1. Чему я научился после прохождения курса? Что нового узнал?
Честно — очень много. Причём не просто «услышал термины», а именно разобрался, как работают инструменты и атаки.
Осознанно работать с Burp Suite: понял разницу между перехватом (Intercept), историей (HTTP History) и Repeater, освоил редактирование запросов, поиск скрытых параметров и отправку модифицированных запросов.
Понял DNS, роутеры, VirtualBox, VPN: разобрался, почему в Kali на виртуалке слетает DNS, как работает NAT, почему ping 8.8.8.8 работает, а google.com — нет, и как это лечить.
Научился тестировать XSS правильно: не через браузер, а через Repeater, по одному параметру, не создавая мусорных пользователей на программах bug bounty.
Освоил разведку (recon): subfinder, assetfinder, whatweb, waybackurls, gobuster, dirbuster, Shodan, Maltego. Понял, что такое пассивный сбор данных и как не светить IP.
Въехал в криптографию (базу): симметричное vs асимметричное, блочные vs поточные шифры, хэши, цифровые подписи, почему DES умер, а AES жив, что такое режим ECB и почему его нельзя использовать.
Понял уязвимости API (OWASP API Top-10): BOLA (IDOR), Excessive Data Exposure, Rate limiting, CORS, Mass Assignment.
Научился работать с базами данных MySQL/MariaDB: создавать таблицы, вставлять данные, писать SELECT, DISTINCT, JOIN (хотя бы базу).
Познакомился с Juice Shop, Metasploitable 2, GNS3: руками проходил уязвимости, сканировал порты, поднимал виртуальные сети.
Если коротко: я перестал быть «пользователем инструментов» и начал понимать, что под капотом.
2. Что мне понравилось?
Практическая направленность. Не просто теория, а сразу: «перехвати запрос, измени параметр, посмотри ответ».
Последовательность: от установки Kali и настройки сети до реальных атак на API и XSS.
Поддержка в комментариях и разбор ошибок. Особенно когда тест говорит «неверно», а ты видишь, что команда правильная — и потом понимаешь, что проблема в синтаксисе или пробеле. Это учит внимательности.
Реальные инструменты пентестера: Burp, Shodan, Maltego, Hydra, Gobuster, WhatWeb — всё, что используется на работе.
Моменты с «открытиями»: когда ты сам находишь скрытый API-эндпоинт или понимаешь, почему сайт уязвим к BOLA — это кайф.
3. Что не понравилось? Что можно улучшить?
Некоторые проверки (особенно автопроверки) слишком чувствительны к пробелам и порядку аргументов. Это бесит, когда команда правильная, но её не принимают из-за формата. Хотелось бы более гибкой проверки или подсказки «ожидается такой синтаксис».
Мало про реальные кейсы баг-баунти. Хотелось бы больше разборов: «вот нашли endpoint → вот как тестировали → вот что нашли → вот как написали отчёт».
Что улучшить:
Добавить секцию «Как писать отчёты об уязвимостях» (PoC, скриншоты, описание).
Сделать больше интерактивных лабораторных прямо в браузере (как PortSwigger).
Добавить примеры реальных CVEs (CVE-2021-41773 — Apache 2.4.49, Log4Shell и т.д.) с разбором.
4. По каким критериям я выбирал курс и почему решил пройти этот?
Охват тем: от основ сети и Linux до криптографии и API-атак.
Инструменты: именно те, что нужны пентестеру начального уровня (Burp, Shodan, Gobuster, Hydra, WhatWeb).
Практика: наличие Juice Shop, Metasploitable, заданий с разбором.
Актуальность: XSS, CSRF, OWASP API Top-10, CORS, JWT — то, что сейчас в тренде..
Почему прошёл: Хотел систематизировать знания, понять, куда двигаться дальше, и перестать бояться Burp и командной строки. Курс дал базу, на которой уже можно строить карьеру в безопасности.
5. Оценка курса
Итог: 9/10.
Критерий Оценка (1–10)
Содержание (глубина, актуальность) 9
Практическая направленность 10
Подача материала (текст + задания) 8
Техническая поддержка и автопроверки 7 (из-за чувствительности к формату)
Сообщество / обсуждения 8
Минус один балл за слишком строгие автопроверки и редкие моменты, где хотелось бы больше объяснений «на пальцах». Плюс балл за реальную пользу — я реально научился работать с инструментами и понимать уязвимости.
Итоговая рекомендация:
Курс однозначно рекомендую начинающим пентестерам, багхантерам и всем, кто хочет перейти от теории к практике. После него вы сможете осознанно запускать сканеры, тестировать API, искать XSS и понимать, что происходит на сетевом уровне. Но будьте готовы к тому, что придётся много гуглить и экспериментировать самостоятельно — и это правильно.
Спасибо авторам! 👊
