Опыт и советы по сдаче экзамена OSWE / AWAE
Многие из вас признают, насколько сложна сертификация наступательной безопасности. Я могу сказать, что пройти практический экзамен - гордость многих элитных хакеров. Перед сдачей этого экзамена необходимо учесть четыре основных фактора. Первый - это знания. Вам нужно быть в курсе последних событий, прочитать кучу книг и статей о слабых местах в системе безопасности и усовершенствовании новых технологий. Во-вторых, Деньги, получение сертификата не из дешевых, вы хотите узнать, также нужны деньги, чтобы покупать книги в packtpub или видео из Udemy. В-третьих, выносливость, не ложиться спать допоздна, писать код эксплойта и контролировать время сна, еда в течение (24 часа, 48 часов, 72 часа) - непростая задача, она вас подавит, давления. В-четвертых, это Обязательство, вам трудно учиться и управлять временем, когда у вас есть работа, большинство из нас больше не студенты, даже он / она студент, им может не хватать знаний, опыта и деньги для прохождения сертификации, в этой ситуации ему / ей потребуется поддержка других. Это также может относиться к другим сертификатам, SANS, CREST, ISC2 и т. Д. Почти везде, где проходят собеседования свежие выпускники, интервьюер спросит, есть ли у вас какие-либо сертификаты? (CEH, OSCP, GPEN). Наша отрасль движется к сертификации. Могу сказать, что получение сертификата - это то, чем вы можете гордиться, вы хотите быть лучшим среди лучших.
Сегодня я напишу о своем опыте сдачи экзамена OSWE / AWAE. Во-первых, о стоимости (вы можете обратиться к изображению ниже), о том, как долго вы будете рассматривать возможность доступа в лабораторию, я предлагаю вам взять 30-дневную лабораторную работу, если вы не готовы, вы можете продлить ее до 60 дней или более. Я ставлю этот экзамен сложнее, чем ОБСЕ, и в 3 раза сложнее, чем OSCP. Это также зависит от ваших знаний. Некоторое предварительное условие, которое вам нужно, - это умение читать код, знание того, как код является дизайном (ООП), родитель-потомок и ноу-хау вызова функций. Возможно, вам потребуется знать несколько синтаксисов / языков программирования, таких как PHP, Java, Javascript, Powershell, C #, Mysql / Postgres. Мои важные советы: вам нужно технически понимать, как работает Интернет в глубине души.
Язык программирования, я предлагаю вам прочитать бесплатную электронную книгу по ссылке ниже, спасибо тем, кто посвятил себя этой книге, которая позволяет использовать обучение бесплатно.
В этой книге вы исследуете различные новые технологии, используемые в веб-приложениях, и рассмотрите новые методы атак, которые были разработаны, особенно в отношении клиентской стороны.
Поваренная книга Burp Suite содержит рецепты решения проблем, связанных с выявлением и исследованием уязвимостей в веб-приложениях. Вы узнаете, как обнаруживать недостатки безопасности с помощью различных тестовых примеров для сложных сред. После того, как вы настроили Burp для своей среды, вы будете использовать инструменты Burp, такие как Spider, Scanner, Intruder, Repeater и Decoder, среди прочих, для решения конкретных проблем, с которыми сталкиваются пентестеры. Вы также узнаете, как работать с различными режимами Burp, а затем выполнять операции в Интернете. В конце вы расскажете о рецептах, которые нацелены на конкретные сценарии тестирования и решите их, используя передовые методы.
Возможно, вам понадобится установка commando-VM, чтобы вы могли поиграть с инструментами декомпилятора и инструментами компилятора, такими как Visual Studio и т. Д.
Не забыть мой любимый блог: D
Подготовка к упражнениям перед записью:
Думаю ресурсов хватит. Первое, что вы узнаете из этого курса, - это введение в панель управления лаборатории, ограничения лаборатории, предупреждение и поведение в лаборатории, а также общую информацию.
Во 2-й главе вы будете играть с инструментами, такими как burpsuite, вы можете следить за одним из моих любимых youtuber-ов, hackersploit:
В 3-й главе вы познакомитесь с почтовым сервером, вы сможете связать множественные уязвимости от XSS к RCE. Offsec отлично справляется с объяснением этой уязвимости. В этой главе вы изучите захват сеанса, управление сеансом, протокол нечеткой почты и вектор атаки. В приведенном ниже примере приложение уязвимости может быть таким же, как упражнение.
4-я глава. Вы узнаете об обходе аутентификации в RCE, вам необходимо настроить среду, узнаете, как обнаруживается начальная уязвимость, кратко рассмотрите слепые инъекции SQL-кода и функции программирования, которые могут использоваться не по назначению. Вы можете прочитать мое объяснение «Не разглашается CVE-2019–19484, CVE-2019–19486, CVE-2019–19487», чтобы получить представление о теме.
В главе 5 вы познакомитесь с уязвимостью манипулирования типами. Одно из упражнений, за которым вы можете следовать, используя ссылку ниже (LiveOverflow):
Еженедельник безопасности Пола, один из моих ресурсов.
Глава 6, Вы узнаете о SQL-инъекции в RCE, где вам нужно понять команду Postgres, Visual Basic и MySQL. Вы можете выполнить упражнение по ссылке ниже.
Глава 7, Offsec, научит выполнять произвольную уязвимость JavaScript-инъекций. Это довольно сложно, я изучаю много статей во время чтения этой главы.
И, наконец, уязвимость сериализации. Я предлагаю вам выполнить упражнение ниже, оно играет важную роль для вашего понимания.
На мой взгляд, программа Offsec AWAE великолепна и соответствует требованиям отрасли. Что касается опыта экзамена, я не хочу много объяснять, но я просто хочу сообщить вам, что я сдам AWAE (5 июля 2019 г.) после 3 месяцев прохождения ОБСЕ (20 марта 2019 г.), я могу сказать, что я в числе первых кто сдает экзамен. Я почти уверен, что меня около 10 человек сдают экзамен за это время.
Вас могут заинтересовать другие мои статьи:
