Referens: svaghet, försvar och plattformar
| Svaghetskategori | Grundorsak | Primärt försvar | Sekundärt lager |
|---|---|---|---|
| Okrypterad trafik | Protokoll utan kryptering | TLS 1.2+ med tvingande omdirigering | HSTS, Secure-kakor |
| Injektion | Kod och data blandas i en sträng | Parametriserade frågor | Minsta behörighet, validering |
| XSS | Utdata kodas inte för sitt sammanhang | Ramverkets escaping | CSP, HttpOnly |
| Svag autentisering | Snabb hashning, obegränsade försök | Argon2id/bcrypt, hastighetsbegränsning | MFA, läckagekontroll |
| Bruten åtkomstkontroll | Kontroll saknas på serversidan | Auktorisering i varje fråga | Neka som standard, tester |
| Felkonfiguration | Utvecklingsinställningar i drift | Härdningschecklista | Säkerhetshuvuden, patchrutin |
| Sen upptäckt | Loggar granskas inte | Strukturerad, central loggning | Larmregler, runbook |
| Plattform | Bäst för | Kostnad |
|---|---|---|
| PortSwigger Web Security Academy | Webbsårbarheter på djupet, utmärkt pedagogik | Gratis |
| TryHackMe | Nybörjarvänliga, guidade lärobanor | Gratis + betalnivå |
| Hack The Box | Mer utmanande, mindre handledning | Gratis + betalnivå |
| OWASP Juice Shop | Modern applikation, körs lokalt | Gratis |
| DVWA | Tydliga säkerhetsnivåer och källkodsvisning | Gratis |
Kontrollera alltid aktuella villkor och kostnader hos respektive plattform — de förändras över tid.
Allt praktiskt arbete i detta häfte förutsätter en isolerad labbmiljö eller en plattform avsedd för lagligt övande. Testa aldrig system du inte äger eller saknar uttryckligt, skriftligt tillstånd för. Innehållet bör ses över löpande i takt med att verktyg, ramverk och hotbild förändras.
Reference: weakness, defense and platforms
| Weakness category | Root cause | Primary defense | Secondary layer |
|---|---|---|---|
| Unencrypted traffic | Protocol without encryption | TLS 1.2+ with enforced redirect | HSTS, Secure cookies |
| Injection | Code and data mixed in one string | Parameterized queries | Least privilege, validation |
| XSS | Output not encoded for its context | Framework escaping | CSP, HttpOnly |
| Weak authentication | Fast hashing, unlimited attempts | Argon2id/bcrypt, rate limiting | MFA, breach-list checks |
| Broken access control | No server-side check | Authorization in every query | Deny by default, tests |
| Misconfiguration | Dev settings in production | Hardening checklist | Security headers, patch routine |
| Late detection | Logs not reviewed | Structured, central logging | Alert rules, runbook |
| Platform | Best for | Cost |
|---|---|---|
| PortSwigger Web Security Academy | Web vulnerabilities in depth, excellent pedagogy | Free |
| TryHackMe | Beginner-friendly guided learning paths | Free + paid tier |
| Hack The Box | More challenging, less hand-holding | Free + paid tier |
| OWASP Juice Shop | Modern application, runs locally | Free |
| DVWA | Clear security levels and source code view | Free |
Always check current terms and pricing with each platform — these change over time.
All hands-on work in this workbook assumes an isolated lab environment or a platform intended for lawful practice. Never test systems you do not own or lack explicit, written authorization for. Content should be reviewed over time as tools, frameworks and the threat landscape change.