DevSecOps — это не «человек со сканером»
Когда я как руководитель собеседую DevSecOps, мне неинтересно, умеет ли человек воткнуть Trivy в пайплайн (у меня это спокойно делали стажеры). Мне важно: понимает ли он, что именно сканер ищет, сможет ли проэксплуатировать находку руками, объяснит ли разработчику, почему так сломалось и как правильно чинить.
Такому же подходу я придерживаюсь и в обучении!
Под это я и собрал лабы - 23 категории уязвимостей, 50+ флагов на эксплуатацию. И главное - не на уровне
../../../etc/passwd и 1' OR 1=1 --.
хотя и их пройдем в самом начале 😉
Возьмём тот же Path Traversal. В лабе ты не просто читаешь ../../../etc/passwd. Ты учишься обходить фильтры:
• вырезания ../
• одинарное и двойное URL-кодирование
• кодирование только слеша / только точек
• absolute path bypass
• флаги раскиданы по разным файлам из реальных кейсов (будь то захардкоженные секреты в коде, креды в Dockerfile, интересных местах на системе и т.д). Таким образом, ты получаешь насмотренность
И так абсолютно по каждой теме: упор на вариативность векторов, обходы санитайзеров, реальные ошибки разработчиков, а не одна каноничная пейлоада из чек-листа. И это только 1 модуль из 11 💪
Моя цель: чтобы после курса человек смотрел на код и видел уязвимость до того, как сканер что-то скажет, прекрасно понимал, какие уязвимости он найдет с помощью SAST и DAST, а что не увидит и вовсе. Это и есть DevSecOps специалист, за которого я готов платить.
Старт: 06.06.26
Стоимость: 99к для первого потока