SecCode

🔐 یک نکته از تجربه مصاحبه با چندین نفر در حوزه امنیت مدتی است به‌عنوان مشاور امنیت و Penetration Tester در یک شرکت بزرگ فعالیت می‌کنم. در این مدت با حدود ۱۵ نفر برای موقعیت‌های امنیتی مصاحبه داشتم. نکته‌ای که برای من جالب بود این بود که تقریباً همه سابقه فعالیت در Bug Bounty داشتند و بعضی‌ها رزومه‌های بسیار طولانی و چندساله‌ای داشتند؛ اما در مصاحبه، در بعضی موارد حتی روی اصول و مبانی تست نفوذ وب تسلط کافی وجود نداشت. برای مثال، درک دقیق شرایط و سناریوهای: CSRF CORS File Upload Business Logic و بسیاری از موارد OWASP WSTG در حد انتظار یک Web Penetration Tester نبود. این موضوع یک نکته مهم را نشان می‌دهد: 🎯 اینکه Bug Bounty و Penetration Testing دو مسیر کاملاً متفاوت نیستند، اما مهارت‌های موردنیازشان دقیقاً یکسان هم نیست. در Bug Bounty معمولاً ممکن است فرد روی یک یا چند نوع آسیب‌پذیری خاص تمرکز بسیار زیادی پیدا کند و در همان حوزه به سطح بالایی برسد مثلا XSS اما یک Pentester باید بتواند یک سیستم را به‌صورت جامع بررسی کند؛ یعنی بداند چه چیزهایی را باید بررسی کند، چرا باید بررسی کند، چه سناریوهایی ممکن است وجود داشته باشد و چگونه یافته‌ها را مستند و ارزیابی کند. به نظر من اگر هدف شما این است که Pentester شوید، ابتدا روی مبانی تمرکز کنید: 📌 HTTP و Web Fundamentals 📌 Network Fundamentals 📌 Authentication & Authorization 📌 Session Management 📌 OWASP Top 10 📌 OWASP WSTG 📌 Methodology و فرآیند تست نفوذ 📌 گزارش‌نویسی و ارائه Evidence 📌 درک درست از Vulnerability و Impact بعد از اینکه این پایه شکل گرفت، Bug Bounty می‌تواند در کنار آن یک مسیر بسیار خوب برای افزایش مهارت، پیدا کردن سناریوهای واقعی و عمیق‌تر شدن در Vulnerability Research باشد. یک نکته دیگر هم مهم است: اگر برای مدت طولانی فقط روی Bug Bounty کار کنید و دیگر Pentest واقعی و جامع انجام ندهید، ممکن است به‌مرور از نگاه Methodology و بررسی جامع یک هدف فاصله بگیرید. نه اینکه صرفاً تعداد زیادی باگ پیدا کنیم، بلکه باید بدانیم سیستم را چگونه و با چه متدولوژی‌ای ارزیابی کنیم. در امنیت، فقط پیدا کردن یک آسیب‌پذیری مهم نیست؛ مهم است بدانیم چه چیزهایی را بررسی نکرده‌ایم. میثم منصف برنامه نویس و کارشناس امنیت @SecCode

🔐 سخنان ماندگار هکرها و متخصصان امنیت — قسمت دوم این قسمت بیشتر درباره تفکر یک پنتستر واقعی است؛ نه صرفاً اجرای چند ابزار. 16 🇬🇧 “Don’t just run the tool. Understand what the tool is doing.” 🇮🇷 «فقط ابزار را اجرا نکن؛ بفهم ابزار دقیقاً چه کاری انجام می‌دهد.» 17 🇬🇧 “A scanner finds patterns. A pentester finds meaning.” 🇮🇷 «اسکنر الگوها را پیدا می‌کند؛ پنتستر معنا را پیدا می‌کند.» 18 🇬🇧 “The best vulnerability is the one you understand.” 🇮🇷 «بهترین آسیب‌پذیری، آسیب‌پذیری‌ای است که آن را واقعاً درک کرده‌ای.» 19 🇬🇧 “Think like a developer before you think like a hacker.” 🇮🇷 «قبل از اینکه مثل هکر فکر کنی، مثل برنامه‌نویس فکر کن.» 20 🇬🇧 “Every input is a question. Every response is an answer.” 🇮🇷 «هر ورودی یک سؤال است؛ هر پاسخ، جواب آن سؤال.» 21 🇬🇧 “Read the source. Understand the logic. Then find the flaw.” 🇮🇷 «کد را بخوان؛ منطق را بفهم؛ بعد نقص را پیدا کن.» 22 🇬🇧 “A vulnerability is often hiding in the assumptions.” 🇮🇷 «آسیب‌پذیری اغلب در فرضیات پنهان می‌شود.» 23 🇬🇧 “Tools change. Fundamentals don’t.” 🇮🇷 «ابزارها تغییر می‌کنند؛ اصول تغییر نمی‌کنند.» 24 🇬🇧 “Knowing OWASP is not the same as understanding web security.” 🇮🇷 «دانستن OWASP با درک امنیت وب یکی نیست.» 25 🇬🇧 “A good pentester doesn’t just find vulnerabilities; they explain why they exist.” 🇮🇷 «یک پنتستر خوب فقط آسیب‌پذیری را پیدا نمی‌کند؛ توضیح می‌دهد چرا به وجود آمده است.» 26 🇬🇧 “The code tells a story. Read it.” 🇮🇷 «کد یک داستان را روایت می‌کند؛ آن را بخوان.» 27 🇬🇧 “Think beyond the expected behavior.” 🇮🇷 «فراتر از رفتار مورد انتظار فکر کن.» 28 🇬🇧 “Every assumption is a potential attack surface.” 🇮🇷 «هر فرضی می‌تواند یک سطح حمله بالقوه باشد.» 29 🇬🇧 “Learn the technology before trying to break it.” 🇮🇷 «قبل از تلاش برای شکستن یک فناوری، آن را یاد بگیر.» 30 🇬🇧 “A tool can automate a test, not replace understanding.” 🇮🇷 «ابزار می‌تواند یک تست را خودکار کند، اما جای فهمیدن را نمی‌گیرد.» 🔥 هک واقعی از ابزار شروع نمی‌شود؛ از فهمیدن شروع می‌شود. 📌 @CafePentest