Автор вопроса
сем привет! Месяц назад я начал изучать методологию OWASP WSTG, так как хотел структурировать пентест, потому что до этого я максимум сканировал периметр сайта и проверял аутентификацию (account enumeration, rate limit, инъекции, не более), авторизацию (path traversal, IDOR, попытки расширения привилегий, поиски админских панелей с nuclei/фаззерами), манипуляцию куки (изменение параметров куки, их анализ), инъекции в поля ввода и на этом все. Начал изучать эту методологию, уже изучил много чего нового, хотя я прочитал полностью только 5 из 13 пунктов
Поэтому хотел спросить в сообществе, как должен проходить процесс обучения? Пока у меня он выглядит так:
изучаю подробно лекцию, стараюсь все понять и запомнить
потом делаю конспект лекции в ИИ (чтобы нейросеть сохранила все самое важное из статьи, чтобы я мог, если забуду, просто открыть и прочитать что и как)
иду практиковать в стф лабораториях
и после того как закончу блок (например, весь 5 блок, авторизация — 7 где-то лекций) - делаю анки карточки и повторяю их каждый день
Так как я только недавно понял, что надо закреплять пройденный материал в стф, я стал решать лаборатории по предыдущим темам (аутентификация, oauth, csrf и т. д. - сканирование периметра и авторизацию я и так нормально понимаю). Мне хочется узнать от профессионалов, нормально ли я обучаюсь? То есть нормальный ли план: изучение статьи (задаю много вопросов ИИ) — конспектирование с ИИ — решение стф лабораторий — по окончанию блока делать анки карточки — закрепление анки карточками? Или излишне много?
И еще вопрос — хорошая ли практика делать стф с ИИ? Например, я сейчас решал лабораторию 2FA bypass using a brute-force attack (уровень эксперт). Лаборатория заключается в том, что на сайте есть защита - csrf token, поэтому, для того чтобы сделать брутфорс 4-значного кода, надо было в брутфорсе отправить GET и POST запрос: GET - получение csrf токена, POST - сам брутфорс. Я понял, что надо делать это в турбо интрудере, но код на питоне написать не смог; я знаю основы питона - циклы, переменные, срезы, операции с list, ООП (только функции помню, так как давно изучал питон), но не знаю библиотеки, на которых строится турбо интрудер. Поэтому я решил сделать с помощью ИИ. Чтобы просто не "вайбхакать", я решил начать вести заметки тем, которые я должен изучить. Вот так это выглядит:
Так вот, последний вопрос: в какой последовательности мне сейчас продолжать изучать пентест? Типа мне все эти выписанные темы изучать вместе с изучением методологии, или уже после того как все прочитаю, начать проходить эти темы?
Поэтому хотел спросить в сообществе, как должен проходить процесс обучения? Пока у меня он выглядит так:
изучаю подробно лекцию, стараюсь все понять и запомнить
потом делаю конспект лекции в ИИ (чтобы нейросеть сохранила все самое важное из статьи, чтобы я мог, если забуду, просто открыть и прочитать что и как)
иду практиковать в стф лабораториях
и после того как закончу блок (например, весь 5 блок, авторизация — 7 где-то лекций) - делаю анки карточки и повторяю их каждый день
Так как я только недавно понял, что надо закреплять пройденный материал в стф, я стал решать лаборатории по предыдущим темам (аутентификация, oauth, csrf и т. д. - сканирование периметра и авторизацию я и так нормально понимаю). Мне хочется узнать от профессионалов, нормально ли я обучаюсь? То есть нормальный ли план: изучение статьи (задаю много вопросов ИИ) — конспектирование с ИИ — решение стф лабораторий — по окончанию блока делать анки карточки — закрепление анки карточками? Или излишне много?
И еще вопрос — хорошая ли практика делать стф с ИИ? Например, я сейчас решал лабораторию 2FA bypass using a brute-force attack (уровень эксперт). Лаборатория заключается в том, что на сайте есть защита - csrf token, поэтому, для того чтобы сделать брутфорс 4-значного кода, надо было в брутфорсе отправить GET и POST запрос: GET - получение csrf токена, POST - сам брутфорс. Я понял, что надо делать это в турбо интрудере, но код на питоне написать не смог; я знаю основы питона - циклы, переменные, срезы, операции с list, ООП (только функции помню, так как давно изучал питон), но не знаю библиотеки, на которых строится турбо интрудер. Поэтому я решил сделать с помощью ИИ. Чтобы просто не "вайбхакать", я решил начать вести заметки тем, которые я должен изучить. Вот так это выглядит:
Так вот, последний вопрос: в какой последовательности мне сейчас продолжать изучать пентест? Типа мне все эти выписанные темы изучать вместе с изучением методологии, или уже после того как все прочитаю, начать проходить эти темы?
