Авторский канал про безопасность и не только
Youtube - https://www.youtube.com/@EverSecure
Boosty - boosty.to/ever_secure
Чат - @ever_secure_chat
Вакансии - @ever_secure_jobs
Несмешные мемы - @fsecurity_channel
По всем вопросам: @aleksey0xffd
Post #1192
2.33K
Ever Secure Хочу немного рассказать о преподавательском составе курса! Для такого легендарного курса, я позвал не менее легендарных преподавателей. Вот первый из них: Александр Кондратьев (Автор канала Админим с Буквой @bykvaadm, Head of DevOps BI.ZONE). Саша DevOps…
Продолжая про наш будущий курс 👀
DevSecOps — это не «человек со сканером»
Когда я как руководитель собеседую DevSecOps, мне неинтересно, умеет ли человек воткнуть Trivy в пайплайн (у меня это спокойно делали стажеры). Мне важно: понимает ли он, что именно сканер ищет, сможет ли проэксплуатировать находку руками, объяснит ли разработчику, почему так сломалось и как правильно чинить.
Такому же подходу я придерживаюсь и в обучении!
Под это я и собрал лабы - 23 категории уязвимостей, 50+ флагов на эксплуатацию. И главное - не на уровне
хотя и их пройдем в самом начале 😉
Возьмём тот же Path Traversal. В лабе ты не просто читаешь ../../../etc/passwd. Ты учишься обходить фильтры:
• вырезания ../
• одинарное и двойное URL-кодирование
• кодирование только слеша / только точек
• absolute path bypass
• флаги раскиданы по разным файлам из реальных кейсов (будь то захардкоженные секреты в коде, креды в Dockerfile, интересных местах на системе и т.д). Таким образом, ты получаешь насмотренность
И так абсолютно по каждой теме: упор на вариативность векторов, обходы санитайзеров, реальные ошибки разработчиков, а не одна каноничная пейлоада из чек-листа. И это только 1 модуль из 11 💪
Моя цель: чтобы после курса человек смотрел на код и видел уязвимость до того, как сканер что-то скажет, прекрасно понимал, какие уязвимости он найдет с помощью SAST и DAST, а что не увидит и вовсе. Это и есть DevSecOps специалист, за которого я готов платить.
Старт: 06.06.26
Стоимость: 99к для первого потока
DevSecOps — это не «человек со сканером»
Когда я как руководитель собеседую DevSecOps, мне неинтересно, умеет ли человек воткнуть Trivy в пайплайн (у меня это спокойно делали стажеры). Мне важно: понимает ли он, что именно сканер ищет, сможет ли проэксплуатировать находку руками, объяснит ли разработчику, почему так сломалось и как правильно чинить.
Такому же подходу я придерживаюсь и в обучении!
Под это я и собрал лабы - 23 категории уязвимостей, 50+ флагов на эксплуатацию. И главное - не на уровне
../../../etc/passwd и 1' OR 1=1 --.
хотя и их пройдем в самом начале 😉
Возьмём тот же Path Traversal. В лабе ты не просто читаешь ../../../etc/passwd. Ты учишься обходить фильтры:
• вырезания ../
• одинарное и двойное URL-кодирование
• кодирование только слеша / только точек
• absolute path bypass
• флаги раскиданы по разным файлам из реальных кейсов (будь то захардкоженные секреты в коде, креды в Dockerfile, интересных местах на системе и т.д). Таким образом, ты получаешь насмотренность
И так абсолютно по каждой теме: упор на вариативность векторов, обходы санитайзеров, реальные ошибки разработчиков, а не одна каноничная пейлоада из чек-листа. И это только 1 модуль из 11 💪
Моя цель: чтобы после курса человек смотрел на код и видел уязвимость до того, как сканер что-то скажет, прекрасно понимал, какие уязвимости он найдет с помощью SAST и DAST, а что не увидит и вовсе. Это и есть DevSecOps специалист, за которого я готов платить.
Старт: 06.06.26
Стоимость: 99к для первого потока
- 🔥 23
- 🥴 7
- 🥱 5
- 🙈 5
- 👍 4
