Secure coding in C++ with Claude Code

This course provides a comprehensive insight into the responsible use of generative AI in coding. Participants delve into topics in software development that are most likely to be impacted by careless use of generative AI, including authentication, authorization, and cryptography. The curriculum also includes an analysis of how Claude Code handle secure coding practices related to key vulnerabilities outlined in the OWASP Top Ten, such as path traversal, SQL injection, or cross-site scripting.

Generative AI is transforming the software industry, with tools like Claude Code, enabling developers to achieve unprecedented levels of efficiency. While this is exciting progress, it also raises important concerns, encouraging stakeholders to approach these technologies with care. Current AI tools often lack the nuanced understanding necessary to address subtle, yet critical aspects of software development, particularly in the domain of security.

Through hands-on learning and experimenting, participants will get a solid understanding of both the strengths and limitations of AI-assisted development. In addition, case studies of real-world incidents showcase the consequences of insecure code and demonstrate the dual nature of generative AI as both a resource and a potential risk.

At a glance
  • 29 labs
  • 8 case studies
  • Standards & references: SEI CERT, CWE and Fortify Taxonomy

Course goal

By the end of the course, developers will be equipped with the knowledge and skills to integrate AI tools into the software development lifecycle responsibly, enhancing efficiency without compromising security or product quality.

Skills gained
  • Understanding the essentials of responsible AI
  • Getting familiar with essential cyber security concepts
  • Correctly implementing various security features
  • Identify vulnerabilities and their consequences
  • Learn the security best practices in C and C++
  • Managing vulnerabilities in third party components
  • Input validation approaches and principles
  • All this put into the context of Claude Code  

Prerequisites

  General C++ and C development  

Target audience

  C and C++ developers using Claude Code  

 

 See all courses in this subject area

 

Course Outline:

  • Coding responsibly with Claude Code
  • Memory management vulnerabilities
  • Memory management hardening
  • Common software security weaknesses
  • Using vulnerable components
  • Wrap up

Course contents:

Day 1

Coding responsibly with Claude Code

Memory management vulnerabilities

  • Assembly basics and calling conventions
    • x64 assembly essentials
    • Registers and addressing
    • Most common instructions
    • Calling conventions on x64
    • Calling convention – what it is all about
    • Calling convention on x64
    • The stack frame
    • Stacked function calls
  • Buffer overflow
    • Memory management and security
    • Buffer security issues
    • Buffer overflow on the stack
      • Buffer overflow on the stack – stack smashing
      • Exploitation – Hijacking the control flow
        • Demonstration – Buffer overflow 101, code reuse
    • Exploitation – Arbitrary code execution
    • Injecting shellcode
      • Demonstration – Code injection, exploitation with shellcode
    • Case study – Stack BOF in FriendlyName handling of the Wemo Smart Plug
    • Pointer manipulation
      • Modification of jump tables
      • Overwriting function pointers
  • Best practices and some typical mistakes
    • Unsafe functions
    • Dealing with unsafe functions
    • Demonstration – Fixing buffer overflow
    • Using std::string in C++
    • Unterminated strings
    • readlink() and string termination
    • Manipulating C-style strings in C++
    • Malicious string termination
    • Lab – String termination confusion
    • String length calculation mistakes

Day 2

Memory management hardening

  • Securing the toolchain
    • Securing the toolchain in C++
    • Using FORTIFY_SOURCE
    • Demonstration – Effects of FORTIFY
    • AddressSanitizer (ASan)
      • Using AddressSanitizer (ASan)
        • Demonstration – Using AddressSanitizer
    • Stack smashing protection
      • Detecting BoF with a stack canary
      • Argument cloning
      • Stack smashing protection on various platforms
      • SSP changes to the prologue and epilogue
        • Demonstration – Effects of stack smashing protection
  • Runtime protections
    • Runtime instrumentation
    • Address Space Layout Randomization (ASLR)
      • ASLR on various platforms
        • Demonstration – Effects of ASLR
      • Circumventing ASLR – NOP sleds
    • Non-executable memory areas
      • The NX bit
      • Write XOR Execute (W^X)
      • NX on various platforms
        • Demonstration – Effects of NX
      • NX circumvention – Code reuse attacks
        • Return-to-libc / arc injection
      • Return Oriented Programming (ROP)
        • Protection against ROP
        • Case study – Systematic exploitation of a MediaTek buffer overflow

Common software security weaknesses

  • Security features
  • Code quality
    • Code quality and security
    • Data handling
      • Type mismatch
      • Lab – Type mismatch
      • Initialization and cleanup
        • Constructors and destructors
        • Initialization of static objects
        • Demonstration – Initialization cycles
      • Unreleased resource
        • Array disposal in C++
        • Lab – Mixing delete and delete[]
    • Object oriented programming pitfalls
      • Inheritance and object slicing
      • Implementing the copy operator
      • The copy operator and mutability
      • Mutability
        • Mutable predicate function objects
          • Demonstration – Mutable predicate function object

Using vulnerable components

  • Security of AI generated code
    • Practical attacks against code generation tools
    • Dependency hallucination via generative AI
    • Case study – Agentic coding and code security (mid-2025 onward)

Day 3

Common software security weaknesses

  • Input validation
    • Input validation principles
    • Denylists and allowlists
    • What to validate – the attack surface
    • Where to validate – defense in depth
    • When to validate – validation vs transformations
    • Injection
      • Code injection
        • OS command injection
          • Lab – Command injection
        • OS command injection best practices
        • Avoiding command injection with the right APIs
          • Demonstration – Command injection best practices
        • Lab – Experimenting with command injection in Claude Code
        • Case study – Command injection in Zyxel IKE packet decoder
    • Integer handling problems
      • Representing signed numbers
      • Integer visualization
      • Integer promotion
      • Integer overflow
        • Demonstration – Integer overflow
      • Lab – Experimenting with integer overflow in Claude Code
      • Case study – Integer underflows in IPv6 handling of tcpip.sys
      • Signed / unsigned confusion
      • Case study – Signed/unsigned confusion DoS in DrayTek Vigor routers
        • Lab – Signed / unsigned confusion
      • Lab – Experimenting with signed / unsigned confusion in Claude Code
      • Integer truncation
        • Lab – Integer truncation
      • Lab – Experimenting with integer truncation in Claude Code
      • Best practices
        • Upcasting
        • Precondition testing
        • Postcondition testing
        • Using big integer libraries
        • Best practices in C
        • UBSan changes to arithmetics
          • Demonstration – Handling integer overflow on the toolchain level in C++
        • Best practices in C++
          • Demonstration – Integer handling best practices in C++
        • Case study – Integer check failure in Skia
    • Files and streams
      • Path traversal
        • Demonstration – Path traversal
      • Path traversal-related examples
      • Case study – File spoofing in WinRAR
      • Virtual resources
      • Path traversal best practices
        • Demonstration – Path canonicalization
      • Lab – Experimenting with path traversal in Claude Code
    • Format string issues
      • The problem with printf()
        • Demonstration – Exploiting format string

Wrap up

  • Secure coding principles
    • Principles of robust programming by Matt Bishop
    • Secure design principles of Saltzer and Schroeder
  • And now what?
    • Software security sources and further reading
    • C and C++ resources
    • Generative AI – Resources and additional guidance

FAQ – Secure coding in C++ with Claude Code

Hva koster kurset?
Prisen er 29 500 NOK ekskl. mva. Kurset inkluderer digital kursdokumentasjon og hands-on labs. Lunsj og forfriskninger er inkludert ved klasseromskurs.

Hvor lenge varer kurset?
Kurset varer i tre dager, og gjennomføres fra kl. 09.00 til 17.00.

Hvordan gjennomføres kurset?
Kurset kan gjennomføres fysisk eller online. Undervisningen kombinerer faglig gjennomgang, demonstrasjoner, praktiske laboratorieøvelser og case-studier fra virkelige sikkerhetshendelser. 

Hvem passer kurset for?
Kurset passer for C- og C++-utviklere som bruker Claude Code og ønsker å utvikle sikrere programvare. Det er særlig relevant for utviklere som vil forstå hvordan de kan vurdere og forbedre sikkerheten i AI-generert kode.

Hvilke forkunnskaper kreves?
Du bør ha generell erfaring med utvikling i C og C++. Kurset bygger videre på denne kunnskapen med sikkerhetsprinsipper, praktiske øvelser og bruk av Claude Code.

Må jeg ha erfaring med sikkerhet eller Claude Code fra før?
Kursbeskrivelsen oppgir generell C- og C++-utvikling som forkunnskapskrav. Det er ikke oppgitt egne krav til sikkerhetskompetanse eller et bestemt erfaringsnivå med Claude Code, men målgruppen er utviklere som bruker verktøyet.

Hva lærer jeg i løpet av kurset?
Du lærer å bruke Claude Code på en ansvarlig måte i utviklingsarbeidet, med vekt på sikkerhet og kodekvalitet. Etter kurset vil du kunne:

  • Forstå sentrale sikkerhetsbegreper og prinsipper for ansvarlig bruk av AI

  • Identifisere sårbarheter i C- og C++-kode og forstå konsekvensene

  • Bruke anbefalte metoder for sikker programmering i C og C++

  • Implementere sikkerhetsfunksjoner med større forståelse for vanlige fallgruver

  • Validere inndata og forebygge vanlige angrep

  • Forstå og håndtere risiko ved sårbare tredjepartskomponenter

  • Vurdere styrker og begrensninger ved AI-assistert utvikling

Er kurset praktisk rettet?
Ja. Kurset inneholder 29 laboratorieøvelser og 8 case-studier, i tillegg til demonstrasjoner. Du arbeider blant annet med command injection, heltallsfeil og path traversal, og undersøker hvordan Claude Code håndterer slike sikkerhetsutfordringer.

Hvilke temaer dekkes i kurset?
Kurset dekker blant annet:

  • Ansvarlig bruk av Claude Code i programvareutvikling

  • Minnehåndtering, buffer overflow og usikre strengoperasjoner

  • Sikkerhetstiltak i verktøykjeden og beskyttelse under kjøring

  • Autentisering og sikker passordhåndtering

  • Kodekvalitet, ressursopprydding og fallgruver i objektorientert C++

  • Validering av inndata og command injection

  • Integer overflow, fortegnsfeil og trunkering

  • Path traversal og formatstrengsårbarheter

  • Sårbare komponenter og risiko ved AI-genererte avhengigheter

Hvordan brukes Claude Code i kurset?
Claude Code inngår i praktiske eksperimenter der du undersøker hvordan verktøyet håndterer sikkerhetsrelevante kodeoppgaver. Du arbeider blant annet med command injection, integer overflow, signed/unsigned-feil, integer truncation og path traversal. Målet er å forstå både hva verktøyet kan bidra med, og hvor det kreves kritisk vurdering fra utvikleren.

Lærer jeg å oppdage sikkerhetsfeil i AI-generert kode?
Ja. Kurset setter vanlige sårbarheter og sikker programmering inn i en kontekst med Claude Code. Gjennom øvelser og demonstrasjoner lærer du å identifisere feil og forstå hvorfor AI-generert kode må vurderes med samme oppmerksomhet på sikkerhet som annen kode.

Dekker kurset minnesikkerhet i C og C++?
Ja. Minnesikkerhet er en sentral del av kurset. Du lærer om buffer overflow, pekerhåndtering, usikre funksjoner og feil ved strenghåndtering. Kurset tar også for seg tiltak som AddressSanitizer, stack canaries, ASLR og ikke-kjørbare minneområder, samt begrensninger ved disse beskyttelsene.

Hvilke verktøy og beskyttelsesmekanismer blir gjennomgått?
I tillegg til Claude Code gjennomgår kurset blant annet FORTIFY_SOURCE, AddressSanitizer (ASan), UndefinedBehaviorSanitizer (UBSan), stack smashing protection, Address Space Layout Randomization (ASLR) og NX/W^X. Du får se hvordan slike mekanismer kan bidra til å oppdage feil eller gjøre sårbarheter vanskeligere å utnytte.

Lærer jeg om risiko ved biblioteker og avhengigheter som AI foreslår?
Ja. Kurset tar opp sårbare tredjepartskomponenter og «dependency hallucination», der generativ AI foreslår avhengigheter som ikke finnes. Du får også innsikt i praktiske angrep mot kodegenereringsverktøy og sikkerhetsutfordringer ved AI-generert kode.

Er kurset relevant hvis jeg hovedsakelig utvikler i C?
Ja. Målgruppen omfatter både C- og C++-utviklere. Flere temaer gjelder begge språkene, blant annet minnehåndtering, strenghåndtering, heltallsfeil og validering av inndata. Kurset inneholder også egne C++-temaer, som konstruktører, destruktører og objektorienterte fallgruver.

Hvilke standarder og referanser bygger kurset på?
Kurset viser til SEI CERT, Common Weakness Enumeration (CWE) og Fortify Taxonomy. Disse brukes som referanser for sikker programmering og klassifisering av programvaresvakheter.

Hva gjør dette kurset nyttig?
Kurset knytter konkrete sikkerhetsutfordringer i C og C++ til bruk av Claude Code. Du får praktisk erfaring med å identifisere sårbarheter, forstå konsekvensene og bruke beskyttelsestiltak. Dette gir et bedre grunnlag for å bruke AI-verktøy effektivt uten å gå på bekostning av sikkerhet og produktkvalitet.

Får jeg sertifisering etter kurset?
Dette kurset leder ikke til en offisiell sertifisering.

Kan kurset leveres bedriftsinternt?
Ja. Kurset kan leveres både som åpent kurs og som bedriftsinternt kurs.

Andre relevante kurs

Vil du lære mer om sikker utvikling og testing i C og C++? Disse kursene kan også være aktuelle:

Sikker utvikling med Claude Code i andre språk

Jobber du eller teamet ditt med flere programmeringsspråk? Disse kursene tar for seg sikker utvikling med Claude Code:

Sikker utvikling med GitHub Copilot i andre språk

Other relevant courses

AWS Security Essentials
24. November
1 days
Classroom Virtual
Security Engineering on AWS
25. November
3 days
Classroom Virtual
Secure Web Application Development and Testing for Devops
3 days
Classroom
Secure Web Application Development and Testing for Devops
3 days
Classroom