пентестер: обучение и развитие

[wacky]

m99
Возможно, вы ищете не в том направлении. Каков начальный уровень знаний? Очевидно, что без навыков администрирования, понимания систем, сетей и языков программирования, которые вы собрались пентестить - вы не сможете этого делать. Какой толк, если вас загрузят "политиками ИБ" и прочей теорией, которая будет совершенно бесполезна без концептуального понимания вещей? Работа в сфере ИБ - это не низкий порог вхождения и не бухгалтерия, где достаточно знания пары инструментов для решения задачи.
Касательно "CTF - добро/зло", на каждые n рак заданий приходятся и такие, которые расширяют кругозор, некоторые таски позволяют взглянуть иначе на общераспространенные явления и векторы. Однако я не уверен, что это именно то, что нужно ТС сейчас...

[CyberSurgeon]

Сообщение от zedix

Thank you for so full and informative post! I really like it. Theme of this topic is very overall, so for every skill you wrote there, it is possible to write individual post to cover this skill in more detail.
P.S. sorry for my english.

Thank you for the feedback. Ya govoriu po russki, no u menia netu russkoy klaviaturi, a translitom (to est ne prosto kak seychas a eshe i perevodit latinnitsu na russkie bukvi) pisat ochen medlenno. To est, dlia menia mozhno pisat po russki i ya poimu, no mne samomu legche pisat po angliyski, potomu chto u menia US keyboard.


I have experience with writing information security training materials on a professional level. Major international corporations pay a lot of money to study my work. I've also done penetration testing on a professional level and the company that I work for does penetration testing, but it's another department - I work in the online learning department.

In other words, I can easily put together a training course about (virtually) any subject relevant to information security, because I do that kind of stuff every day anyway. I can also tell you if a course is good or not. I would not recommend taking any of the courses that you've mentioned here so far - they will not teach you what you will actually be doing as a penetration tester, which is going to be a lot of writing and some programming, in addition to the actual testing. You have to at least be able to read code and understand the issues that cause vulnerabilities. It is not enough to just find a hole, especially if you are using an automated tool to do it, you have to also explain what caused it and how to fix it.

The information that you have collected here is useful to me, so please continue, and maybe I'll put together an outline of what in my opinion is a useful penetration testing course.

I'm an information security professional with a lot of experience and I'm interested in networking with the next generation of professionals, so I have some interest in helping you succeed in this field.


PRO-Tip: Instead of CTF, I recommend setting up virtual machines with different OS, installing popular applications with known vulnerabilities, and then breaking into them. For example, you can install a WordPress with a vulnerable plugin and then write an exploit to break into it. You will gain real world sysadmin knowledge, understanding of real-world design errors, and real-world application design patterns - you will see real database schemas, real filesystem structures and real code.

I recommend focusing on studying web applications. For network penetration testing, you're not really going to do things much differently from an automated scanner. Most of the time you also don't really need to go deep into the system, in fact your customer will probably not want you to go in deep, they'll just want you to find the holes in the application and explain how to fix them.

[nikp]

ИМХО

1. Навыки админа, программиста отличаются от навыков хакера и не сильно помогают последнему, чаще мешают.
Поясню. Программист озабочен функционалом кода, главное удовлетворить заказчика, здесь проблем много и все силы и время уходят на это. Безопасность кода - это зло, которое преследует программиста, мешает работать, отнимает время от решения основных задач, поэтому занимается безопасностью, когда прижмет, сломают и приходится разбираться и фиксить.

Хакер наоборот, ищет места, где можно нарушить логику, в большой степени его работа основана на том, чтобы видеть в "промежутках кода", что-то вставить, или отрезать, изменить поведение программы в нужное направление. Исследовать нестандартное поведение функций, программисту не интересно, для хакера это хлеб (ну или интерес).
Знаю классных программистов - никакушных хакеров.
Знаю сильных взломщиков, которым трудно написать несколько строк кода.
Разное мышление, разная прокачка. Прокачка программирования не прокачивает автоматически навыки поиска уязвимостей, и наоборот. С админами картина аналогичная, хотя общего с хакерами уже больше.

2. Не буду отговаривать от курсов, но и советовать не буду. Вижу примерно так:
Первоначальную информацию можно найти в сети, паблик ачата и рдота - очень даже хорошая платформа для начала (и даже среднего уровня).
Дальше localhost, проверка и закрепление прочитанного, собственные исследования.

3. Взлом советовать плохо, тем более сейчас, когда ответственность за это ужесточилась. Но для специалиста по ИБ, без практики не обойтись. Что ломается, что нет - только на практике видно.
Если не работать по ру, и не гадить на взломанных площадках, то это не будет большой ценой за полученный опыт. Получив доступ, полезно проанализировать настройки сервера, не все нужно изобретать самому, много интересного можно найти.

4. Конечно же - анализ взломов и защита сайтов, серверов. Первое время - хоть бесплатно, ради опыта, тут предыдущие два пункта очень пригодятся.

5. Про CTF говорить не буду, явно не зло и пустая трата времени, но помощи пентестеру - ни какой. Хотя потенциал прокачивают. Воспринимаю, как самостоятельную суб-культуру, отдельную от хакеров и от пентестеров.

[Matthew]

Сообщение от nikp

1. Навыки админа, программиста отличаются от навыков хакера и не сильно помогают последнему, чаще мешают.

Вот не соглашусь с тем что мешают. Хорошему программисту будет легче разобраться в чужом коде, чем человеку без этого навыка. Более того, полезно думать "как программист" чтобы понять где программист мог ошибиться. Программерский опыт в данном случае будет очень полезен. То же самое и с навыками админа.

[nikp]

Сообщение от Matthew

Более того, полезно думать "как программист" чтобы понять где программист мог ошибиться.

Нет, в нашем случае думать, "как программист" - вредно. Увидишь только то, что видит программист.
Программист не в силах заставить свои руки нажимать не те клавиши, им рулит алгоритм, который сложился в голове, и "неправильных" действий он выполнить не в состоянии, именно для исправления этого ограничения и существуют "профессиональные дураки".

У меня не получается думать одновременно, как программист и, как хакер. Поэтому, когда пишу программу - включаю "программиста". Потом переключаюсь на поиск уязвимостей и проверяю код совсем "другими глазами".

[Matthew]

Под думать "как программист" я понимаю не отключение всех остальных навыков, а попытка подумать о том как думал программист в момент написания этого кода и следовательно где он мог ошибиться.

Вообще считаю что дискуссия бредовая. Каждый делаает так, как ему удобнее, но навыки программирования лишними никогда не будут.

[Beched]

Сообщение от nikp

Нет, в нашем случае думать, "как программист" - вредно. Увидишь только то, что видит программист.
Программист не в силах заставить свои руки нажимать не те клавиши, им рулит алгоритм, который сложился в голове, и "неправильных" действий он выполнить не в состоянии, именно для исправления этого ограничения и существуют "профессиональные дураки".

У меня не получается думать одновременно, как программист и, как хакер. Поэтому, когда пишу программу - включаю "программиста". Потом переключаюсь на поиск уязвимостей и проверяю код совсем "другими глазами".

Какое-то очень странное представление о программистах =) Они ж разного уровня квалификации бывают.
А хакер должен иметь знания (причём глубокие) и навыки программирования и сисадминистрирования, ибо довольно странно пытаться ломать то, чего не понимаешь. Будет запускать тулзы просто, как скрипт-кидди.

5. Про CTF говорить не буду, явно не зло и пустая трата времени, но помощи пентестеру - ни какой. Хотя потенциал прокачивают. Воспринимаю, как самостоятельную суб-культуру, отдельную от хакеров и от пентестеров.

Если говорить о пентестере, как о человеке, который проводит инструментальный анализ защищённости, то в самом деле особой пользы нет, потому что ему знать и уметь толком ничего не надо. А для решения нестандартных задач, для быстрого программирования, для веб-хакинга, для расширения кругозора цтфы будут полезны. +, если писать райт-апы, будут развиваться навыки письма, о которых говорил CyberSurgeon выше.

Но это не панацея, конечно, можно и из багбаунти или из книжек больше пользы извлечь.

Просто ТС спросил про курсы, т.е. ему нужен какой-то сформированный фреймворк и мотивация для обучения, поэтому я сказал про цтфы, потому что там более-менее понятно, чему и как учиться, есть задачи разного уровня и регулярные соревнования.

Пункт 2 плюсую, пункты 3-4 я бы заменил на совет участвовать в bugbounty, а не связываться с криминалом. Это и не бесплатно, и законно.

[CyberSurgeon]

[klanc]

Сообщение от CyberSurgeon

Очень интересная и полезная схемка, спасибо (написал вам в лс, если не сложно, проверьте).
Вообще очень много набралось интересных сообщений, так же затронулась не менее интересная тема про навыки программирования и сис. администрирования.
Разбавлю это оффтопное сообещние конкретикой: если ТС инетерсно мнение одного из баунти ханетров и специалиста по безопасности веб-приложений Дмитрия Бумова (блог bo0om.ru), то в своем ответчике на вопрос:
стоит ли пройти стажировку "Zero Security: A" в PentestIT и на кого она расчитана?
он дал следующий ответ:
Скажу честно. Если бы в моё время была подобная стажировка, то я бы сэкономил пару лет =)
Если ты хреново соображаешь в плане иб или что-то недопонимаешь - это огромный пинок под зад, который "просвятит" тебя во многих сферах. А если, скажем так, ты "шаришь", то зачем?

[faza02]

если бы тебе было очень интересно (!), вопроса о том, «где научиться» не стояло бы. готов поспорить, что большинство людей, занимающихся сейчас этим и отписывашихся здесь, попали в эту тему из-за своего огромного интереса. и процесс обучения у всех был немного другой: по-мере продвижения обрастаешь нужными знаниями по мере их нужности и важности в конкретный момент.