Привет, сообщество!
Считаю хорошим тоном оставить на форуме отзыв о прохождении небезызвестного курса WAPT по пентесту веб-приложений от команды CODEBY. Курс достался мне бесплатно за победу в зимнем конкурсе, поэтому полагаю, что мое мнение можно считать максимально непредвзятым. За скриншотами и более подробным описанием программы я направлю вас ознакомиться с детальным обзором от @clevergod (хоть мы и были в разных потоках), а здесь же я постараюсь кратко дать свои личные впечатления после завершения обучения и сдачи экзамена.
Обучение
Чтобы сразу поставить точки над i: курс мне очень понравился, и я действительно считаю, что в ru-сегменте подобных программ очень немного. Что в нем особенного? Все просто: это тот редкий случай, когда курс сможет и правда чему-то научить, а не просто выдаст тебе методичку с пошаговым прохождением практических лабораторий. Знания, как бы банально это звучало, добываются исследованием, но никак не зубрежкой. Методические материалы, разумеется, будут, однако в них ты найдешь только базу — остальное будь любезен поресерчить самостоятельно.
Из крайнего суждения следует такой вполне себе логичный вывод: курс WAPT далеко не простой. Это накладывает определенные рамки на пороговый уровень скила, которым желательно обладать обучающемуся. Я бы сказал, что учебная программа рассчитана на твердо уверенного в себе новичка-безопасника, который может бегло использовать никсовую консоль, знает, как пофиксить недостающие зависимости к питонячему софту, в курсе об основных концепциях веб-мира и общих механизмах атак. На мой взгляд, при таком раскладе входных данных будет получен максимальный импакт от обучения: совсем без базы будет трудно, а сильно перекаченные личности временами могут заскучать.
О структуре самой программы: есть 5 основных веток обучения (разделы с базовой теорией и обустройством рабочего места не берем). Это:
фолианты маны. Для этого курса я ограничился однофайловым конспектом в
Рис. 1. Оглавление конспекта для некоторых тасков
Второй важный момент: старайся брать таски разными способами. Для многих задач, как и в реальной жизни, существует не единственное решение, поэтому пока есть возможность для практики, лучше воспользоваться ей и потраить разные векторы атак. Ведь зачастую это и тяготит душу хакера — отсутствие раздолья для удовлетворения своего любопытства. В этом преимущество CTF-площадок и таких курсов — здесь можно все (ну почти, хих).
И еще одно: старайся меньше пользоваться тулзами для автоматизации (по крайней мере, в качество единственного решения). Уметь юзать скульмап — хорошо, однако в жизни, чаще всего скульмап не выстрелит из коробки, а чтобы его подкрутить, нужно уверенно знать мат. часть.
За 3 месяца обучения я провел в практике около 5 дней чистого времени, взял все таски и изрядно повеселился (см. Рис. 2), чего и всем рекомендую.
Рис. 2. TOP-10 ближе к завершению курса
Экзамен
На экзамен отведено 24 часа. Для того, чтобы сдать, за это время нужно набрать 8 баллов из базового раздела (8 тасков по 1 баллу и 3 таска по 2 балла) и 6 баллов из раздела повышенной сложности (4 таска по 2 балла и 1 таск за 4 балла). Я начал в полдень субботы и к 7 часам вечера у меня уже был необходимый минимум, однако я решил не останавливаться и забрать все флаги. Как верно подметил @clevergod, после продолжительного времени непрерывной работы, думать становится намного тяжелее, поэтому на тот день я решил закончить, а с утра сделал все, что оставалось нерешенным.
На мой взгляд, экзамен не очень трудный. Возможно, из-за того, что на него отводятся целые сутки. Главное — рационально рассчитать время на каждую таску и стараться не отходить от намеченного плана.
Также еще два важных совета (да не сочтут их за спойлеры):
Чтобы не повторяться, буду краток: WAPT — огонь, огромное спасибо команде в целом и @BadBlackHat в частности за возможность этого экспириенса. Уже положил глаз на бинарный сплоитинг, который стартует в 2021. Не подскажите, когда планируется следующий конкурс?
Считаю хорошим тоном оставить на форуме отзыв о прохождении небезызвестного курса WAPT по пентесту веб-приложений от команды CODEBY. Курс достался мне бесплатно за победу в зимнем конкурсе, поэтому полагаю, что мое мнение можно считать максимально непредвзятым. За скриншотами и более подробным описанием программы я направлю вас ознакомиться с детальным обзором от @clevergod (хоть мы и были в разных потоках), а здесь же я постараюсь кратко дать свои личные впечатления после завершения обучения и сдачи экзамена.
Обучение
Чтобы сразу поставить точки над i: курс мне очень понравился, и я действительно считаю, что в ru-сегменте подобных программ очень немного. Что в нем особенного? Все просто: это тот редкий случай, когда курс сможет и правда чему-то научить, а не просто выдаст тебе методичку с пошаговым прохождением практических лабораторий. Знания, как бы банально это звучало, добываются исследованием, но никак не зубрежкой. Методические материалы, разумеется, будут, однако в них ты найдешь только базу — остальное будь любезен поресерчить самостоятельно.
Из крайнего суждения следует такой вполне себе логичный вывод: курс WAPT далеко не простой. Это накладывает определенные рамки на пороговый уровень скила, которым желательно обладать обучающемуся. Я бы сказал, что учебная программа рассчитана на твердо уверенного в себе новичка-безопасника, который может бегло использовать никсовую консоль, знает, как пофиксить недостающие зависимости к питонячему софту, в курсе об основных концепциях веб-мира и общих механизмах атак. На мой взгляд, при таком раскладе входных данных будет получен максимальный импакт от обучения: совсем без базы будет трудно, а сильно перекаченные личности временами могут заскучать.
О структуре самой программы: есть 5 основных веток обучения (разделы с базовой теорией и обустройством рабочего места не берем). Это:
- Пассивный сбор информации;
- Активный фаззинг;
- Уязвимости;
- СИ (социалочка);
- Пост-эксплуатация.
- SQLi;
- XXE;
- CMDi;
- SSTi;
- PHPi + LFI/RFI;
- Системные уязы (читай «использование публичных сплоитов»);
- Обход авторизации;
- Мисконфиги;
- Client-side (XSS, CSTi).
.md (см. Рис. 1), однако дерево в CherryTree тоже очень хорошее решение.
Рис. 1. Оглавление конспекта для некоторых тасков
Второй важный момент: старайся брать таски разными способами. Для многих задач, как и в реальной жизни, существует не единственное решение, поэтому пока есть возможность для практики, лучше воспользоваться ей и потраить разные векторы атак. Ведь зачастую это и тяготит душу хакера — отсутствие раздолья для удовлетворения своего любопытства. В этом преимущество CTF-площадок и таких курсов — здесь можно все (ну почти, хих).
И еще одно: старайся меньше пользоваться тулзами для автоматизации (по крайней мере, в качество единственного решения). Уметь юзать скульмап — хорошо, однако в жизни, чаще всего скульмап не выстрелит из коробки, а чтобы его подкрутить, нужно уверенно знать мат. часть.
За 3 месяца обучения я провел в практике около 5 дней чистого времени, взял все таски и изрядно повеселился (см. Рис. 2), чего и всем рекомендую.
Рис. 2. TOP-10 ближе к завершению курса
Экзамен
На экзамен отведено 24 часа. Для того, чтобы сдать, за это время нужно набрать 8 баллов из базового раздела (8 тасков по 1 баллу и 3 таска по 2 балла) и 6 баллов из раздела повышенной сложности (4 таска по 2 балла и 1 таск за 4 балла). Я начал в полдень субботы и к 7 часам вечера у меня уже был необходимый минимум, однако я решил не останавливаться и забрать все флаги. Как верно подметил @clevergod, после продолжительного времени непрерывной работы, думать становится намного тяжелее, поэтому на тот день я решил закончить, а с утра сделал все, что оставалось нерешенным.
На мой взгляд, экзамен не очень трудный. Возможно, из-за того, что на него отводятся целые сутки. Главное — рационально рассчитать время на каждую таску и стараться не отходить от намеченного плана.
Также еще два важных совета (да не сочтут их за спойлеры):
- Таск «Обойди с обратной стороны» — обязателен для прохождения в процессе обучения, это поможет вам на экзамене.
- Перед тем, как назначать дату экзамена, очень рекомендую обзавестись VPS'кой — ловить бэк-коннекты станет в разы удобнее, чем редиректить трафик через какой-нибудь ngrok или вовсе обходиться веб-шеллами.
Чтобы не повторяться, буду краток: WAPT — огонь, огромное спасибо команде в целом и @BadBlackHat в частности за возможность этого экспириенса. Уже положил глаз на бинарный сплоитинг, который стартует в 2021. Не подскажите, когда планируется следующий конкурс?
Последнее редактирование:
