Minha Jornada para a Certificação OSWE
Estamos vivendo em um ano que certamente ficará marcado na história da humanidade, mas de forma especial na vida de muitos de nós. Desta forma, decidi escrever um pouco da minha trajetória para me certificar OSWE, mas quero contar essa trajetória com um foco um pouco diferente do que comumente escrevo, quero focar nos insucessos e tropeços dessa trajetória.
Por que o foco no insucesso?
Estamos a um certo tempo, e potencializado este ano, em um movimento onde expomos todas as nossas conquistas nas redes sociais, mas em geral nos limitamos a elas. E as nossas falhas? E as vezes que pensamos em desistir? E as reprovações? Não, isso não expomos, não postamos. Talvez por medo? Enfim, independente de qual seja o motivo, raríssimas vezes vemos isso nas redes sociais.
Mas certamente para chegar a um ponto de sucesso erramos mais do que acertamos, choramos, nos frustramos, tivemos que abrir mão de muitas coisas na caminhada. Então vamos lá!
Onde tudo começou?
Eu sou um cara que ama certificações de cunho prático, onde você realmente é colocado à prova pelo que você sabe fazer, se você sabe sair de uma dificuldade e não se você é um cara que consegue decorar bem as coisas. Então, desde que descobri o mundo da Segurança Ofensiva me tornei um fã de carteirinha da Offensive Security. Em 2018, realizei minha primeira certificação da Offsec, experiência essa que comento em outro post. Depois segui para a OSCE em Fev/2019.
Por já ter essas outras certificações da Offensive Security, por volta de março de 2019, eu recebi um e-mail falando do treinamento AWAE (Advanced Web Attacks and Exploitation), dando a oportunidade de me inscrever antecipadamente, mas em virtude de questões financeiras fiquei somente na vontade.
Da compra ao começo
Já em Dez de 2019 eles lançaram uma promoção onde o curso estava saindo de U$ 1400,00 por U$ 999,00. Não tive dúvida, fui lá e comprei o curso. Mas aí começou uma das minhas frustrações, pois apesar de ter comprado o curso em virtude de compromissos pessoais, trabalho, família e etc… eu somente pude marcar o início do curso para 21 de março de 2020.
E o curso começa
Chegada a tão esperada data, março de 2020, recebo o e-mail com o material, acesso ao laboratório, porém praticamente não consigo focar no curso, estudo muito pouco durante o período do laboratório, e o meu um mês de laboratório se vai e eu sinto que ainda não estou nem perto de estar pronto para a realização da prova. Mas após a finalização do laboratório, eu tinha somente 120 dias para marcar minha prova. Período este que me daria um prazo máximo até 18 de agosto de 2020.
Minha salvação
Em 14 de julho, pouco menos de um mês do final do meu prazo máximo para realizar a prova, recebo um e-mail da Offsec informando que o AWAE foi atualizado e oportunizando a compra da atualização e com isso viria mais 1 mês de laboratório e ganharia mais um bom prazo para a realização da prova. Não tive dúvida, fui lá e desembolsei mais U$ 99,00 e garanti mais um fôlego! Marquei a data de início do novo laboratório para 21 de novembro. E esqueci!
E o novo mês de laboratório chegou
Em um determinado sábado, recebo um e-mail com o título, “Bem-vindo ao curso AWAE, seu período de laboratório se iniciou”. Aí eu pensei “F**!” tinha esquecido, e realmente estava tão atolado com os afazeres do dia a dia, trabalho, família, pandemia e etc… que obviamente não estava estudando e muito menos me programando para o período de acesso ao laboratório. Mas aí eu pensei “Não tenho mais opções”, “a hora é agora”, “o que é um peido para quem está cagado?”. Então não tive outra opção a não ser estudar.
Foquei algumas horas do meu dia, ou da minha noite, final de semana e estudei. Mas ainda me sentindo bem perdido, sem saber para onde olhar, o que mais estudar.
Se você chegou a ler este post até aqui e também está perdido, fica tranquilo, no final foi dar um foco mais técnico e colocar diversos links que lhe ajudarão nessa caminhada.
A prova
Então marquei a prova e chegou o grande dia. 15 minutos antes do horário marcado, fazemos todo o processo com o proctoring que basicamente consiste na verificação da sua identidade, uma inspeção (usando sua câmera) da mesa de trabalho, embaixo da mesa, ao redor do computador e etc… Após este processo, o proctor libera a prova, então conecto na VPN e inicio a prova. Caso deseje saber mais sobre os procedimentos da prova, segue o link da mesma.
Vejo os desafios por onde vou começar e mando ver. Após umas 2 horas em um dos desafios e sem nenhuma perspectiva de sucesso do mesmo, decido mudar de desafio, a coisa começa a deslanchar. Mais ou menos umas 18 horas após o início da prova, consigo obter 50 dos 100 pontos máximos para a prova, mas ainda precisava de pelo menos mais 35 pontos para a aprovação. Estes outros 50 pontos estavam exatamente naquele desafio (e correlato) que eu não tinha saído do lugar no início da prova. Então eu não tinha outra opção a não ser encará-lo. Então voltei para ele, e as horas passam, e nada.
Após umas
36 horas de prova, eu tinha praticamente certeza de onde estava a vulnerabilidade, mas não tinha ideia de como explorá-la, acabei tomando uma decisão errada e seguindo para um caminho, que não me traria a solução, mas neste ponto o cansaço e a frustração já tinham tomado conta de mim.
Faltando pouco menos de 3 horas do final da prova, fisicamente desgastado (até porque exatamente um dia antes da prova eu fui diagnosticado com COVID, mas graças a Deus com sintomas leves, mas não deixava de estar com medo!) eu não conseguia mais pensar, não conseguia mais lutar, então me sentei em um canto e chorei. Literalmente! Minha cabeça estava um turbilhão! Com diversas coisas “tive quase um ano e vou reprovar”, “sou incompetente”, “sou burro” e mais um monte de frases que não posso escrever aqui! :).
E o fim da prova chegou e eu estava com somente os 50 pontos. Então oficialmente tinha reprovado!
A superação
Foi então que conversando com os colegas que me dei conta de tudo aquilo que escrevi no início deste post, e me vem uma frase ótima “todo mundo só vê os tombos que eu levo, mas não veem as cachaças que eu tomo”, ou seja, eu estava acostumado a ver somente os sucessos, mas não o quanto cada um teve que lutar para chegar naquele ponto!
E veio a luz!
Foi aí que então, pouco mais de 6 horas depois de finalizar a prova eu consegui encontrar como explorar a vulnerabilidade. Foi então que já entrei em contato com a Offensive Security, comprei o retake e o marquei. Fui com sangue nos olhos!
A prova – retake
Consegui marcar a prova para as 2 horas da manhã aqui do Brasil, então certamente no dia antecedente eu não dormi nada e já comecei a prova cansado, extremamente ansioso, com medo! Mas confiante.
Começo a prova e tenho a grata surpresa de ser exatamente a mesma prova, faço então os devidos ajustes em meu exploit iniciado na primeira tentativa, e mando rodar, e menos de 10 minutos depois da execução! Consigo enfim realizar a tão sonhada exploração que não tinha conseguido na primeira tentativa. Mas ainda não podia comemorar pois tinha muito ainda a se fazer, continuo focado e mais ou menos umas 5 horas depois de começado a prova, consigo completar todos os desafios adquirindo 100 pontos.
Depois disso, gastei mais umas 15 horas escrevendo o relatório e enfim solicitei ao proctor a finalização da prova e realizei o envio do relatório.
A aprovação
Alguns dias depois recebo o tão sonhado e-mail “Você completou todos os requisitos e obteve sua certificação OSWE”. Enfim poderia respirar aliviado tinha conseguido.
A sua aprovação
Fiz questão de escrever essa história, em alguns momentos enfadonha e longa para você que em diversos momentos pensou em desistir, que somente consegue ver o “Sucesso” alheio, mas lembre-se que o sucesso é apenas a ponta do iceberg, que embaixo dele há diversas outras ações, superações, frustrações, dedicação, estudo. E o mais importante, horas de trabalho árduo.
Minhas considerações
- Esta certificação não é para iniciantes, então não se deixe levar pelas promoções e valores atrativos se você não tem a certeza do que está fazendo;
- Não se limite a obter conhecimento de técnicas de exploração, mas conheça muito bem detalhes de infraestrutura e configuração como Apache, Apache Tomcat, IIS, Windows, Linux e etc…
- Se prepare e inicie os estudos mesmo antes de iniciar o seu período de treinamento oficial da Offensive Security. Para isso, colocarei abaixo alguns links de reviews e de estudos prévios.
O que estudar?
A própria página da Offsec dá um norte de assuntos e tópicos que você pode estudar, segue o que eles listaram:
- Web security tools and methodologies
- Source code analysis
- Persistent cross-site scripting
- Session hijacking
- .NET deserialization
- Remote code execution
- Blind SQL injections
- Data exfiltration
- Bypassing file upload restrictions and file extension filters
- PHP type juggling with loose comparisons
- PostgreSQL Extension and User Defined Functions
- Bypassing REGEX restrictions
- Magic hashes
- Bypassing character restrictions
- UDF reverse shells
- PostgreSQL large objects
- DOM-based cross-site scripting (black box)
- Server-side template injection
- Weak random token generation
- XML external entity injection
- RCE via database functions
- OS command injection via WebSockets (black box)
Sério Helvio!? Eu li até aqui para você copiar e colar o que está na página da Offsec. Calma, tem mais alguns links que utilizei para estudar. Bons estudos e boa prova!
Reviews
- https://www.offensive-security.com/offsec/offensive-security-awae-oswe-review/
- https://medium.com/@it_band/how-i-passed-the-oswe-exam-3de88bdbad2c
- https://hub.schellman.com/blog/oswe-review-and-exam-preparation-guide
- https://forum.hackthebox.eu/discussion/2646/oswe-exam-review-2020-notes-gifts-inside
- https://hackmd.io/@Chivato/Hyflsx0ZI
- https://github.com/deletehead/awae_oswe_prep
- https://github.com/timip/OSWE/
Outros links
- https://medium.com/a-bugz-life/from-reflected-xss-to-account-takeover-showing-xss-impact-9bc6dd35d4e6
- https://noobe.io/articles/2019-10/xss-to-account-takeover
- https://owasp.org/www-pdf-archive/PHPMagicTricks-TypeJuggling.pdf
- https://www.netsparker.com/blog/web-security/php-type-juggling-vulnerabilities/
- https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Type%20Juggling
- https://www.sqlinjection.net/time-based/
- https://websec.ca/kb/sql_injection
- http://sunu11.com/2018/01/26/18/
- https://github.com/blabla1337/skf-labs/blob/master/kbid-156-sqli-blind.md
- https://github.com/blabla1337/skf-labs/blob/master/kbid-xxx-deserialisation-yaml.md
- https://media.blackhat.com/bh-us-12/Briefings/Forshaw/BH_US_12_Forshaw_Are_You_My_Type_WP.pdf
- https://github.com/blabla1337/skf-labs/blob/master/kbid-XXX-Auth-bypass-2.md
- https://cheatsheetseries.owasp.org/cheatsheets/Deserialization_Cheat_Sheet.html
- https://www.php.net/manual/pt_BR/security.hiding.php
- https://httpd.apache.org/docs/trunk/pt-br/howto/htaccess.html