Всех приветствую, я новичок в пентесте, на данный момент усиленно им занимаюсь уже чуть больше месяца, за жто время прошел модуль thm cyber security 101, и сейчас начал следующий модуль jr. Pentester на thm. Я хочу дальше специализироваться на web пентесте и поэтому дальше postswigger буду использовать для обучения ( или лучше сейчас уже с него начинать? ) Пробовал уже некоторые комнаты ковырять из категории легких, но у меня получается их решить не за 30 минут, как написано на thm, а часа за 3 и то с подсказками. И складывается впечатление, что я что-то не так делаю в плане обучения. Поэтому хочу спросить у тех кто уже прошел путь новичка, как на старте проходить лабы и комнаты. С подсказками или без?
Какие советы на старте можете дать, которые могут помочь на старте?

Еще добавлю: я стараюсь заниматься каждый день по 4 часа иногда меньше. Но ощущение будто я стою на месте и ничего не узнаю. Еще есть ощущение, что я просто тупо учу теорию и мне как-будто нужна практика, а когда сажусь за ctf легкие, то мои знания либо куда улетучиваются, либо я не знаю как их применить либо как их аккумулировать вместе, чтобы применить комплексно. Что мне делать? Подскажите пожалуйста

В общем и целом, буду благодарен за обратную связь!)

 

Ответ по материалам форума

• Сразу определись с направлением и не распыляйся. Ты уже выбрал веб-пентест — придерживайся этого. Попытка учить всё подряд приводит к тому, что обрастаешь базовыми знаниями, но не погружаешься глубже. Это подтверждённая ошибка, которая стоила участнику 1.5 года. (#420921)
• PortSwigger (от создателей Burp Suite) — рекомендуемый ресурс именно для веб-уязвимостей. Там есть лабы по теории, очень удобно. Можно начинать с него параллельно с THM, раз ты уже нацелился на веб. (#368376)
• Для знакомства с веб-пентестом полезно скачать тестовую виртуальную машину с уязвимостями и самому пробовать, щупать руками. Это даёт практику, которой тебе не хватает, и помогает понять, интересно ли это и что нужно учить дальше. (#384595)
• Разберись в основных типах уязвимостей, их классификации, научись раскручивать уязвимости вручную (без автоматических сканеров). Одними программами пентест не сделать — нужно понимать суть уязвимости. (#380792)
• То, что лабы занимают 3 часа вместо 30 минут — нормально на старте. Использование подсказок на начальном этапе допустимо, главное — не просто копировать решение, а разбираться в каждом шаге. Чем дальше двигаешься, тем сложнее всё даётся — это нормальная часть процесса. (#420921)
• Учи английский прямо сейчас, если с ним проблемы. Это критично для трудоустройства и для доступа к основной массе материалов. Участник форума назвал это грубой ошибкой, которая потом стоила ему год. (#420921)
• Рассмотри курс WAPT (тестирование веб-приложений на проникновение) от Codeby как структурированный путь обучения веб-пентесту. (#380792, #395952)

Автоматический ответ, собранный AI из отмеченных сообщений форума Codeby. Проверьте информацию по ссылкам-первоисточникам перед применением.

 

не переживай так из-за сложности, если тебе сложно, значит ты на правильном пути и ты учишься, если что-то дается очень легко значит ты просто повторяешь изученное. просто не бросай это дело и старайся балансировать теорию с практикой. если кажется что стоишь на месте попробуй нарисовать дерево навыков связанное с веб-пентестом (lfi, jwt, idor, sql..) и когда что-то пройдешь на портсвиггере закрашивай ветку, это поможет мозгу визуализировать прогресс.

 

Спасибо большое. А то я уже начал переживать. А идея с веткой крутая. Сделаю так!

 

Брат, удачи! Зарегистрируйся на следующую имбу: pwn.college. Там бесплатные тачки с задачами после вводной теории. Особенность тут в том, что задачи последовательные по сложности + на многие нет writeup'ов, так что не будет соблазна подсмотреть правильный ответ. Как пройдешь базу, иди на standoff365, там будут задачи, над которыми прям нужно хорошо подумать и потратить дни на поиск ответа

 

спасибо большое!

 

не переживай так из-за сложности, если тебе сложно, значит ты на правильном пути и ты учишься, если что-то дается очень легко значит ты просто повторяешь изученное. просто не бросай это дело и старайся балансировать теорию с практикой. если кажется что стоишь на месте попробуй нарисовать дерево навыков связанное с веб-пентестом (lfi, jwt, idor, sql..) и когда что-то пройдешь на портсвиггере закрашивай ветку, это поможет мозгу визуализировать прогресс.

пообщавшись с ИИ получился вот-такой результат)

может кому-то на будущее пригодится)

 

может кому-то на будущее пригодится)

Лучше вставить изображение прямо в сообщение, а не вложением

 

изменил, спасибо!

 

изменил, спасибо!

Супер!