HTTP の基礎と診断の準備から、認証とセッション、注入（SQLi）、XSS・CSRF などクライアント側の問題、アクセス制御とロジックの不備、API まで。全30レッスンで、代表的な Web の脆弱性が生まれる理由・見つけ方・直し方を学びます。例と演習はすべて架空の「株式会社サンプル」と、自分のローカルラボだけを対象にします。
全30レッスンを6つの章に分けています。第1章から順に進めるのがおすすめですが、 気になるところだけ拾い読みしてもかまいません。 ※ 攻撃の例は、脆弱性の仕組みと直し方を理解するためのものです。試すのは、自分で立てた練習環境や同意のうえで用意されたセキュリティトラックのラボだけにしてください。
Web 診断は、許可の確認と HTTP の読み方から始まります。この章では、準備・HTTP の基礎・プロキシでの観察・アプリの全体像のつかみ方を押さえます。
「誰であるか」を確かめ、その状態を保つ仕組みは、Web の弱点が集まりやすい場所です。この章では、認証・セッション・パスワードの保存・多要素と認可の基礎を学びます。
利用者の入力を信じたまま処理すると、注入（インジェクション）が生まれます。この章では、入力検証の原則と、SQL・コマンド・テンプレートへの注入と、その塞ぎ方を学びます。
ブラウザ側で起きる問題は、利用者を直接巻き込みます。この章では、XSS・CSRF・CORS・セキュリティヘッダを、仕組みと対策の両面から学びます。
「できるはずのないこと」ができてしまう不備は、ツールでは見つけにくいものです。この章では、アクセス制御の不備・ファイルアップロード・ビジネスロジックの欠陥を学びます。
API は現代の Web の中心で、独自の注意点があります。この章では、API 診断・トークンと JWT・レート制限を学び、所見の記録と次フェーズへの引き継ぎで締めます。
全30レッスンを終えたら、次は 権限とアクセス制御の弱点コース へ進みます。見つけた問題を相手が直せる形で伝える書き方は 診断レポートの書き方コース で学べます。メンバーシップで全コースが解放されます。