สวัสดีครับทุกคน ในซีรีส์นี้จะมาแชร์ประสบการณ์ในการสอบ Certification ของผม (แบบสั้นๆ) กันนะครับ โดยจะรวบรวมหลายๆใบรับรองที่สอบผ่านไปแล้ว ณ. ปัจจุบันนี้ สามารถเลือกอ่านได้ตามลิงค์ด้านล่างนี้ได้เลยครับ:
Certification Review : eJPT (INE – FKA eLearnSecurity)
Certification Review : eWPT (INE – FKA eLearnSecurity)
Certification Review : eWPTX (INE – FKA eLearnSecurity)
Certification Review : eMAPT (INE – FKA eLearnSecurity)
Certification Review : CAP (SecOps)
Certification Review : CNPen (SecOps)
Certification Review : CCSP-AWS (SecOps)
Certification Review : MCRTA (CyberWarFare Labs)
Certification Review : OSCP (OffSec)
eWPTX: INE (FKA eLearnSecurity)
สำหรับตัวนี้ จะเป็น Certification ที่เน้นไปทางการทดสอบเจาะระบบเว็บ (Web Pentest) โดยจะมีความซับซ้อนในการโจมตีมากกว่าตัว eWPT โดยอาจต้องมีประสบการณ์ทางด้าน Web Pentest มาสัก 1 ปี หรือจะเรียนจากคอร์สของทาง INE เองก็ได้ แต่ถ้ายังไม่ได้มีประสบการณ์นานพอ หรือยังไม่ค่อยมั่นใจ ก็แนะนำให้เรียนให้จบคอร์ส โอกาสผ่านเยอะแน่นอนครับ โดยสามารถดู Exam Objectives ได้จากท้ายโพสต์นะครับ
Material
Material ค่ายนี้ค่อนข้างโอเค ข้อสอบจะไม่ได้หนี Material มากนัก ไม่ใช่แบบพวกสอน 1+1 แต่ออกข้อสอบ X^5*7/8=99 🤣 แต่ข้อเสียคือ Outdated ไปหน่อย 😅
หมายเหตุ: ช่วงหลังปี 2024 มีหลายๆคอร์สที่มีการอัปเดตใหม่ ความสดใหม่ของ Material อาจดีขึ้นก็ได้(มั้ง)
The Exam
ในส่วนของ Certification ตัวนี้ จะเป็นการสอบแบบหาช่องโหว่จาก IP/URL ที่ได้มาให้เยอะมากที่สุดเท่าที่เป็นไปได้ จะจำลองให้เหมือนการทำ Pentest ในชีวิตจริงเลย เจออะไรเอามาใส่ให้หมด (แต่ช่องโหว่ต้อง Make sense ด้วยนะ 😅) แม้ว่าจะเป็นแค่พวก Missing Header, Information Disclosure หรือ Vulnerable/Outdated Components ก็ตาม
ก่อนสอบระบบจะมีเอกสารให้อ่าน (Letter of Engagement) โดยจะบอก URLs ที่ให้ดำเนินการทดสอบเจาะระบบ, การตั้งค่า DNS, Scope และรายละเอียดสำคัญที่ควรต้องรู้ ก่อนที่จะเริ่มทำข้อสอบ แนะนำให้ทำการอ่านให้เข้าใจเสียก่อน หากละเลยบางส่วนไป อาจส่งผลให้สอบไม่ผ่านได้ ถึงแม้จะหาช่องโหว่ได้มากแค่ไหนก็ตาม เพราะสำคัญมากๆ อาจส่งผลให้สอบไม่ผ่านได้ ถึงแม้จะหาช่องโหว่ได้มากแค่ไหนก็ตาม
รูปแบบการสอบ จะเป็นแบบ 7+7 วัน โดยใน 7 วันแรก จะเป็นการเจาะระบบเพื่อหาช่องโหว่ให้ได้มากที่สุด และอีก 7 วันหลัง จะเป็นช่วงของการจัดทำรายงานผลการทดสอบเจาะระบบ
เนื่องจากเป็นการสอบที่ต้องเขียนรายงานเหมือนการทำงานจริงด้วย ซึ่งจะต้องมีทั้งการเขียนรายละเอียดสิ่งที่พบเจอ ขั้นตอนการค้นพบ ผกระทบ และต้องเขียนวิธีการแก้ไขของแต่ละช่องโหว่ด้วย แนะนำให้เขียน Steps ให้ละเอียดที่สุด และวิธีแก้ไขให้ตรงกับ Architect ของ Web Server เช่น Server ใช้ Apache ก็เขียนวิธีแก้ของ Apache หรือถ้าเป็น Nginx ก็เขียนวิธีแก้ไขของ Nginx
Recommendation
- อย่าคิด หรืออย่าทำเหมือนตอนเล่น CTF เพราะมันไม่ใช่!
- อ่าน Letter of Engagement ให้ละเอียด ถ้าไม่มั่นใจ ให้กลับมาอ่านซ้ำ
- บันทึกทุกๆขั้นตอนในการดำเนินการ, แนะนำให้ทำไปบันทึกไป แม้บางขั้นตอนจะไม่ได้ใข้ก็ตาม
- ใช้ช่องโหว่สาธารณะ (CVE, well-known exploit or etc.) เสมอ กรณีเจอ Vulnerable Components
- สามารถใช้เครื่องมืออะไรก็ได้ ในระหว่างการทดสอบเจาะระบบ
- แบ่งเวลาในการสอบให้เหมาะสม อย่าวิตกมากเกินไปหากทำไม่ได้ พักผ่อนให้เพียงพอก่อนแล้วกลับมาทำต่อ เพราะเวลาสอบมีเหลือเฟือ
- เขียนรายงานแบบคน Non-Technical อ่านแล้วเข้าใจได้ เขียนให้ละเอียดที่สุดเท่าที่จะเป็นไปได้
- ระบุวิธีแก้ไขให้ตรงตาม Server Architecture
ใครที่สนใจอยากไปสอบ Certification ตัวนี้ ก็ขอให้โชคดีนะครับ สู้ๆ ✌️
Exam Objectives
Web Application Penetration Testing Methodology (10%)
- Accurately assess a web application based on methodological, industry-standard best practices.
- Identify and prioritize testing objectives based on business impact and risk assessment.
Web Application Reconnaissance (15%)
- Perform a comprehensive passive and active reconnaissance on designated target web applications by utilizing tools and techniques such as WHOIS lookups, DNS enumeration, and network scanning.
- Extract information about a target organization’s domains, subdomains, and IP addresses.
- Utilize fuzzing techniques to discover input validation vulnerabilities in web applications.
- Utilize Git-specific tools to automate the discovery of secrets and vulnerabilities in code.
Authentication Attacks (15%)
- Test various authentication methods (e.g., Basic, Digest, OAuth) by executing practical attacks such as credential stuffing and brute force.
- Identify common vulnerabilities in SSO implementations and their potential impacts.
- Identify and exploit Session Management vulnerabilities (e.g., session fixation and hijacking).
- Identify and exploit weaknesses in OAuth and OpenID Connect protocols.
Injection Vulnerabilities (15%)
- Identify and exploit SQL injection vulnerabilities in web applications, including error-based, blind, and time-based techniques.
- Utilize SQLMap and other tools to automate SQL injection attacks and demonstrate effective exploitation.
- Identify and exploit NoSQL injection vulnerabilities in web applications, demonstrating hands-on skills in manipulating data in NoSQL databases.
- Extract sensitive data from compromised databases using advanced querying techniques.
API Penetration Testing (25%)
- Conduct hands-on penetration tests on API endpoints to identify and exploit vulnerabilities effectively.
- Utilize automation tools for API vulnerability testing and demonstrate efficiency in identifying vulnerabilities.
- Analyze API endpoints for potential parameter manipulation vulnerabilities and demonstrate exploitation techniques.
- Conduct tests to identify vulnerabilities related to rate limiting, such as denial-of-service (DoS) attacks and resource exhaustion.
- Demonstrate the ability to bypass or manipulate rate limiting mechanisms in a controlled testing environment.
Server-Side Attacks (10%)
- Identify and exploit SSRF (Server-Side Request Forgery) attacks against server-side services.
- Perform deserialization attacks to manipulate server-side objects, leading to arbitrary code execution or privilege escalation.
- Perform LDAP injection attacks against web application directories to bypass authentication or extract sensitive information.
Filter Evasion & WAF Bypass (10%)
- Analyze and test WAF rules to identify weak configurations, demonstrating practical bypass techniques.
- Perform hands-on WAF evasion techniques, such as encoding, obfuscation, and payload fragmentation, to bypass filtering mechanisms.
- Bypass input validation mechanisms through obfuscation, payload encoding, and altering content types, focusing on SSRF and XXE exploitation.
https://security.ine.com/certifications/ewptx-certification/
Published by