В чем разница между программистом и пентестером?

Question

[HUSHUP2]

Должен ли пентестер знать языки программирования? Можно ли стать пентестером не зная языки программирования?

Answer 1

[hacker2001]

Второй может не быть программистом.

Comments

[HUSHUP2]

А какой это будет специалист? Можно ли достичь хорошего уровня, не уча программирование?

[HUSHUP2]

Dr. Bacon, С чего ты это взял? Я нигде такого не писал

[hacker2001]

HUSHUP2, нет. Прежде чем сломать, нужно построить. Не зная как все внутри устроено, ты не сможешь найти обходные пути. Минимум нужно знать хотя бы SQL, чтобы эксплуатировать инъекции (типа техник DIOS)

Answer 2

[Николай Савельев]

Пентестер должен быть программистом, иначе он не будет понимать как всё работает и где могут быть слабые места

Answer 3

[CityCat4]

Можно ли угонять дорогие тачки, не зная устройства автомобиля?

Comments

[freeExec]

Правильно, потому что надо знать устройство замка.

[Николай Савельев]

freeExec, даже если ты не живёшь в этом замке?

Answer 4

[mayton2019]

Я-бы сказал что пен-тестер - это должность весьма экзотическая. Кто тут в топике сидит? Готов спорить что все кто ни попадя и девопсы и PM-ы и тестировщики.

Вот пускай сюда пентестер зайдет и расскажет о себе. Только с пруфами.

Comments

[Сергей Горностаев]

Пентестером я никогда не работал, но в юности своей безрассудной взламывал сайты, сервера и писал вирусы. В том числе на заказ. Для этого надо быть и программистом, и админом.

[mayton2019]

Это - вроде как безопасник только наоборот. Зачем безопаснику программировать? Ему надо знать сети и протоколы и перечень слабых мест в софте.

[ValdikSS]

пен-тестер - это должность весьма экзотическая

Это чуть ли не вторая по популярности «профессия» после веб-разработчика.

[mayton2019]

ValdikSS, я прошу прощения. Вакансий веб-разработчика - полно. Но что-то я не сильно видел эту самую вторую профессию. Может быть все таки не вторая а третья или четвертая?

[ValdikSS]

mayton2019, Это самое популярное направление в информационной безопасности, потому что пентесты наиболее просты и массовы.

[HUSHUP2]

ValdikSS, То есть стать пентестером(сильным) довольно легко? По сравнению с другими профессиями в IT

[ValdikSS]

HUSHUP2, Слабым пентестером стать легко, а чтобы быть сильным пентестером, необходим багаж глубоких знаний и опыт.

[mayton2019]

ValdikSS, а какой здесь критерий качества? Вот разработчика можно оценить по его разработкам. Количество там. Сложность задач. А как оценить результат работы пен-тестера?

[ValdikSS]

mayton2019, А это — оценка качества и глубины аудита/пен-теста — основная проблема в индустрии безопасности. Каких-то очевидных, как в случае с работой программиста, метрик нет, можно только косвенно оценить качество и глубину выполненной работы, основываясь на опыте и знаниях человека.
Если пен-тест успешен (т.е. пен-тестер проник в инфраструктуру и завладел высокими привилегиями), то всё очевидно, но если нет, то объективно оценить качество выполненной работы невозможно без взгляда со стороны.

Если у пен-теста есть какой-то понятный конец, то с аудитами сервисов/ПО/аппаратно-программных комплексов всё ещё сложнее, ведь задача аудита состоит в обнаружении всех (или максимального количества) проблем, а не взломе.

[mayton2019]

ValdikSS, как вариант, размер отчета. Хороший пен-тест толжен иметь какой-то итог где перечислено что было хорошо.

Вот как-то так. Больше ничего я придумать не могу.

Answer 5

[ValdikSS]

Пентестер, не знающий языков программирования (или хотя бы конкретных особенностей их стандартных модулей), далеко не разовьётся и не сможет эффективно проводить тестирование.
Конечно, есть куча справочной информации о типичных случаях ошибок, с разбивкой на языки и фреймворки, но если вы в принципе задаёте такой вопрос, полагаю, планируя быть пентестером, но вам светит только рутинная работа с проверками «по списку», а это сложно назвать полноценым penetration testing (тестом на проникновение).