Review del eWPT de eLearnSecurity

Introducción

El día 7 de abril del año 2021, recibí el correo electrónico por parte de eLearnSecurity, en el cual se me confirmaba que había completado de forma satisfactoria el examen de la certificación eLearnSecurity Web Application Penetration Testing (eWPT). Por lo cual acá les comento mi experiencia y pensamientos sobre esta certificación.

Motivación y Experiencia previa

Como profesional de TI, he trabajo en distintos roles, comenzando en soporte técnico, luego administrador de servidores Linux y analista de seguridad informática, he de mencionar que nunca había tenido una experiencia directa con todo lo relacionado a pentesting de forma profesional, debido a que mis tareas laborales siempre fueron mas del lado defensivo de la seguridad informática. Mi única experiencia relacionada con pentesting era el realizar algunas maquinas en HackTheBox, VulnHub o TryHackMe, debido a que me ha interesado mucho desde siempre todo lo realizado al tema de pentesting.

Sin embargo en agosto del año 2020, por parte de una empresa se me brindo la oportunidad de laborar como consultor de seguridad informática, siendo pentesting de aplicaciones web parte de las tareas a realizar, por lo cual necesitaba conocimientos solidos en esta parte, fue entonces cuando tome la decisión de comprar el curso y el voucher de la certificación.

Comparación con otras certificaciones
El porque decidí escoger eLearnSecurity para realizar mi primera certificación relacionada a pentesting, en vez de Offensive Security, Mile2 o GIAC, se los describo a detalle a continuación.

a) Offensive Security — OSWE
Para todos los que están relacionados con el mundo de pestesting, saben que Offensive Security es una de las empresas con mas prestigio en cuanto a certificaciones(si no es que la principal), para pentesting web ofrecen la certificación: Offensive Security Web Expert (OSWE), en la cual se tiene acceso al curso: WEB-300, que prepara para esta certificación. El porque no tome este camino fue debido a que es una certificación orienta a personas las cuales ya tengan cierta experiencia en pentesting web y además es orientada a pentesting web en modalidad caja blanca.

URL: https://www.offensive-security.com/awae-oswe/

b) Mile2 — C)SWAE
Por parte de la empresa Mile2, se ofrece la certificación: Certified Secure Web Application Engineer, CSWAE. La cual en cuanto a los módulos del contenido es un poco parecido a eWPT, sin embargo el examen de Mile2 para aprobar la certificación es de opción múltiple; por lo cual quería cambiar la modalidad del reto, buscaba algo que fuese totalmente practico.

URL: https://www.mile2.com/cswae_outline/

c) GIAC — GWAPT
Otra empresa muy conocida la cual ofrece certificaciones de pentesting, pero estas suelen tener precios demasiados elevados y esta no es la excepción para GWAPT, aunque he de mencionar que el contenido es muy completo y parecido a eWPT, sin embargo el examen para obtener la certificación es de opción múltiple.

URL: https://www.giac.org/certification/web-application-penetration-tester-gwapt?msc=giac-focus-area

Material del curso.
Tengo que decir que la forma en la cual eLearnSecurity estructuro los módulos y el contenido de este, es simplemente lo mejor. Me explico a continuación, el curso esta dividido en 15 módulos, de los cuales 14 contiene su laboratorio y vídeos explicativos. Esto es muy bueno para ir practicando desde un inicio e ir entendiendo la metodología. Además cada modulo contiene múltiples diapositivas las cuales se dividen de una forma la cual ayuda a no sentirse abrumado con tanta información. Algo mucho mas interesante es que el curso no tiene como único objetivo el mostrar como explotar vulnerabilidades, si no que además muestra el porque de estas y como mitigarlas.

Lo único “malo” a mencionar del contenido, es que esta un poco desactualizado en algunos módulos y si se quiere obtener lo mas actual en cuanto a algunos temas puede llegar a decepcionar esta parte.

En lo personal, los modulos mas importantes he interesantes para mi fueron:

1 — Penetration Testing Process
3 — Information Gathering
4 — Cross Site Scripting
5 — SQL Injections
6 — Authentication and Authorization
7 — Session Security
10 — File and Resources Attacks
12 — Web Services
14 — Penetration Testing Content Management Systems
15 — Penetration Testing NoSQL Databases.

Por ultimo mencionar que en algunas diapositivas o bien en la parte final de cada modulo, se brindan recursos externos al curso por si se desea profundizar aun mas en los temas.

El Examen.
Para el examen se brinda algo llamado: Letter of Engagement, lo cual básicamente son las instrucciones de lo que se tiene que realizar durante el examen, algo importante de esto es el alcance del pentesting a realizar (Mucho ojo con eso), además se deja en claro por parte de eLearnSecurity que aunque se logre el objetivo principal del examen, si no se consigue identificar “x” o “y” vulnerabilidad fallaras el examen.

Algo no menos importante y lo cual quise colocar en texto separado, es que el examen no es un CTF, los exámenes de eLearnSecurity son orientados a ser lo mas apegados a la realidad, por lo cual la metodología tiene que enfocarse a realizar un pentest real.

Debido a las políticas de eLearnSecurity no puedo brindar mucha información respecto a el examen, sin embargo mencionar que se tiene 7 días de acceso para realizar el pentest del examen, el cual es bastante retador para alguien que va iniciando en pentesting web. En lo personal me tomo aproximadamente 4 días conseguir el objetivo principal del examen e identificar todas las vulnerabilidades posibles, esto debido a que una parte del examen me mantuvo detenido por mucho tiempo, hasta que encontré la forma de obtener lo necesario “Think outside the box”.

Consejos para el examen
El examen es que como todo pentest, la parte de realizar el reconocimiento del objetivo es muy importante, si toman el examen dediquen mucho tiempo a este paso y no traten de comenzar a explotar toda vulnerabilidad posible desde un inicio.

Recordar que muchas veces para alcanzar un objetivo hay que realizar la unión de múltiples vulnerabilidades, de nuevo “Think outside the box”.

Puede que llegue el punto donde se sientan frustrados por no tener nada tangible despues de cierto tiempo, acá el consejo es que no bajen los brazos y se sientan estresados, si leyeron todo el contenido y realizaron cada uno de los laboratorios de seguro lo conseguirán.

Tomen descansos, el despejar la mente es muy importante para este tipo de exámenes.

Preparen su entorno antes del examen, a que me fiero con esto? pues tengan todas las herramientas necesarias instaladas en su maquina virtual y además realicen una copia de seguridad de esta por si algo sale mal y la maquina virtual se daña, recuerden “Shit happens”

Por ultimo y no menos importante, disfruten el examen.

El Reporte
Una vez se haya conseguido el objetivo principal del examen e identificado todas las vulnerabilidades, es momento de proceder con el informe. Para esto se obtiene otros 7 días en los cuales se puede trabajar sobre este. Mi reporte me tomo dos días terminarlo, este tuvo un total de 53 paginas debido a que trate de incluir todas las evidencias necesarias, recuerden que en este tipo de exámenes tomar todas las evidencias posibles en crucial. Además utilice como plantilla de informe el brindado por The Cyber Mentor, el cual les dejo por acá el link.

URL: https://github.com/hmaverickadams/TCM-Security-Sample-Pentest-Report

Recursos externos para esta certificación
El material del curso prepara perfectamente para el examen y no se necesita recursos externos para lograr aprobar, sin embargo por acá dejo algunos recursos los cuales considero son de importancia por si se desea leer y practicar mas al respecto.

Top 10 Web Application Security Risks
https://owasp.org/www-project-top-ten/

Portswigger Acedemy
https://portswigger.net/web-security

KONTRA Application Security Training
https://application.security/

Buggy Web Application (BWAPP)
http://www.itsecgames.com/

Damn Vulnerable Web Application (DVWA)
https://dvwa.co.uk/

Hack-me
https://hack.me/

Conclusión
Como punto final considero que esta certificación esta perfecta para todas aquellas personas las cuales estén iniciando en el mundo de pentesting y sobre todo las cuales deseen enfocarse en pentesting de aplicaciones web, por otra parte para las personas que tengan dos o mas años de experiencia en pentesting, este examen no lo sentiran tan complicado, es por esto que aconsejaría ir directo a la siguiente certificación la cual seria eWPTXv2( eLearnSecurity Web application Penetration Tester eXtreme), debido a que toca temas mas avanzados.

Espero esta informacion les sea de mucha ayuda.

mr3jk.