Пост вдохновлен вопросами начинающих ребят в наработке практического опыта. Когда мы находимся в начале профессионального пути, часто может быть не совсем очевидно, что вообще существует такого эдакого, чтобы как-то набить руку для получения / развития навыков, ускорения своих процессов, устроиться на работу, порадовать маму и т.п. Подготовил список наиболее перспективных вариантов:
1. Учебные платформы (PortSwigger (имхо, мастхев для любого вебера), HackTheBox, RootMe и т.п. - их огромное множество)
- ➡️ Плюсы: разнообразие, учебная составляющая, практические задания с решением, часто низкий порог входа
- ➡️ Минусы: "тепличные" условия, из-за которых не всегда можно объективно оценить свою готовность к реальной жизни
2. Сертификации
- то же самое, что и п.1, но за деньги, не всегда с решениями, создает челлендж, результат достаточно объективен
3. Участие в CTF (расписание можно смотреть на CtfTime)
- ➡️ Плюсы: учитесь работать в команде, создает челендж, это весело
- ➡️ Минусы: часто еще меньше связи с реальностью, чем п.1, в настоящее время ллм-команды вас скорее всего задавят и вы вряд ли получите удовольствие
4. Локальные уязвимые приложения (DVWA, OWASP Juice Shop и т.п.)
- ➡️ Плюсы: работа с полноценным приложением, есть готовые райтапы, низкий порог входа
- ➡️ Минусы: нужно разворачивать у себя, может быстро наскучить, мало где приравнивается к "реальному" опыту
5. Попросить LLM создать уязвимое приложение
: аналогично п.4, но как будто посовременнее и может не работать
6. Ресерчить открытые репозитории на гит(-лабе/-хабе и т.п.).
Тут даже небольшой бегиннер-лайвхак выдам: открываем поиск -> пишем что-то интересное -> сортируем по звездам -> ищем что-то интересное с 1-5к звезд -> исследуем, наслаждаемся, получаем CVE
- ➡️ Плюсы: работа с настоящим приложением, методология тестирования аналогична реальной жизни, есть исходный код, можно получить CVE, нет рисков что-то сломать
- ➡️ Минусы: опыт во многом зависит от выбранного продукта
7. Багбаунти
- ➡️ Плюсы: это буквально реально существующие приложения, можно получить деньги, вступление в довольно крутое сообщество, конкуренция, приносит много драйва
- ➡️ Минусы: высокий порог входа, конкуренция, нет исходного кода, без быстрых побед можно сильно расстроиться, многое зависит от вендора
8. Работа пентестером.
Довольно очевидно, но хорошо бы помнить, что для развития это не должно оставаться единственным источником получения практического опыта
Учитесь, практикуйтесь, делайте себе вызовы и развивайтесь ⬆️
#web #edu
Дискуссия