Старый 06.12.2014, 16:15   #11
CyberSurgeon
 
Регистрация: 03.06.2014
Сообщений: 9
Репутация: 0
По умолчанию

Please, excuse me for speaking English on a Russian forum - it's a lot easier for me this way. I hope that the information that I will contribute will make up for this.

One skill that is extremely important that has only received a brief mention here is the ability to write. There is a lot more to information security than penetration testing, but virtually every area of it requires strong written communication skills. For example, for penetration testing the ability to deliver the findings is of paramount importance. In my experience, the write-up takes more time than actually looking for vulnerabilities, and it is the report that is the actual deliverable.

Another vitally important skill is programming, but it is a different kind of programming than what an application developer does. Basically, it's important to be able to write scripts in a matter of hours/minutes that will exploit vulnerabilities/place backdoors/extract information/process information. This is different from application development, because usually once your script works, it's good enough - there is much less emphasis on end-user acceptability, ironing out all the bugs, feature completeness, project management or version control. IMO this means that only basic/intermediate programming skills are required, but it is important to be able to apply these skills to many different combinations of platforms and languages - you have to be able to code on whatever platform is thrown at you.

Without being able to write well and to code quickly, I think any other more specific skills you might have are essentially worthless from a professional point of view, since you will be unable to produce actual deliverables, or the quality of them will be compromised. Your reputation is extremely important in this industry and if you produce low quality deliverables, it will destroy your reputation and your career.

If you do have the programming and the writing skills and you wish to get involved in penetration testing specifically, the first thing I would recommend learning is auditing web applications using the Burp Suite. Web application penetration testing is where most of the money in penetration testing is. If you are good at this, you can be a valuable penetration tester without knowing anything else.

If you are looking to advance a career in information security, one thing to be aware of is the value of your reputation. Needless to say, any kind of cybercrime that can be linked to your identity will kill any chances of professional success, unless you are extremely talented. More importantly, a major factor that determines your reputation is the level of professionalism you demonstrate in your independent projects. For example, Beched's presentation is a factor in determining his reputation; this presentation is accurate, but it is on the amateurish level, so it's not worth that much, but it's a lot better than nothing.

Gtg. If you like, maybe I'll write more later.
CyberSurgeon вне форума   Ответить с цитированием
Старый 06.12.2014, 20:33   #12
Beched
 
Регистрация: 06.07.2010
Сообщений: 395
Репутация: 118
По умолчанию

Цитата:
Сообщение от b3 Посмотреть сообщение
имхо CTFы такая шляпа, в жизни очень редко встречаются подобные случаи, но это ИМХО
Бывают надуманные таски, но они тоже полезны и расширяют кругозор, но вообще как раз самые прикладные навыки отрабатываются там.

Цитата:
Сообщение от Matthew Посмотреть сообщение
Всё сильно зависит от CTF и автора заданий. Некоторые авторы делают задания либо на основе интересных реальных случаях, либо на основе интересных моментов которые всплывали во время исследований. Могу это сказать по собственному опыту.

Но зачастую это синтетические задания, которые в реальной жизни не встретятся, но с другой стороны помогут потренировать соображалку, может дадут какие то фоновые знания в процессе изучения вопроса. Вреда в любом случае от этого никому не будет (=

Так CTF'ы учат эксплуатировать уязвимости, причём сложные, т.е. планка заведомо выше. А для того, чтобы смотреть на реальный софт, большие корпоративные проекты, можно просто анализировать опенсорс и участвовать в баг-баунти.

Что же касается всяких пентестерских и сетевых делишек, то, по-моему, там в основном инструментарий надо знать, что тривиально, + надо понимать, как работают сети, для чего можно почитать книжки.

Пентест-лабы в основном на угадайку и использование инструментария, там редко бывают сложные аналитические задачи, как в CTF'ах.
Beched вне форума   Ответить с цитированием
Старый 06.12.2014, 21:26   #13
nobody
 
Аватар для nobody
 
Регистрация: 05.07.2010
Сообщений: 176
Репутация: 130
По умолчанию

Цитата:
Сообщение от Beched Посмотреть сообщение
Бывают надуманные таски, но они тоже полезны и расширяют кругозор, но вообще как раз самые прикладные навыки отрабатываются там.
Первое из памяти что вспоминаю с разных цтф:
1) по ходу задания (web) узнается что есть /some_script.php, ходишь туда видишь 404. Не HTTP 200 с хтмлем 404 ошибки, даже не 405, а честную 404. Решение? Это же очевидно, надо постом было сходить и после увиденного понять как получить флаг за 2 секунды. Серьезно?
2) скл инъекция + ваф, задача обойти. Пытаться придумать хитрожопый вектор? nigga please, aaa[4096]aa' union select version() -- . Серьезно?
3) (буквально с вчерашней цтф) 2 разных задания, 2 разные виртуалки которые по логике не имеют и не должны иметь друг к другу никакого отношения. На втором не работает регистрация, что делать? Это же очевидно, авторизоваться/регнуться в первом таске, взять оттуда сессию и тыкнуть во второй. Магическим образом рега починится. Серьезно?

прикольные штуки это DV(WA|Linux), IO sts, а вот ctf это всегда страдашки.
__________________
Sad panda
nobody вне форума   Ответить с цитированием
Старый 06.12.2014, 22:41   #14
Pashkela
 
Аватар для Pashkela
 
Регистрация: 05.07.2010
Сообщений: 1,243
По умолчанию

Самые крутые хекеры из тех, кто выигрывают ЦТФ-ы

Имхо
Pashkela вне форума   Ответить с цитированием
Старый 07.12.2014, 01:30   #15
Beched
 
Регистрация: 06.07.2010
Сообщений: 395
Репутация: 118
По умолчанию

Цитата:
Сообщение от nobody Посмотреть сообщение
Первое из памяти что вспоминаю с разных цтф:
1) по ходу задания (web) узнается что есть /some_script.php, ходишь туда видишь 404. Не HTTP 200 с хтмлем 404 ошибки, даже не 405, а честную 404. Решение? Это же очевидно, надо постом было сходить и после увиденного понять как получить флаг за 2 секунды. Серьезно?
2) скл инъекция + ваф, задача обойти. Пытаться придумать хитрожопый вектор? nigga please, aaa[4096]aa' union select version() -- . Серьезно?
3) (буквально с вчерашней цтф) 2 разных задания, 2 разные виртуалки которые по логике не имеют и не должны иметь друг к другу никакого отношения. На втором не работает регистрация, что делать? Это же очевидно, авторизоваться/регнуться в первом таске, взять оттуда сессию и тыкнуть во второй. Магическим образом рега починится. Серьезно?

прикольные штуки это DV(WA|Linux), IO sts, а вот ctf это всегда страдашки.
Ты просто мало решал Нет единой экспертизы по таскам, поэтому часто бывает шлак, особенно в вебе, но есть годнота.
По твоим примерам точно не могу сказать, насколько это шлак, но знаю, откуда 2й, и вроде он брался из жизни.
И вообще, большинство задач придумываются по мотивам каких-то нетривиальных атак, осуществлённых в работе. Другое дело, что авторы не всегда адекватно оценивают сложность и не всегда правильно и логично оформляют задание, чтобы участники смогли догадаться до нужной атаки.

DVWA не смотрел, но там же вроде совсем легкотня всякая, а IO sts -- это вообще-то типичные CTF-задания по пвну, пентестеры таким не занимаются)
Beched вне форума   Ответить с цитированием
Старый 07.12.2014, 16:20   #16
zedix
 
Регистрация: 02.12.2014
Сообщений: 3
Репутация: -1
По умолчанию

Цитата:
Сообщение от CyberSurgeon Посмотреть сообщение
Please, excuse me for speaking English on a Russian forum - it's a lot easier for me this way. I hope that the information that I will contribute will make up for this.

One skill that is extremely important that has only received a brief mention here is the ability to write. There is a lot more to information security than penetration testing, but virtually every area of it requires strong written communication skills. For example, for penetration testing the ability to deliver the findings is of paramount importance. In my experience, the write-up takes more time than actually looking for vulnerabilities, and it is the report that is the actual deliverable.

Another vitally important skill is programming, but it is a different kind of programming than what an application developer does. Basically, it's important to be able to write scripts in a matter of hours/minutes that will exploit vulnerabilities/place backdoors/extract information/process information. This is different from application development, because usually once your script works, it's good enough - there is much less emphasis on end-user acceptability, ironing out all the bugs, feature completeness, project management or version control. IMO this means that only basic/intermediate programming skills are required, but it is important to be able to apply these skills to many different combinations of platforms and languages - you have to be able to code on whatever platform is thrown at you.

Without being able to write well and to code quickly, I think any other more specific skills you might have are essentially worthless from a professional point of view, since you will be unable to produce actual deliverables, or the quality of them will be compromised. Your reputation is extremely important in this industry and if you produce low quality deliverables, it will destroy your reputation and your career.

If you do have the programming and the writing skills and you wish to get involved in penetration testing specifically, the first thing I would recommend learning is auditing web applications using the Burp Suite. Web application penetration testing is where most of the money in penetration testing is. If you are good at this, you can be a valuable penetration tester without knowing anything else.

If you are looking to advance a career in information security, one thing to be aware of is the value of your reputation. Needless to say, any kind of cybercrime that can be linked to your identity will kill any chances of professional success, unless you are extremely talented. More importantly, a major factor that determines your reputation is the level of professionalism you demonstrate in your independent projects. For example, Beched's presentation is a factor in determining his reputation; this presentation is accurate, but it is on the amateurish level, so it's not worth that much, but it's a lot better than nothing.

Gtg. If you like, maybe I'll write more later.
Thank you for so full and informative post! I really like it. Theme of this topic is very overall, so for every skill you wrote there, it is possible to write individual post to cover this skill in more detail.
P.S. sorry for my english.
zedix вне форума   Ответить с цитированием
Старый 07.12.2014, 17:04   #17
Ravenous
 
Аватар для Ravenous
 
Регистрация: 14.07.2012
Сообщений: 64
Репутация: 1
По умолчанию

Самый нормальный CTF - это Hack Quest 2010 от securitylab
Ravenous вне форума   Ответить с цитированием
Старый 07.12.2014, 22:04   #18
m99
 
Аватар для m99
 
Регистрация: 25.09.2014
Сообщений: 27
Репутация: -2
По умолчанию

хорошо что пока тема посещаемая и пользуется спросом.
нашёл ещё один курс, не понятно продают ли его ещё
http://software-testing.ru/trainings/schedule?&task=3&cid=126

Краткое содержание тренинга:

Цитата:
Основные принципы компроментации защиты веб-приложения:

Атаки на клиент (браузер)
Атаки на сервер
Атаки на сеть
Социальная инженерия

Инструментарий тестировщика

Анализ исходного кода
Анализ данных и структуры запросов
Сканирование (поиск вширь)
Фаззинг (поиск вглубь)

Распространенные атаки на клиент:

обход валидаторов
подделка cookies и перехват сессий
сross-site scripting (XSS)
cross-site request forgery (XSRF)

Распространенные атаки на сервер:

SQL-инъекции
файловые инъекции (внедрение backdoor shell)
командные инъекции (удаленное выполнение команд)
получение доступа к содержимому директорий и файлов
отказ в обслуживании (DoS)

Веб-сервисы (SOAP, REST, JSON API)
Формат курса

Цитата:
Онлайн-тренинг состоит из четырех записей занятий по 1,5 часа с практическими домашними заданиями и постоянными консультациями тренера в скайп-чате.

Каждую пятницу в систему дистанционного обучения будет выкладываться запись очередного урока курса.

Все вопросы после прослушивания записи можно будет задать в специальном закрытом форуме или скайп-чате. Тренер будет оперативно отвечать на них.

Каждый участник курса будет получать обратную связь от тренера по результатам выполнения домашнего задания.

Курс начнется 28 января (не позже этой даты будет выложена первая запись курса) и будет проходить до 22 февраля.
Условия участия
Стоимость участия в тренинге – 5 000 рублей.
m99 вне форума   Ответить с цитированием
Старый 07.12.2014, 23:28   #19
Beched
 
Регистрация: 06.07.2010
Сообщений: 395
Репутация: 118
По умолчанию

m99, сомневаюсь, что есть действительно хорошие курсы в России. Надо смотреть, где работают потенциальные тренеры (компаний, которые занимаются анализом защищённости, совсем немного, при этом обучением они обычно не занимаются), есть ли выступления на конференциях, победы в соревнованиях.
Beched вне форума   Ответить с цитированием
Старый 08.12.2014, 00:07   #20
m99
 
Аватар для m99
 
Регистрация: 25.09.2014
Сообщений: 27
Репутация: -2
По умолчанию

так то оно так но нужно с чего-то начинать.
вспомнились слова, что лучше синица в руке чем журавль в небе, к чему бы это?

Удалось найти ещё одну контору, это уже третья - Учебный центр «Эшелон» , найдено в http://s3r.ru/2012/12/eshelon/pentest-formal/

собственно курсы:

020. Комплексное тестирование защищенности информационных систем с применением Сканер-ВС
http://uc-echelon.ru/courses/020-kompleksnoe-testirovanie-zashhishhennosti-informacionnyx-sistem-s-primeneniem-skaner-vs

Цитата:

Программа:

1. Аудит информационной безопасности

1.1 Основные понятия и определения
1.2 Модель злоумышленника
1.3 Классический тест на проникновение
1.4 Сканирование на наличие уязвимостей
1.5 Анализ конфигурации
1.6 Комплексный подход к тестированию защищенности
1.7 Обзор программных средств для проведения тестирования

2 Применение Сканер-ВС

2.1 Сканирование на уязвимости
2.2 Локальный аудит стойкости паролей
2.3 Контрольное суммирование файлов и папок
2.4 Аудит безопасности беспроводной сети
2.5 Аудит конфигурации локальной системы
2.6 Сетевой аудит стойкости паролей
2.7 Анализ сетевого трафика

Условия обучения: Обучение проводится дистанционно с использованием системы проведения вебинаров Cisco Webex. После обучения слушателям высылается сертификат учебного центра «Эшелон»
003. Тестирование на проникновение: технологии хакеров для аудита информационной безопасности
http://uc-echelon.ru/courses/003-pentest

Цитата:

Программа:

Раздел 1: Введение в технический аудит информационной безопасности

Классический тест на проникновение;
Сканирование на наличие уязвимостей;
Анализ конфигурации систем;
Комплексный подход к тестированию на проникновение;
Обзор методологий тестирования защищённости: ISSAF,OSSTMM, OWASP;
Управление проектом по тестированию защищенности;
Виды отчетов.

Раздел 2: Инструментарий этичного хакера

Обзор средств виртуализации для построения собственной тренировочной площадки;
Установка и настройка Kali Linux и Сканер-ВС в виртуальной лаборатории;
Основы Linux;
Kali Linux: обзор утилит и настройка;
Практика: настройка виртуальной среды для занятия.

Раздел 3: Документирование работ по тестированию на проникновение

Принципы документирования;
Инструменты документирования.

Раздел 4: Предварительный сбор информации: разведка в Интернет

Работа с информацией;
Сбор информации по открытым источникам: искусство запросов Google;
Footprinting: определение адресов, имен ресурсов, используемых технологий. Инструменты: dig, whois, harvester;
Сбор информации о сотрудниках организации по открытым источникам;
Сбор метаданных из фотографий, презентаций;
Практика: собрать данные по определенной организации, структурировать собранные данные.

Раздел 5: Сканирование сети и ручной поиск уязвимостей

Сканирование портов с помощью NMAP;
Анализ баннеров сервисов;
Ручной поиск уязвимостей: специализированные поисковики, сайты вендоров и т.п;
Практика: просканировать сервер-жертву nmap и собрать данные об уязвимостях.

Раздел 6: Использование сканеров уязвимостей.

Принципы работы сканеров уязвимостей;
Обзор сканеров: Nessus, OpenVAS, Сканер-ВС;
Практика: просканировать сервер-жертву с помощью сканера, подготовить отчет по тестированию защищенности.

Раздел 7: Подбор паролей: локальный и сетевой

Какие пароли выбирают пользователи?
Пароли по умолчанию;
Методы подбора паролей;
Утилиты: THC-hydra, John The Ripper;
Практика: применение утилит THC-hydra, John The Ripper.

Раздел 8: Атаки на Web

Основы HTTP для этичного хакера;
Анализ исходного кода HTML-страниц;
Уязвимости, связанные с непроверяемыми полями ввода данных;
Механизмы аутентификации в Web-приложениях: атаки методом подбора паролей;
Обзор локального прокси Webscarab;
Атаки Cross Site Scripting;
Атаки методом SQL-инъекции.

Раздел 9: Современная хакерская атака

Жизненный цикл современной хакерской атаки: разведка — проникновение — эскалация — доступ к ценным информационным активам – монетизация;
Концепт man in the middle;
Концепт man in the box;
Как захватить контроль над ОС?
«Хакерский взгляд» на современные средства защиты информации.

Раздел 10: Эксплуатация

Фреймворк Metasploit: структура и возможности.
Полезные тонкости: мигрирование в процессы, reflective injection и т.п.;
Использование meterpreter;
Использование msfpayload;
Собственные дополнения;
Практика: работа с Metasploit.

Раздел 11: Атаки типа «Man in the middle»

ARP-poison с помощьюю Cain&Abel;
Атаки MitM в беспроводных сетях.

Раздел 12: Атаки типа «Man in the box»

Pass the hash;
Использование mimikatz.

Раздел 13: Хакерские технологии контроля удаленных систем

Современные Backdoor;
Использование скрытых каналов связи.

Модуль 14: Социальная инженерия

Обзор психологических приемов обмана и манипуляции;
Сочетание психологии и современных информационных технологий.

Условия обучения: Слушателям представляются раздаточные материалы. По окончании курса слушателям выдается или высылается Сертификат.

Последний раз редактировалось m99; 08.12.2014 в 00:14..
m99 вне форума   Ответить с цитированием
Ответ

Метки
вардрайвинг, пентест

Опции темы Поиск в этой теме
Поиск в этой теме:

Расширенный поиск
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход



Powered by vBulletin® Version 3.8.5
Copyright ©2000 - 2019, Jelsoft Enterprises Ltd. Перевод: zCarot