis and defense work, where an instructor adds the most value.

Three absolute rules

1. All work happens in your own isolated lab or on the practice platforms named above. Never against systems you do not own or do not have explicit, written authorization to test.
2. The lab must be network-isolated. A lab that accidentally reaches the internet or a production network can cause real damage and real legal liability.
3. Deliberately vulnerable applications must never be exposed to the internet. They are built to be easy to take over, and they are found within minutes if reachable from outside.

Suggested sequence

The labs increase in difficulty and build on each other. Lab 0 is mandatory first. Labs 1–2 establish traffic and tooling fundamentals. Labs 3–7 cover application and configuration security. Labs 8–9 switch to the defender's perspective (blue team). Lab 10 ties everything together. Budget 1.5–3 hours per lab.

---