Хочу в пентест с нуля. Сразу брать OSCP или это деньги на ветер?

[tjoyner]

Бэкенд-джун, год коммерческого опыта на питоне. Хочу свернуть в офенсив. Все вокруг кричат OSCP, но ценник кусается под штуку с лишним долларов за бандл. Брать сразу или сначала что попроще?

[sainty]

Сразу OSCP — почти гарантированно слить деньги и нервы. Это НЕ entry-level, там по умолчанию ждут уверенный networking, линукс и скриптинг. Для джуна это 6-9 месяцев плотной подготовки, а не 'купил и пошёл'.

[lena87]

Начни с eJPT, он ровно под абсолютных новичков и стоит копейки по сравнению. Параллельно гриндь HackTheBox и TryHackMe. Когда стабильно решаешь easy/medium машины руками без подсказок — вот тогда смотри в сторону OSCP.

[lfmatt]

Я бы ещё Security+ упомянул. Не для скилла, а для HR-фильтра. Многие конторы по нему отсеивают резюме на входе, его узнают и уважают, а стоит он сильно меньше OSCP.

[coder_vasya]

Security+ это про оборону и базовую теорию, под пентест он мало что даёт по практике. Но как строчка в резюме чтобы пройти автоматический отсев — да, иногда окупается. Зависит от рынка, у нас в РФ на него смотрят слабее, чем на западе.

[leewardms]

Брал OSCP в прошлом году, скажу честно: главная ценность не корочка, а то что тебя ломают об колено и ты учишься НЕ сдаваться. Но если идти туда зелёным — просто выгоришь на первой же неделе лаб. Сначала набей руку на бесплатном, серьёзно.

[Rhemix]

Понял, спасибо. План вырисовывается: подтянуть линукс и сети -> eJPT -> гриндить HTB пару месяцев -> и только потом думать про OSCP, когда будет не страшно. И питон для скриптинга у меня уже есть, это плюс.

[kernel2]

Во, правильный вектор. И добавь: твой бэкенд-опыт это огромное преимущество, ты понимаешь как приложения устроены ИЗНУТРИ. Лезь в веб-аппсек, там твой бэкграунд напрямую конвертится в находки. Не закапывайся сразу в бинарную эксплуатацию.

[mjp1982]

По деньгам и формату, чтобы не было сюрприза: OSCP сейчас это PEN-200 + лабы пакетом на 90 дней, экзамен 24 часа плюс ещё 24 на отчёт. Главная статья слива денег — купить бандл и не выгрести лабы, потому что 'не было времени'. Бери его ровно в тот момент, когда сможешь выделить месяца три плотно. Иначе подписка просто сгорит, и вот это и будет та самая 'штука с лишним' на ветер.

[archmaster]

@kernel2, плюсую и усилю: с бэкенд-питоном тебе прямая дорога в web/API security, а не в бинарщину. IDOR/BOLA, сломанная auth-логика, SSRF — это всё про понимание, как сервер обрабатывает запрос изнутри, и год коммерческого бэка тут даёт фору перед теми, кто пришёл с улицы. PortSwigger Web Security Academy бесплатный и под этот вектор готовит лучше, чем OSCP, который больше про сети и Active Directory.