OSEP i PEN-300: techniczny przewodnik po egzaminie

OSEP i PEN-300 rozwijają umiejętności potrzebne do testowania dojrzałych środowisk, w których prosty payload zostaje wykryty, a segmentacja blokuje bezpośrednią ścieżkę. Oficjalny syllabus obejmuje client-side execution, process injection, omijanie antywirusa i application whitelisting, post-exploitation, poświadczenia Windows, lateral movement, MSSQL oraz Active Directory.

Egzamin OSEP jest praktyczny i trwa 47 godzin i 45 minut, po czym kandydat ma kolejne 24 godziny na raport. Najważniejsza jest zdolność połączenia kilku technik w jeden powtarzalny łańcuch.

Różnica względem OSCP+

OSCP+ sprawdza fundament: enumerację, initial access, eskalację i podstawowe AD. OSEP zakłada, że te elementy są już płynne. Problemem staje się dostarczenie kodu, ominięcie kontroli, pivot przez kilka stref oraz dostosowanie narzędzia do ograniczeń celu.

Nie ucz się jednego loadera. Zrozum, które elementy wykrywa sygnatura, AMSI, analiza zachowania i kontrola aplikacji. W laboratorium porównuj artefakt na dysku, pamięć, drzewo procesów i ruch sieciowy.

Metodyka operacji

Prowadź graf: tożsamość → host → uprawnienie → kolejny zasób. Dla każdego kroku zapisuj precondition, wykonanie, dowód i fallback. Po pozyskaniu poświadczenia ponownie testuj dostęp przez SMB, WinRM, WMI, MSSQL i dostępne kanały administracyjne.

Segmentację analizuj jak routing: skąd wychodzi ruch, gdzie działa listener i które protokoły przechodzą przez filtr. Tunel bez diagramu szybko zamienia się w zgadywanie.

Przygotowanie techniczne

Przed PEN-300 swobodnie używaj PowerShell, C#, Windows API i podstaw debuggera. Potrafisz zmienić kod, skompilować go, przeanalizować błąd oraz odtworzyć działanie bez gotowego frameworka.

Ćwicz osobno:

delivery i client-side execution;
procesy, tokeny i poświadczenia;
obejścia allowlist oraz filtrów;
pivoting i lateral movement;
wielodomenowe zależności AD;
raportowanie złożonego łańcucha.

Warunek gotowości

Wykonaj kilka wieloetapowych scenariuszy bez walkthrough i odtwórz je następnego dnia z notatek. Raport powinien zawierać kod, parametry, architekturę tunelu i wpływ każdego dostępu.

OSEP jest dobrym krokiem po OSCP+ dla osób idących w internal pentest i red team. Jeśli bardziej interesuje Cię kod aplikacji albo exploit development, porównaj pełną ścieżkę OSCE3.

Jak budować łańcuch ataku bez chaosu

Najbardziej użytecznym artefaktem podczas przygotowań nie jest lista komend, lecz mapa zależności. Dla każdego hosta zapisz dostępne interfejsy, osiągalne podsieci, aktywny kontekst użytkownika, lokalne mechanizmy ochronne i poświadczenia, które rzeczywiście zostały zweryfikowane. Oddziel hipotezy od faktów. Informacja „konto może być administratorem” nie jest równoważna z dowodem skutecznego dostępu.

Każdy etap powinien mieć trzy warianty: metodę podstawową, cichszy zamiennik i procedurę odzyskania dostępu. Jeżeli payload nie działa, najpierw ustal warstwę awarii: kompilacja, transfer, uruchomienie, komunikacja zwrotna, token czy filtr sieciowy. Zmienianie kilku parametrów naraz utrudnia diagnozę i tworzy przypadkowe sukcesy, których później nie da się powtórzyć.

Dowody i raport egzaminacyjny

Notatkę dla każdego celu warto prowadzić w stałym układzie: czas, źródło działania, cel, polecenie lub kod, rezultat, plik dowodowy i następna decyzja. Zrzut ekranu powinien potwierdzać konkretną tezę, a nie tylko pokazywać otwarte narzędzie. Kod oraz skrypty zachowuj razem z wersją, parametrami kompilacji i sumą kontrolną artefaktu.

Raport ma umożliwiać technicznemu czytelnikowi odtworzenie całej ścieżki. Diagram pokazuje ruch między strefami, tabela poświadczeń porządkuje konteksty, a osobna sekcja dla każdego celu łączy wejście, eskalację, pivot i wpływ. Przed wysłaniem sprawdź kompletność wymaganych dowodów zgodnie z aktualnym przewodnikiem OffSec, anonimizację zbędnych danych oraz to, czy wszystkie kroki odpowiadają faktycznie wykonanym działaniom.

Ośmiotygodniowy plan przygotowania

W tygodniach 1–2 utrwal Windows API, PowerShell, C# i analizę procesu. Tygodnie 3–4 przeznacz na delivery, kontrolę aplikacji i obserwowanie artefaktów w pamięci, procesach oraz sieci. W tygodniach 5–6 ćwicz credential access, MSSQL, lateral movement i routing przez kilka segmentów. Ostatnie dwa tygodnie powinny składać się z pełnych scenariuszy na czas oraz pisania raportu bez odkładania dokumentacji na koniec.

Gotowość oznacza, że potrafisz wyjaśnić mechanizm każdego użytego obejścia, odtworzyć ścieżkę po restarcie laboratorium i zrezygnować z techniki, której skutków nie rozumiesz. To ważniejsze niż liczba zgromadzonych loaderów.

Ćwiczenie pełnego łańcucha

Nie ucz technik w izolacji. Zbuduj legalne laboratorium, w którym od wejścia przechodzisz przez enumerację, eskalację, pivot i dowód celu, dokumentując założenia oraz punkty decyzji. Po każdym kroku wyjaśnij, jakie logi i zabezpieczenia mogły go wykryć. To poprawia rozumienie oraz jakość raportu.

Automatyzuj powtarzalne zbieranie danych, ale zawsze potraf odtworzyć wynik ręcznie i zweryfikować fałszywy pozytyw. Trenuj pracę przy częściowej awarii tunelu, utracie sesji i ograniczonych uprawnieniach. Aktualny syllabus określa zakres kursu, a Exam Guide — wymagania egzaminu; sprawdź oba przed planowaniem i przed terminem.

Źródła: PEN-300 Syllabus, OffSec OSEP Exam Guide.