История о том, как подход "мы вам ничего не подскажем" превратился в главное преимущество
Когда курс по веб-пентесту только запускался, организаторы столкнулись с дилеммой. С одной стороны, студенты платят приличные деньги и ожидают поддержки. С другой стороны, они понимали: если давать готовые ответы на каждое задание, люди научатся копировать решения, но не научатся думать как пентестеры.
Решение оказалось радикальным: кураторы НИКОГДА не дают прямых ответов. Студент может застрять на задании на неделю, но максимум, что он услышит: "Думай в эту сторону, ищи в эту сторону". Этот подход назвали "Try Harder" - по аналогии с известным международным курсом OSCP.
Предсказуемо, в начале посыпались претензии. "Ничего не получается", "Не подсказывают", "Очень тяжело" - стандартный набор жалоб от новичков, которые потратили неделю на одну SQL-инъекцию и чувствуют себя обманутыми.
Переломный момент обычно наступает после первой серьезной подсказки. Куратор направляет мысль в нужное русло, и студент внезапно сам находит решение. Следует сообщение: "Блин, как же я сам об этом не подумал!" И дальше что-то меняется - человек начинает "копать до победного" уже без понуканий.
Самое интересное происходит после сдачи финального экзамена. Те же люди, которые три месяца назад ругали методику, пишут: "Спасибо, что не подсказывали напрямую. Теперь я знаю определённые техники, и у меня сложилась полная картина". Один из студентов даже сравнил предыдущие очные курсы, где "сидишь 5 дней в классе и делаешь лабы по методичкам, как дурак по инструкции" - и подчеркнул, что никаких реальных навыков такой подход не даёт.
Есть и побочный эффект, о котором не думали изначально. Студенты начинают находить решения, которых вообще нет в официальных методичках курса. Приходят люди с опытом, которые видят задачу под другим углом и эксплуатируют уязвимость нестандартным способом. Кураторы признаются: иногда они сами учатся у своих студентов.
Один из выпускников после курса разработал собственный roadmap на 52 вектора ручных SQL-атак - притом что большинство пентестеров используют 4 автоматических. Написал Python-скрипты для автоматизации слепых инъекций. Создал подробные заметки с частыми командами по разным векторам. Всё это - потому что его заставили думать самостоятельно, а не копировать готовые рецепты.
Сейчас эта методика стала визитной карточкой курса. Да, она отсеивает тех, кто ищет лёгкий путь в индустрию. Но те, кто проходит через это испытание, получают не просто сертификат, а изменённое мышление. Они начинают видеть веб-приложения иначе - как набор потенциальных векторов атак, а не просто как формы и кнопки.
Полная история со всеми деталями, включая траектории разных студентов - от полных новичков до опытных специалистов - тут: читать подробный разбор
Когда курс по веб-пентесту только запускался, организаторы столкнулись с дилеммой. С одной стороны, студенты платят приличные деньги и ожидают поддержки. С другой стороны, они понимали: если давать готовые ответы на каждое задание, люди научатся копировать решения, но не научатся думать как пентестеры.
Решение оказалось радикальным: кураторы НИКОГДА не дают прямых ответов. Студент может застрять на задании на неделю, но максимум, что он услышит: "Думай в эту сторону, ищи в эту сторону". Этот подход назвали "Try Harder" - по аналогии с известным международным курсом OSCP.
Предсказуемо, в начале посыпались претензии. "Ничего не получается", "Не подсказывают", "Очень тяжело" - стандартный набор жалоб от новичков, которые потратили неделю на одну SQL-инъекцию и чувствуют себя обманутыми.
Переломный момент обычно наступает после первой серьезной подсказки. Куратор направляет мысль в нужное русло, и студент внезапно сам находит решение. Следует сообщение: "Блин, как же я сам об этом не подумал!" И дальше что-то меняется - человек начинает "копать до победного" уже без понуканий.
Самое интересное происходит после сдачи финального экзамена. Те же люди, которые три месяца назад ругали методику, пишут: "Спасибо, что не подсказывали напрямую. Теперь я знаю определённые техники, и у меня сложилась полная картина". Один из студентов даже сравнил предыдущие очные курсы, где "сидишь 5 дней в классе и делаешь лабы по методичкам, как дурак по инструкции" - и подчеркнул, что никаких реальных навыков такой подход не даёт.
Есть и побочный эффект, о котором не думали изначально. Студенты начинают находить решения, которых вообще нет в официальных методичках курса. Приходят люди с опытом, которые видят задачу под другим углом и эксплуатируют уязвимость нестандартным способом. Кураторы признаются: иногда они сами учатся у своих студентов.
Один из выпускников после курса разработал собственный roadmap на 52 вектора ручных SQL-атак - притом что большинство пентестеров используют 4 автоматических. Написал Python-скрипты для автоматизации слепых инъекций. Создал подробные заметки с частыми командами по разным векторам. Всё это - потому что его заставили думать самостоятельно, а не копировать готовые рецепты.
Сейчас эта методика стала визитной карточкой курса. Да, она отсеивает тех, кто ищет лёгкий путь в индустрию. Но те, кто проходит через это испытание, получают не просто сертификат, а изменённое мышление. Они начинают видеть веб-приложения иначе - как набор потенциальных векторов атак, а не просто как формы и кнопки.
Полная история со всеми деталями, включая траектории разных студентов - от полных новичков до опытных специалистов - тут: читать подробный разбор