[ jorganwd @ 14.04.2007. 23:11 ] @
Sta mislite o ovim sertifikatima? Koji je bolji? Da li se isplati polagati ovo?

www.eccouncil.org
www.offensive-security.org
[ m1k1 @ 06.07.2007. 10:03 ] @
Ja moj glas dajem za Offensive Security 101
Nisam pohađao CEH ali sam odgledao CBT kurs, činimi se da je on pretrpan svim i svačim.
Čini mi se da je on više namenjen za ljude koji imaju višegodišnje iskustvo i žele da svoje znanje dokumentuju sertifikatom.
Što je po meni OK, ali za nekog ko želi da nauči nešto bolji je Offsec101 zato sto te prosto navlači da saznaš više i više.
Isto tako podtiče bash scripting, programiranju u perl-u, python-u, takođe mislim da je posvećen temi Buffer Overflow više nego bilo
koji drugi kurs.

Evo nekoliko linkova na kojima se možeš dodatno informisati:

http://www.ethicalhacker.net/content/category/1/31/3/
http://www.digg.com/security/R...urse_Available_Today?t=5742877
http://www.enterprisenetworkin...m/netsecur/article.php/3685716

Ako se odlučiš za offsec101, javi.

Pozrdav
[ Fearless Rabbit @ 24.08.2007. 09:53 ] @
Jesi li se odlucio? Ja sam u istoj dilemi S tim sto ja moram jos nagovoriti firmu da mi plati nesto od toga..

OSCP klipovi se downloaduju, i predpostavljam da to mora da postoji nedje na netu dzabe da se skine, da nisi naleceo na nesto slicno? Ja sam trazio, ali nista.. Doduse, ja da ih imam, ne bih ih nikome davao
[ jorganwd @ 25.08.2007. 12:54 ] @
Da ne bih otvarao novu temu, sad cu postaviti malo detalja za Offensive Security course, posto sam se ipak bio odlucio za njega.

Naime, posle velike dileme sta da uradim, cackao sam podosta na internetu. Otac mi je obecao pare za Security+, ja sam imao jos stotinak eura u dzepu i razmisljao se sta da radim. CEH je takodje bio izazov...
Pripremio sam se vec uveliko za Security+, odgledao CBT nuggets (IT reperi koji me strasno nerviraju) za CEH, i na kraju posle dileme odlucio se za Offsec101. Zasto?
Security+ je suva teorija puna svega i svacega, uglavnom vecina stvari ostane na teoriji i sigurno kao sys-sec-admin ne bi znao kako da odreagujes na vecinu napada, ma koliko mizerni oni bili.
Sto se CEH-a tice, moze da ga polozi (isto kao i Sec+) svako ko skine par testkingova. Po mom misljenju, isuvise materija (nepotrebnog), outdated alatki itd.
Offsec101 je prava stvar, kao sto i sama org. se zove - Offensive Security, i ko polozi ispit stvarno je Certified Professional.
Istina je da je OSCP jos uvijek nepopularan sertifikat, po mom misljenju bice najpopularniji uskoro a i najvredniji u svojoj bransi.
I tako ja odlucim, bolje imati kvalitetno znanje, nego imati neki popularan sertifikat koji ce da ti krasi CV.
Prvi problem na koji sam naletio bilo je placanje. Naime sve se placa preko PayPal-a, a posto mi iz Srbije i Crne Gore nemamo mogucnosti takvog placanja, nije cak ni moguce placati kreditnom karticom jer se isti odvija preko PayPal-a. Tako da sam zamolio rodjaka iz NY da mi uplati, pa ja njemu kes da posaljem. I tako i bi. Moguce je takodje placanje preko banke, ali ide vrlo sporo i ne preporucuje se, m1k1 vam moze reci nesto detaljnije o toj vrsti placanja.
Drugi problem na koji sam naisao jeste moj ruter (citaj smece) koji mi je prodao T-com Crne Gore. Radi se o D-link-584T, probao sam i sa komsijinog wifi verzije 684t i ista stvar se desavala. Naime, posle 10 minuta vpn konekcije ruter poludi i moras ga cupat iz struje, ili sam ja glup pa nisam uspio podesit nesto lijevo na njemu :)
Problema vise nije bilo jer sam uzeo linksys ruter posle :)
Kurs je odlican, od prvog modula vec ne mozes da vjerujes sta te sve ceka. Program koji je u pdf-u na oficijelnom sajtu ustvari ti ne govori nista sta te ustvari stvarno ceka. Pocinje lagano pa sve brze i brze, nevjerovatne tehnike... Sve je tanko sazeto a mnogo toga se kaze za kratko vrijeme. Neke stvari koje su objasnjene u pola sata, ja bih morao knjigu od 200 strana iscitati za istu materiju. Bio sam odusevljen izazovima koji te cekaju u laboratoriji. Stvarno je nemoguce opisati kompletan kurs, dok ne probas nista nisi napravio. Koga interesuje security ovo je must-have kurs, definitivno.
Sto se tice ispita, to je vec druga prica. Nakon kursa imas 3 mjeseca da zakazes odnosno polazes ispit. Ispit traje 24 sata, u izoliranoj laboratoriji cekaju te 5 zadataka (hostova :) ) koja moras da 'odradis'. Ispit je nevjerovatno tezak, i trazi se prakticno znanje. Iskreno receno, posle 9 sati rada sam se zamalo onesvjestio od pritiska :)
Ja sam inace ispit polozio prije nekoliko dana, i vjerujte da sam citao blogove nekih ljudi koji su po desetak godina i vise u security-u, preplaseni 'odlazili' na ispit, i sa velikim postovanjem pricaju o OSCP sertifikatu pored silnih 'kobasica' od security sertifikata koji posjeduju, i najvise postovanja imaju prema OSCP.
Da ja ne bih mlatio vise, evo nekih navoda o samom kursu i ispitu koje sam pokupio, koji su ovako bili presudni po mene.

"The trainers giving the online courses are seasoned security professionals with over 10 years of experience in offensive security, pentesting and risk assessment. In addition, all trainers have at least 6 years of experience in public speaking and corporate security training."

" Question: Why should I opt for the OSCP certification ?
Answer: Once obtained, the OSCP certification provides testament of your Penetration Testing skills in a real life environment."


" Question: What is the difference between other certifications such as CEH (eCouncil) and OSCP ?
Answer: The OSCP is one of very few certifications which actually proves practical ethical hacking skills. Interestingly, the eCouncil and other similar course providers use BackTrack in their courses. "

Naravno, ostale informacije mozete potraziti na oficijelnom sajtu www.offensive-security.com kao i na irc.freenode.net #offsec, tamo se mozete za vise informacija obratiti operatorima, studentima ili bivsim studentima.

Toliko od mene

p.s. Fearless rabbit, ne mozes naci te materijale na netu, ako budes platio za offsec101 vidjeces da tako nesto nije moguce, ipak su to profesionalci koji misle i na to ;)
[ Fearless Rabbit @ 27.08.2007. 07:57 ] @
Cestitam. Raduje me sto se i u Crnoj Gori neko interesuje za ovu jos relativno mladu oblast, mislio sam da sam jedini ja lud Osnivamo prvu pen test kompaniju na Balkanu uskoro

Sto se materijala tice, rekao mi je m1k1 za watermarks, to mi nije palo na pamet Posto nema srece od firme da mi to plati (jbg, nije jos dovoljno zvucan sertifikat kojim bi se ONI kurcili), skupljam pare sam polako..

Jos me zanima ovo - da li si placao filmove na CBT Nugg. za CEH, posto je to skoro 600e, ili si ih nabavio nedje? Zanima me jer sam ja gledao neke njihove besplatne, a oni nisu nimalo informativni..
[ jorganwd @ 27.08.2007. 11:48 ] @
Hvala ;)
Na balkanu? Nisi dobro informisan, ja znam minimum 4-5 samo na prostorima bivse yu :)
I ko to otvara pen-test kompaniju?
Da, ima vodeni zig posred videa sa tvojim informacijama na njemu :D
Nisam placao, i bolje sto nisam jer su toliko bzvz da nisu vrijedni gledanja, to je neko moje misljenje. Znaci torrent, rapidshare, snalazio sam se uglavnom...
[ Fearless Rabbit @ 27.08.2007. 11:56 ] @
Citat:
jorganwd: Hvala
Nisi dobro informisan, ja znam minimum 4-5 samo na prostorima bivse yu


Ocekujem PM sa njihovim imenima i linkovima pls
[ bone_spider @ 26.10.2007. 23:21 ] @
Ako nekome treba imam CEH kurs na disku, sve sa potrebnim aplikacijama... pozz
[ valajbeg @ 01.01.2008. 01:14 ] @
jeli to onih 7 CD-ova!?
[ yagosh @ 15.01.2008. 20:23 ] @
CEH je bezveze. Cista teorija i ucenje milion sviceva raznih alata napamet od kojih je vecina out-of-date, odavno. Da ne pricam o nekoj terminologiji koju su izmislili u EC Councilu i koja se nigde ne koristi u praksi, ali imas i takvih pitanja, pa ako ne znas racuna se isto kao da nisi znao cemu sluzi -sV u nmapu. Cela prica je tako sklepana, da obuhvata i win i lin i skenere i snifere i snort i jos pun q*ac drugih stvari, ali prakse ni od korova. Zasto je u Britaniji tako popularan, nije mi bas jasno.
Ne znam kakav je OSCP (nisam polagao), ali prema onome sto pise na sajtu, cini mi se kao mnogo bolja opcija.
[ jorganwd @ 16.01.2008. 12:24 ] @
OSCP sertifikacija je stresna, imas da odradis pravi pentest koji traje 24 sata, dakle pravi izazov. U to spadaju 4 servera (root/administrator pristup) i jedan servis (da pronadjes bug/vulnerability i napises exploit za isti).

edit: naravno, ovo je bio moj slucaj, mozda se to sad razlikuje u brojevima, ali princip polaganja je isti.
[ yagosh @ 16.01.2008. 18:12 ] @
Citat:
jorganwd: OSCP sertifikacija je stresna, imas da odradis pravi pentest koji traje 24 sata, dakle pravi izazov. U to spadaju 4 servera (root/administrator pristup) i jedan servis (da pronadjes bug/vulnerability i napises exploit za isti).

edit: naravno, ovo je bio moj slucaj, mozda se to sad razlikuje u brojevima, ali princip polaganja je isti.


Jel ti nije tesko da das neki detalj. Znas sta me interesuje..npr, da li su targeti sve Linux masine ili ima i Windowsa, da li ima pronalazenja web app propusta ili su ciljevi iskljucivo sistemskog tipa (OS/Servis/Protokol...). Kakav si ti imao exploit da pises? Jel nesto sto moze da se iskopa in the wild, pa da se malo modifikuje ili si morao da pises od nule? A shellcode?
Hvala i poz!
[ jorganwd @ 17.01.2008. 09:07 ] @
Iz mog posta mozes da zakljucis kakvi su bili sistemi. Na ispitu moze svasta da te zadesi, i stvarno ima svega, kad kazem 'svega' onda bas tako mislim. Sto se tice pisanja exploita, mozes na netu samo da nadjes otprilike kako da nadjes vulnerability, exploit nikako. Imaj u vidu da su to eksperti za sigurnost, tesko da ima nesto na mufte da se prodje :)
Naravno, shellcode pises sam, pardon - generises po volji i potrebi.