Всех приветствую, я новичок в пентесте, на данный момент усиленно им занимаюсь уже чуть больше месяца, за жто время прошел модуль thm cyber security 101, и сейчас начал следующий модуль jr. Pentester на thm. Я хочу дальше специализироваться на web пентесте и поэтому дальше postswigger буду использовать для обучения ( или лучше сейчас уже с него начинать? ) Пробовал уже некоторые комнаты ковырять из категории легких, но у меня получается их решить не за 30 минут, как написано на thm, а часа за 3 и то с подсказками. И складывается впечатление, что я что-то не так делаю в плане обучения. Поэтому хочу спросить у тех кто уже прошел путь новичка, как на старте проходить лабы и комнаты. С подсказками или без?
Какие советы на старте можете дать, которые могут помочь на старте?

Еще добавлю: я стараюсь заниматься каждый день по 4 часа иногда меньше. Но ощущение будто я стою на месте и ничего не узнаю. Еще есть ощущение, что я просто тупо учу теорию и мне как-будто нужна практика, а когда сажусь за ctf легкие, то мои знания либо куда улетучиваются, либо я не знаю как их применить либо как их аккумулировать вместе, чтобы применить комплексно. Что мне делать? Подскажите пожалуйста

В общем и целом, буду благодарен за обратную связь!)

 

Ответ по материалам форума

• Сразу определись с направлением и не распыляйся. Ты уже выбрал веб-пентест — придерживайся этого. Попытка учить всё подряд приводит к тому, что обрастаешь базовыми знаниями, но не погружаешься глубже. Это подтверждённая ошибка, которая стоила участнику 1.5 года. (#420921)
• PortSwigger (от создателей Burp Suite) — рекомендуемый ресурс именно для веб-уязвимостей. Там есть лабы по теории, очень удобно. Можно начинать с него параллельно с THM, раз ты уже нацелился на веб. (#368376)
• Для знакомства с веб-пентестом полезно скачать тестовую виртуальную машину с уязвимостями и самому пробовать, щупать руками. Это даёт практику, которой тебе не хватает, и помогает понять, интересно ли это и что нужно учить дальше. (#384595)
• Разберись в основных типах уязвимостей, их классификации, научись раскручивать уязвимости вручную (без автоматических сканеров). Одними программами пентест не сделать — нужно понимать суть уязвимости. (#380792)
• То, что лабы занимают 3 часа вместо 30 минут — нормально на старте. Использование подсказок на начальном этапе допустимо, главное — не просто копировать решение, а разбираться в каждом шаге. Чем дальше двигаешься, тем сложнее всё даётся — это нормальная часть процесса. (#420921)
• Учи английский прямо сейчас, если с ним проблемы. Это критично для трудоустройства и для доступа к основной массе материалов. Участник форума назвал это грубой ошибкой, которая потом стоила ему год. (#420921)
• Рассмотри курс WAPT (тестирование веб-приложений на проникновение) от Codeby как структурированный путь обучения веб-пентесту. (#380792, #395952)

Автоматический ответ, собранный AI из отмеченных сообщений форума Codeby. Проверьте информацию по ссылкам-первоисточникам перед применением.