สวัสดีครับทุกคน ในซีรีส์นี้จะมาแชร์ประสบการณ์ในการสอบ Certification ของผม (แบบสั้นๆ) กันนะครับ โดยจะรวบรวมหลายๆใบรับรองที่สอบผ่านไปแล้ว ณ. ปัจจุบันนี้ สามารถเลือกอ่านได้ตามลิงค์ด้านล่างนี้ได้เลยครับ:
Certification Review : eJPT (INE – FKA eLearnSecurity)
Certification Review : eWPT (INE – FKA eLearnSecurity)
Certification Review : eWPTX (INE – FKA eLearnSecurity)
Certification Review : eMAPT (INE – FKA eLearnSecurity)
Certification Review : CAP (SecOps)
Certification Review : CNPen (SecOps)
Certification Review : CCSP-AWS (SecOps)
Certification Review : MCRTA (CyberWarFare Labs)
Certification Review : OSCP (OffSec)
eMAPT: INE (FKA eLearnSecurity)
สำหรับตัวนี้ จะเป็น Certification ที่เหมาะสำหรับผู้ที่สนใจในการทดสอบเจาะระบบแอปพลิเคชันมือถือ (Mobile Pentest) เป็นหลักนะครับ ใครที่มีประสบการณ์ในการทดสอบเจาะระบบในฝั่งของ Mobile Pentest มาสัก 6 เดือน ถึง 1 ปีก็น่าจะผ่านได้ไม่ยาก หรือจะเรียนจากคอร์สของทาง INE เองก็ได้ แต่ถ้ายังไม่ได้มีประสบการณ์นานพอ หรือยังไม่ค่อยมั่นใจ ก็แนะนำให้เรียนให้จบคอร์ส โอกาสผ่านเยอะแน่นอนครับ โดยสามารถดู Knowledge Domains ได้จากท้ายโพสต์นะครับ
Material
Material ค่ายนี้ค่อนข้างโอเค ข้อสอบจะไม่ได้หนี Material มากนัก ไม่ใช่แบบพวกสอน 1+1 แต่ออกข้อสอบ X^5*7/8=99 🤣 แต่ข้อเสียคือ Outdated ไปหน่อย 😅
หมายเหตุ: ช่วงหลังปี 2024 มีหลายๆคอร์สที่มีการอัปเดตใหม่ ความสดใหม่ของ Material อาจดีขึ้นก็ได้(มั้ง)
The Exam
ในส่วนของ Certification ตัวนี้ จะเป็นการสอบที่แตกต่างกับ eWPT/eWPTX ก็คือจะไม่มีการให้จัดทำรายงานผลการเจาะระบบ แต่จะเป็นการให้ทำการเขียน Android Application ขึ้นมา 1 ตัว เพื่อทำการใช้ช่องโหว่ต่างๆเพื่อดึงข้อมูลสำคัญออกมาแสดงผล
ถึงแม้ใน Material จะมีการสอนทั้ง iOS และ Android แต่ตอนสอบ จะใช้ Android ในการสอบเพียงอย่างเดียว
ก่อนสอบระบบจะมีเอกสารให้อ่าน (Letter of Engagement) โดยจะบอกเโจทย์ และเงื่อนไขต่างๆ และรายละเอียดสำคัญที่ควรต้องรู้ ก่อนที่จะเริ่มทำข้อสอบ แนะนำให้ทำการอ่านให้เข้าใจเสียก่อน หากละเลยบางส่วนไป อาจส่งผลให้สอบไม่ผ่านได้ ถึงแม้จะหาช่องโหว่ได้มากแค่ไหนก็ตาม เพราะสำคัญมากๆ อาจส่งผลให้สอบไม่ผ่านได้ ถึงแม้จะหาช่องโหว่ได้มากแค่ไหนก็ตาม
รูปแบบการสอบ จะให้เวลาสอบเป็นเวลา 7 วัน เนื่องจากเป็นการสอบแบบไม่ต้องทำรายงาน โดยข้อสอบจะมีแอปมาให้เราวิเคราะห์ 2 แอป โดยสามารถใช้ Tools ต่าองได้ตามใจเลย จะ Static Analysis หรือ Dynamic Analysis ได้ตามสบายเลย ไม่ได้มีข้อจำกัดใดๆ
ส่วนตัวผมที่คิดว่ายากที่สุดก็คือ การที่ต้องทดสอบ Exploit application ที่เขียนขึ้นมา ให้สามารถทำงานได้ในหลายๆอุปกรณ์นี่แหละครับ เพราะบางช่วงก็เจอปัญหาหลายๆอย่าง อาธิ Android version เดียวกัน กันเครื่อง A ผ่าน แต่เครื่อง B ไม่ผ่าน หรือรันผ่านทั้งคู่ แต่อีกเครื่องอยู่ดีๆก็ Crash/Stop Working ไปดื้อๆ เล่นเอาเหนื่อยอยู่เหมือนกัน 😅
Recommendation
- อ่าน Letter of Engagement ให้ละเอียด ถ้าไม่มั่นใจ ให้กลับมาอ่านซ้ำ
- ต้อง Build Application ตาม SDK version ที่เอกสารระบุไว้เท่านั้น
- ทดสอบแอปกับหลายๆ SDK version และหลายๆอุปกรณ์(เสมือน)
- สามารถใช้เครื่องมืออะไรก็ได้ ในระหว่างการทดสอบเจาะระบบ
- แบ่งเวลาในการสอบให้เหมาะสม อย่าวิตกมากเกินไปหากทำไม่ได้ พักผ่อนให้เพียงพอก่อนแล้วกลับมาทำต่อ เพราะเวลาสอบมีเหลือเฟือ
ใครที่สนใจอยากไปสอบ Certification ตัวนี้ ก็ขอให้โชคดีนะครับ สู้ๆ ✌️
Knowledge Domains
- Information Gathering
- Reverse engineering Android applications
- Exploit Android vulnerabilities
- Applied security principles
- Logic flaws
- Exploit development for Android environments
- Encryption and cryptography
- Identify vulnerable implementations
https://security.ine.com/certifications/emapt-certification/
Published by