OSWE est une certification avancée idéale pour le pentester et l'auditeur de systèmes Web. Ce fut l'un des examens les plus difficiles de ma vie: beaucoup de santé restante, de 48 heures j'ai réussi à dormir pendant 12 heures, et je ne savais même pas que je pouvais "m'exprimer" comme ça. La condition était «plus rapide à mourir». Mais tout d'abord.
Qu'est-ce que l'OSWE
OSWE (Offensive Security Web Expert):
- La certification a été développée par la célèbre société Offensive Security (elle lui appartient le développement et le support de Kali Linux).
- OSWE est livré avec le cours AWAE, vous ne pouvez pas commander OSWE séparément, et il est logique d'opter pour la certification sans pratiques.
- AWAE n'est certainement pas un cours pour débutants, car ce sera difficile.
- À qui s'adresse la certification et le cours?
- pour les gars ayant une expérience dans les tests de pénétration,
- pour les techniciens et les développeurs qui peuvent lire et déboguer du code. - La certification n'est pas bon marché - le forfait minimum est de 1400 USD.
- Auparavant, ce cours ne pouvait être suivi que hors ligne lors de la conférence Black Hat , mais maintenant ils l'ont intégré dans un produit en ligne.
- Tout est construit sur le principe: le spécialiste reçoit le code source du système web pour l'analyse, et à travers les trous trouvés dans le code, vous devez prendre le contrôle du système live.
- Soit dit en passant, le certificat est délivré indéfiniment et à vie, comme le disent les développeurs de la certification - si vous avez réussi à passer cette certification, vous êtes déjà un spécialiste dans ce domaine même après 10 ans.
Qu'est-ce que AWAE?
Cours AWAE (Advanced Web Attacks And Exploitation)
- Pas de «Hello world», tout le cours est construit sur de vraies vulnérabilités enregistrées dans CVE , dans de vrais projets open source qui sont assez populaires.
- Ces vulnérabilités et même ces exploits peuvent être trouvés ici - exploit-db.com ou cvedetails.com
- Ils donnent du matériel, des vidéos qui décrivent les vulnérabilités, comment les exploiter et écrire des exploits.
- Pour le temps de préparation, un accès VPN personnalisé est alloué à l'environnement de test, où tout est déjà déployé, décomposez-le - autant que vous le souhaitez.
- Tout le matériel est signé personnellement, de sorte qu'en cas de partage ou de téléchargement sur des torrents, vous pouvez déterminer qui a fouillé et punir, au minimum, en révoquant un certificat valide.
- Le cours est basé sur l'atteinte de l'effet maximal des vulnérabilités - Exécution de code à distance (RCE), l'obtention d'un accès administratif au système Web et le transfert de la télécommande au serveur.
- De plus, l'exploitation de la vulnérabilité devrait être automatisée grâce à des exploits (elle peut être dans n'importe quelle langue, mais elle est offerte en Python).
- Le cours fournit vraiment de nouvelles pratiques pour les tests de pénétration.
- Ce qui couvre le cours:
- Sujets: XSS, CSRF, détournement de session, équitation de session, injection SQL aveugle, cheminement, jonglage de type, désérialisation non sécurisée, téléchargement de fichiers arbitraire, etc.
- Tula: Burp Suite, Kali Linux, Metasploit, etc.
- Langages: PHP, Node.js, Java, .NET, Python
Comment se déroule l'examen
- L'examen est mis en ligne 48 heures; Combien vous dormez, mangez - décidez par vous-même.
- Vous passez l'examen à distance pour votre voiture, mais vous êtes sous contrôle total:
- tout d'abord, la validation avec un passeport et votre visage;
- vous montrez le lieu de travail à travers la caméra, même sous la table vous montrez ce qui est;
- puis vous fouillez autour de vos écrans et allumez la caméra - vous et votre voiture serez constamment surveillés pendant 48 heures;
- si vous voulez utiliser les toilettes, vous avertissez le front de l'autre côté, si vous venez, vous prévenez à nouveau.
- Si toutes les vulnérabilités enregistrées dans CVE sont en cours AWAE, alors à l'examen, ce seront des systèmes où des vulnérabilités personnalisées ont été spécialement créées - vous ne pouvez même pas google et ne pas perdre de temps.
- Un VPN séparé est alloué à un réseau sécurisé où les objectifs eux-mêmes sont déjà déployés.
- Les objectifs sont deux systèmes Web où vous devez contourner le système d'authentification et accéder au shell sur les serveurs:
- 30 points sont accordés pour le contournement d'authentification,
- pour l'accès à distance - 20 points,
- le minimum pour réussir l'examen est de 80 points.
- Pour prouver que l'attaque lors de la certification a réussi, vous devez trouver le fichier nécessaire sur le serveur (il se trouve en dehors du répertoire de l'application Web) et fournir le contenu de ce fichier.
- Avant l'examen, je pensais que dans la tâche, ils vous diront comment procéder approximativement, par conséquent, vous obtenez l'IP du serveur cible et l'environnement où vous pouvez analyser le code système et le sécuriser. Les environnements ont leurs propres variables d'environnement uniques.
- Il est impossible de télécharger tout le code, seulement une analyse à distance.
- Il y a des restrictions strictes sur l'utilisation de certains outils seulement, donc recherche les vulnérabilités, les forceurs bruts disparaissent immédiatement.
Des difficultés
- Personne ne pourra vous dire de ce côté-ci, mais de celui qui vous regarde, vous n'entendrez que leur phrase de signature - essayez plus fort.
- Ce sera un stress de 48 heures, le cerveau travaille constamment en mode de recherche d'options d'attaque (même dans un rêve).
- J'ai réussi à marquer 100 points, mais il y avait un bout à bout.
- À un moment donné, l'exploit en C # a dû être réécrit rapidement en Python, car l'attaque était lente via le VPN, et le réseau lui-même était Kali, avec lequel l'attaque est plusieurs fois plus rapide.
- Quelqu'un sur Redita a écrit qu'il avait cassé les deux systèmes au cours de la première demi-journée, puis avait fumé - tryndit impie; la quantité de travail à faire est colossale et ne peut même pas être maîtrisée physiquement en quelques heures.
- Et quelqu'un sur Redit a écrit qu'en 48 heures, il n'avait rien trouvé et avait marqué 0 point, et il craignait que s'il prenait la reprise contre paiement, il n'y avait aucune garantie que cela ne fonctionnerait pas avec un résultat nul, car TOUT avait déjà été analysé.
- Il y aura des moments où la foi en soi et en la réussite tombera à zéro ou atteindra sa pleine confiance, puis retombera, l'essentiel ici n'est pas d'abandonner et de continuer.
La promesse
- OSWE est un examen valable pour tout Pentester, l'expérience en développement et en sécurité pratique en décidera beaucoup.
- Stockez et organisez votre expérience, vos pratiques, vos équipes dans n'importe quel outil - pour moi, cela a longtemps été CherryTree .
- À partir de chaque vulnérabilité, réduisez le maximum de dégâts.
- Combinez les vulnérabilités en une seule attaque pour obtenir un maximum de dégâts.
- La psychologie décide beaucoup dans les situations stressantes et votre attitude face à la situation, ainsi que la capacité de penser rationnellement.
- ESSAYEZ PLUS DUR
Bonne chance
Denis Koloshko, testeur de pénétration, CISSP, OSWE