С.
В.
Е.
— это сертификация продвинутого уровня, идеально подходящая для пентестеров и аудиторов веб-систем.
Это был один из самых тяжелых экзаменов в моей жизни: много здоровья осталось позади, из 48 часов мне удалось поспать 12 часов, и я даже не знал, что смогу так «выразиться».
Состояние было: «Хотел бы я умереть быстрее».
Но обо всем по порядку.
Что такое ОСВЕ
OSWE (Веб-эксперт по наступательной безопасности): Сертификация, разработанная известной компанией Наступательная безопасность (именно ей принадлежит разработка и поддержка Kali Linux).OSWE включает в себя курс AWAE; OSWE отдельно заказать нельзя, а ехать на сертификацию без практики нет смысла.
AWAE определенно не курс для новичков, поскольку он будет трудным.
Для кого предназначена сертификация и курс: — для ребят с опытом тестирования на проникновение, - для технарей и разработчиков, умеющих читать и отлаживать код. Сертификация стоит недешево – минимальный пакет 1400 долларов США.
Раньше этот курс можно было пройти только офлайн в рамках конференции.
Черная шляпа , но теперь они превратили это в онлайн-продукт. Все построено по принципу: специалисту предоставляется для анализа исходный код веб-системы, и через найденные в коде дыры ему необходимо перехватить контроль над живой системой.
Сертификат, кстати, выдается бессрочно и пожизненно, как говорят разработчики сертификации – если вы смогли пройти эту сертификацию, вы уже являетесь специалистом в этой области даже через 10 лет.
Что такое АВАЕ
Курс AWAE (продвинутые веб-атаки и эксплуатация) Никаких «Привет, мир», весь курс основан на реальных уязвимостях, зарегистрированных в CVE , в реальных проектах с открытым исходным кодом, которые довольно популярны.Эти уязвимости и даже эксплойты можно найти здесь — эксплойт-db.com или cvedetails.com Они предоставляют материалы и видео, в которых описываются уязвимости, способы их эксплуатации и пишутся эксплойты.
При подготовке выделяется личный VPN-доступ к тестовой среде, где уже все развернуто, ломайте его сколько хотите.
Весь материал лично подписан, так что в случае распространения или заливки на торренты можно было определить, кто оплошал и наказать, как минимум, отозвав действующий сертификат. Курс построен на достижении максимального эффекта от уязвимостей – Remote Code Execution (RCE), получении административного доступа к веб-системе и получении удаленного сообщения на сервер.
Более того, эксплуатация уязвимости должна быть автоматизирована с помощью эксплойтов (можно на любом языке, но они предлагают это на Python).
Курс действительно дает новые практики тестирования на проникновение.
Языки: PHP, Node.js, Java, .
NET, Python.
Как проходит экзамен?
Экзамен проходит онлайн в течение 48 часов; Сколько вы спите, сколько едите, решайте сами.Вы сдаете экзамен дистанционно на своем автомобиле, но находитесь под полным контролем:
сначала проверка паспорта и лица; через камеру показываешь свое рабочее место, даже под столом показываешь, что там находится; потом шаришь по экранам и включаешь камеру — за тобой и твоей машиной будут постоянно следить в течение 48 часов; Если вы хотите в туалет, вы предупреждаете об этом человека на другой стороне, если приходите, то предупреждаете еще раз.Если в курсе AWAE присутствуют все уязвимости, зарегистрированные в CVE, то на экзамене это будут системы, где специально создавались кастомные уязвимости — вам даже не придется гуглить и тратить время.
Отдельный VPN выделяется для защищенной сети, где уже развернуты сами цели.
Целями являются две веб-системы, в которых вам необходимо обойти систему аутентификации и получить доступ к серверам через оболочку:
За обход аутентификации дается 30 баллов, за получение удаленного доступа – 20 баллов, Минимальный балл для сдачи экзамена – 80 баллов.Чтобы доказать, что атака при сертификации прошла успешно, необходимо найти на сервере необходимый файл (он находится вне каталога веб-приложения) и предоставить содержимое этого файла.
Перед экзаменом я думал, что в задании будет примерно сказано, как действовать, в результате вы получаете IP целевого сервера и среду, где можно анализировать системный код и читерить.
Среды имеют совершенно уникальные переменные среды.
Вы не сможете скачать весь код, только удаленный анализ.
Существуют строгие ограничения на использование только определенных инструментов, поэтому сканирование уязвимостей и брутфорсеры сразу исключаются.
Сложности
С этой стороны вам никто ничего не скажет, а от того, кто за вами наблюдает, вы услышите только их фирменную фразу – старайтесь сильнее.Это будет 48-часовой стресс, мозг постоянно работает в режиме поиска вариантов атаки (даже во сне).
Мне удалось набрать 100 очков, но времени было мало.
В какой-то момент эксплойт на C# пришлось быстро переписать на Python, потому что через VPN атака шла медленно, а в самой сети был Kali, с которым атака была в разы быстрее.
Кто-то на Reddit написал, что в первые полдня сломал обе системы, а потом курил и курил беззастенчиво; объем работы, которую необходимо выполнить, колоссален, и его невозможно освоить даже физически за несколько часов.
А кто-то на Reddit написал, что за 48 часов так и не нашли ничего и набрали 0 баллов, и забеспокоились, что если будут брать платную пересдачу, то нет никакой гарантии, что она не пройдет еще и с нулевым результатом, потому что ВСЕ уже были проанализированы.
Будут моменты, когда вера в себя и в успех упадет до нуля или достигнет полной уверенности, а затем снова упадет, здесь главное не сдаваться и продолжать.
Сообщение
OSWE — достойный экзамен для любого пентестера; многое будет зависеть от опыта разработки и практической безопасности.Хранить и систематизировать свой опыт, практики, команды в каком-то инструменте - у меня это давно назрело Вишневое дерево .
Выжимайте максимальный урон из каждой уязвимости.
Чтобы добиться максимального урона, объедините уязвимости в одной атаке.
Многое в стрессовых ситуациях решает психология и ваше отношение к ситуации, а также ваша способность мыслить рационально.
СТАРАТЬСЯ Удачи.
Денис Колошко, тестер на проникновение, CISSP, OSWE
Теги: #информационная безопасность #Карьера в ИТ-индустрии #безопасность #Тестирование веб-сервисов #сертификация #безопасность #тестирование на проникновение #OSWE #websec #веб-приложения-
Лили
19 Oct, 24 -
Поиск Корзины Для Кредитных Карт Стал Проще
19 Oct, 24 -
Что Такое Чистые Функции В Javascript?
19 Oct, 24 -
Numpy На Python. Часть 3
19 Oct, 24 -
Смешно, Но Русские Снова Отличились :)
19 Oct, 24 -
Самое Важное
19 Oct, 24
