среда, 8 августа 2012 г.

Penetration Testing Training with BackTrack - Final


Look out of the box

Авторы и студенты тренинга "Penetration Testing Training with BackTrack"

Если вы изучите сайт тренинга, станет ясно, что есть 2 варианта благополучно пройти тренинг:

1. Простой. Пройти как можно больше лабораторных занятий. Сдать экзамен. Отправить получившийся отчет в Offensive Security.
Вы получите, если отчет подготовлен надлежащим образом и "хакнутых" серверов достаточно много, что-то типо того: "The course exercises require an average  80 hours to complete, and have
been approved by ISC2 for 40 CPE Group A credits."

2. Сложный. Закрыть большую часть серверов в лаборатории. Сдать экзамен, набрав нужное количество очков. Подготовить хороший и подробный отчет и получить заветный сертификат Penetration Test'ера.

К сожалению, тренинг я в полном объеме не прошел и на экзамене с первой попытки набрал около 70% от необходимого результата. Дальше продолжать я не видел смысла.

Мои основные ошибки:

1. Важно сразу готовить хороший отчет. Я, в силу своих не самых хороших качеств, ленился это делать. Таким образом, ближе к концу тренинга у меня было только плохое описание того как я взламывал тот или иной сервер, немного данных после взлома (пароли, хэши, secret-файлы). Однако финальный отчет предполагает подробное описание процесса, с ключевыми скриншотами и хотя бы формальным описанием метода взлома (тип уязвимости, методы эксплуатации уязвимости, выбор эксплоита). Поэтому перед финальным экзаменом мне пришлось спешно восстанавливать в памяти методы, которыми я пользовался, готовить скриншоты и финальный отчет.

2. Отнестись серьезно к *nix серверам. Студенты, с которыми я общался, убедили меня в том, что для успешного взлома *nix серверов, в рамках этого тренинга, надо серьезно подойти к тестовой площадке (хотя бы виртуальные машины под разные версии ядра Linux). Таким образом, к концу обучения у меня было 2-3 сервера с пользовательским shell'ом, но без root привилегий. Что обидно.

3. Я не полностью понял структуру сети. Уж больно она разношерстная. И, по большому счету, я не смог в полной мере воспользоваться данными собранными на одном компьютере, для взлома другого. Так была возможность потренировать XSS атаки, но я этого не сделал.

4. Вводные материалы нужно читать внимательно, но не слишком долго. Потому как там далеко не все, что нужно. Подход к взлому *nix компьютеров вообще очень мало проработан.

Что получилось хорошо:

1. В принципе, полученный в ходе исследования сети лаборатории набор данных у меня получалось не плохо систематизировать в программе KeepNote (предложенной авторами). Особенно пригодились удачно сформированные payload'ы, утилиты BackTrack Linux с необходимым набором команд, перечни добытых паролей.

2. Экзамен тоже прошел в целом не плохо. Если я правильно понял, это нормальная практика в этом тренинге брать еще 1-2 возможности сдать экзамен. Не скромно, но со второго-третьего раза можно было вполне "добить" оставшиеся компьютеры.

3. Отлично получилось поработать с SQLinjection, RFI и LFI атаками. В лаборатории достаточно серверов для этого дела. Особенно запомнилась SQLinjection атака через cookies.

Выводы:

1. Сразу: спасибо моим руководителям с прошлого места работы, за то что назначили на этот тренинг и терпели меня. Тренинг реально отнимает много сил и времени.

2. Тренинг безусловно полезен всем IT Security специалистам, так как можно сколько угодно размусоливать и теоретизировать. Но если есть шанс попробовать Offensive Security в таких вот "приближенных к боевым" условиях - надо им пользоваться.

3. Если вы возьметесь на тренинг, сразу обсудите временные затраты на этот тренинг начальству и близким. Надо реально дофига времени и свежую голову хотя бы иногда. Тренинг пропагандирует подход "Look out of the box", а в 3 часа ночи как-то не получается это делать.

4. Тренинг учит систематизировать, обобщать и оформлять данные, полученных в ходе исследования. Это очень полезно, по крайней мере для меня.

5. Таким образом мне зачли 80 часов этого тренинга и 40 кредитов ISC2.

Комментариев нет:

Отправить комментарий