OSWE受験記(2021年3月3日)

2021年3月3日に受験したOSWEが合格したので、受験期を書こうと思います。個人的な感想や意見が中心のため、役に立たないかもしれませんが、少しでも参考になれば幸いです。

本記事の中で私が一番伝えたい内容となっているので、先に述べます。また、OSWEにすでに取り組んでいる方へ書くため、内容は知っている前提とします。

- あくまで試験であることを意識する
OSWEは、Authentication bypassとRCEでポイントが獲得できます。言い方を変えると、RCEはAuthentication bypassができないと到達できないことを意味しています。

よって、RCEのソースコードの解析の際に、上記のことを意識するだけで大幅に見るべきソースコードの量が減ります。

実際に試験時間の大半をAuthentication bypassに費やしました。どちらのマシンもRCEは最初の段階である程度予想ができるものとなっていました。

また、試験である以上、試験範囲のものが出題されます。pdfの資料で説明された脆弱性を発見するためのcheat sheetを作成することを推奨します(検索する文字列、検証用コマンド、文字制限のbypassコマンドなど)。

- 発見手順を明確にする
個人的に、OSWEの試験で一番重要だと思う要素は、脆弱性が存在する関数を特定することだと思います。しかし、pdfではこの要素はあまり言及されていません。pdfで説明されているすべての脆弱性を"なぜ"発見できたのか理解することが重要です。

よって、Authentication bypassとRCEの発見手順(パターン)を明確にしておくことを推奨します。

- pdfを中心に学習する
OSCPの場合、大半の方はラボとVulnhub、HackTheBoxを中心に学習していると思いますが、OSWEの場合pdfを中心に学習することを推奨します。
理由は、Vulnhub、HackTheBoxともにブラックボックスでのペンテストになるからです。

- レポートは試験中に終わらせる
OSCPと違ってソースコードについてのレポートを書く必要があるので、レポートで使用するスクリーンショットを漏れなく取り終えるのは、難しいと思います。

したがって、合格点に到達した時点でレポートを書き始め、確実にスクリーンショットが十分であることを確認したうえで100点を目指すことを推奨します。

- kaliのバックアップを作成する
試験中に仮想マシンが壊れたり、VSCodeが使用できなくなったりする可能性があるため、バックアップの作成を推奨します。

私の場合、試験中にVSCodeを起動するとエラーで強制終了するようになりました...

普段は東京でサイバーインシデントの調査をしています。
また、Webの開発及び脆弱性診断の経験はありません。

日程	内容
2020/12/27	OSWEに申し込む
2021/1/17	OSWE labs 開始
2021/1/25	OSWE pdf１巡目終了(Extra Mile除く)
2021/1/29	OSWE pdf 2巡目終了(Extra Mile除く)
2021/2/5	OSWE すべてのラボマシンを攻略
2021/3/2	pdfのExtra Mileとcheat sheetの作成完了
2021/3/3	OSWE 受験
2021/3/10	OSWE 合格通知受信

47時間45分の試験時間のうち、約20時間ですべてのマシンを攻略しました。流れは以下のようになりました。

時間	内容
2021/3/3 9:00	試験開始
2021/3/3 13:15	1つ目のAuthentication bypassを発見
2021/3/3 14:00	1つ目のAuthentication bypass完了
2021/3/3 15:00	1つ目のRCE完了
2021/3/3 18:30	1つ目のPOC作成完了
2021/3/3 22:00	就寝
2021/3/4 1:30	起床
2021/3/4 1:50	2つ目のAuthentication Bypass発見
2021/3/4 3:40	2つ目のAuthentication Bypass完了
2021/3/4 3:50	2つ目のRCE完了
2021/3/4 5:00	2つ目のPOC作成完了
2021/3/4 15:00	レポート提出

OSWEのラボ期間中は、仕事が忙しくあまり時間が取れませんでした(新サービスの技術部門を担当したり...)。しかし、約1ヶ月半で合格することができたので、個人的には満足です。
また、OSCPよりもかなり簡単だと感じました。理由は以下になります。

OSCPは、とにかくパターンを覚えていく感じですが、OSWEで覚えるべきパターンはかなり少ないです。その分一つ一つのパターンが多少難しいですが、少し時間をかければ誰でも理解できる内容となっていました。

試験時間がOSCPの約2倍となっており、ゆっくりと取り組むことができます。試験に出できた脆弱性は、Labよりも難しかったですが、その分時間があったため問題ではありませんでした。

今年の目標の一つが達成できたため、引き続き気を引き締めて頑張りたいと思います。
ここまで読んでいただきありがとうございました！

Trick or Treat