Как стать хакером с нуля? Что нужно знать и уметь, где учиться?

Деятельность хакеров – это уже медийный бренд. Суровые «технари» в капюшонах, что днями и ночами «грызут» вражеские системы, а иногда и вовсе «разят» сайты злодеев одной меткой командной строкой – такой стереотип предлагает массовая культура, в первую очередь кинематограф.

Однако, кино и реальность сильно различаются, и если постигать азы хакинга «по фильмам» – велик риск «нажить» проблемы с законом и плохую репутацию раньше, чем получить хоть сколько-нибудь существенный доход.

В этой статье будут разобраны основные ошибки начинающих хакеров, с чего начинается карьера пентестера и какие навыки обязательны для специалиста по тестированию на проникновение.

Кем вы хотите стать

Прежде чем говорить о том, как стать хакером с нуля, важно разобраться с тем, для чего это нужно. Если хакинг рассматривается как сравнительно простой способ быстрого обогащения – то это то же самое, что учиться грабить банки. То есть – прямой путь к уголовной ответственности, независимо того, каких технических высот сможет добиться специалист.

Константин Андриотис

COO Hexens.io

Мы в Hexens верим в то, что хакинг – это особый склад мышления, сильно отличающийся от инженерного. В споре физиков и лириков хакер – это «и», ведь для достижения целей нужны не только прикладные навыки вроде знания сетей, языков программирования и логики, но и весьма специфический подход к решению задач. Срезать на поворотах, обходить правила и уметь выходить из любой ситуации - в любое способном троечнике можно увидеть задатки будущего whitehat'а. Далее дело интересов: математика, логика, базовые знания языков программирования и сетей – прямая дорога к успешной карьере в хакинге.

Главное и первое – не примерять черную шляпу, всегда придерживаться этического подхода к осуществлению действий по безопасности, вульгарная пословица про один раз тут не применима.

Важно никогда не останавливаться в своем развитии, – изучать новые технологии, языки (как программирования, так и коммуникации) и держать руку на пульсе всех трендов кибербезопасности. Еще один пункт – найти команду единомышленников, вместе с которой начинающий хакер будет развиваться.

Если же говорить о «белом» хакинге или пентестинге, то это не та профессия, где можно «научиться один раз» и просто идти вверх по карьерной лестнице. Пентестер – это специалист, который постоянно учится, поскольку механизмы и тактики защиты непрерывно совершенствуются, и взламывать их по устаревшей методичке – неэффективно.

Таким образом, хакинг – это не только профессия, но и определенный стиль жизни, который требует от специалиста больше времени и усилий, чем многие другие специальности. Если не понимать это еще на старте – велик риск, что построить карьеру в пентестинге просто не получится.

Как стать хакером

Основы хакинга и стартовые навыки в профессии можно получить тремя способами:

Обучаясь самостоятельно, с помощью учебных пособий, гайдов и открытых лабораторий с задачами для пентестеров.
Пройдя соответствующую программу обучения. Это может быть полноценное высшее образование в ВУЗе или курс EdTech-компании, либо профильной организации, специализирующейся на подготовке пентестеров.
Комбинированный подход. Сочетание программного обучения с самостоятельным развитием тех или иных профильных навыков.

Если говорить о базовых, не связанных напрямую с профессией, навыках, то главный из них – это умение искать информацию. Новые техники и уязвимости появляются достаточно часто, информация о них редко лежит на главной странице популярного издания – весьма вероятно, что искать ее придется «в глубине профильных форумов» или в отчетах исследовательских групп. В связи с этим, не менее важный навык – это знание английского языка, поскольку на нем материалов несоизмеримо больше.

Александр Герасимов

CISO Awillix

Знания, которыми должен обладать кандидат в пентестеры:

умение писать код на одном, а лучше на нескольких скриптовых языках программирования. Например, Python, PHP или JavaScript;

навык извлечения данных из веб-страниц, понимание того, как работают браузеры и осуществляется коммуникация с сервером;

знание особенностей языков программирования и типовых ошибок, которые могут допустить разработчики;

понимание бизнес-логики и логики работы системы, способность проводить анализ для выявления ошибок, которые потенциально может допустить разработчик;

основы администрирования операционных систем Linux и Windows для проведения аудита безопасности, фильтрации трафика и других способов защиты от атак на сетевые сервисы;

понимание основных сетевых протоколов (HTTP, TCP, DNS) / сетевых служб (Proxy, VPN, AD);

знание компьютерной безопасности с разных сторон, включая криминалистику, системный анализ и многое другое;

навыки использования софта для аудита и эксплуатации уязвимостей, например SqlMap, Nmap, Metasploit, Acunetix, Burp Suite и прочее;

знание особенностей работы баз данных и основных CMS, способов защиты их от атак;

коммуникативные навыки и понимание того, как хакеры используют человеческий фактор для получения несанкционированного доступа к защищенным системам;

умение автоматизировать свою работу.

Чтобы научиться чему-то и прийти в профессию, достаточно желания и времени. Никогда еще обучение в этой сфере не было таким доступным, как сейчас: вся информация открыта, много возможностей для самостоятельного погружения.

Вот несколько вариантов того, как можно практиковаться:

Решать лабораторные работы, направленные на взлом серверов, задачи из интернета.

Изучить сайт Hack The Box — там много разных задачек.

Пройти курсы от eLearnSecurity, Offensive Security — они помогут не только подтянуть теорию, но и лучше решать лабораторные работы. Курсы комплексные, с хорошей практической базой.

Есть разные направления пентестов: web, mobile, IT-инфраструктура, АСУ ТП и прочие. Каждый специалист может выбрать, в чем именно развиваться, исходя из своих интересов. Существуют пентестеры, которые не умеют программировать, но разбираются в социотехнических тестированиях и анализе поведения пользователей. Есть те, кто проводит анализ кода и является не только ИБ-специалистом, но и разработчиком, причем кодит на многих языках сразу или с глубокой экспертизой в каком-то одном.

Здесь важно понимать, что тезис некоторых EdTech-компаний о том, что «хакером можно стать и без навыков программирования» не совсем верен, поскольку не пользоваться навыками и не иметь их вовсе – это две большие разницы.

Помимо этого, дополнительным источником знаний могут стать разного рода ивенты и хакатоны, которые проводятся профильными организациями, в том числе – участие в играх CTF разного уровня.

На чем зарабатывать начинающему хакеру

На конец 2022-го года на сайте HeadHunter около пятидесяти активных вакансий для пентестеров. Однако, большинство компаний ищут специалистов с двухлетним и более опытом в профессии.

Если не получается найти работу для специалиста без опыта, можно поискать оплачиваемую стажировку. Искать их можно как через агрегаторы, вроде HeadHunter, так и на сайтах крупных IT-компаний или наоборот, узкоспециализированных организаций, которые занимаются анализом защищенности.

Помимо этого, можно принять участие в программах Bug Bounty. Однако, важно учитывать, что оплата за найденные баги и уязвимости не приходит раз в месяц, как зарплата, и от подачи репорта до получения выплаты вполне может пройти два-три месяца. Багхантинг можно совмещать как с основной работой, так и с обучением хакингу.

Ошибки начинающих хакеров

Важно понимать, что никакой уровень технических навыков, никакое число найденных уязвимостей или другие «маркеры крутого хакера» не позволят специалисту найти работу, если он не вызывает доверия.

Пентестеры регулярно взаимодействуют с чувствительной информацией и «внутренней кухней» крупных компаний, поэтому вопрос репутации и ее «белизны» крайне важен для любого специалиста.

Поэтому, при собеседовании на должность пентестера, не стоит хвастаться что вы еще в подростковом возрасте взломали сайт своего учебного заведения или страничку бывшей девушки в социальных сетях. Такие сомнительные достижения могут быть расценены как потенциальная склонность к использованию навыков и доступа к системам вне прямых задач.

Вторая распространенная ошибка – это пренебрежение комплексным обучением в пользу узкой специализации. Такой подход оправдан и логичен в случае со зрелыми специалистами, но губителен для карьеры начинающего хакера.

Третья ошибка – это невнимательность к юридическим моментам. Здесь нет универсального рецепта, просто нужно всегда держать в уме, что даже при наличии проверенного юридической службой договора – возможны эксцессы.

Еще одна ошибка, которая может случиться с начинающим хакером – это использование данных, полученных в ходе работы, в иных целях. В идеальном случае, пентестер должен «забывать» все, что увидел в инфраструктуре клиента, сразу после написания отчета. Поддаться искушению легко, однако, даже если избежать проблем с законом получится, проблемы с репутацией возникнут однозначно, и карьера «белого» хакера будет гарантированно загублена.

Итоги

Обучиться хакерству один раз и стать готовым специалистом невозможно. Обучение пентестера идет непрерывно, набор компетенций может быть достаточно разным, в зависимости от конкретной специализации, но это не освобождает от знания основ.

Специфика профессии такова, что специалист должен обладать достаточно высокими моральными качествами, и хорошо понимать что пентестер – это человек, который помогает совершенствовать защиту, а не просто взламывает сайты.

Таким образом, работа пентестера или белого хакера гораздо сложнее и требовательнее, чем говорят EdTech-компании. При этом, заработная плата среднестатистического специалиста не сильно отличается от зарплаты такого же уровня IT-специалиста.

Профессия хакера, во многом, определяет образ жизни специалиста, влияет на него не только в рабочее время, но и после него, вынуждая поздним вечером сидеть за разбором аналитики и новых техник. Но взамен можно получить интересные задачи, драйв и ту самую «романтику» профессии.

Пентест