Я бы разложил старт в пентест/кибербез по “фундамент → практика → специализация”, иначе реально получается вечный зоопарк из тулзов и видосов.
## С чего начать (в каком порядке)
1) База сетей (must-have)
Без этого ты будешь “жать кнопки” в nmap/metasploit и не понимать, почему оно так работает. Минимум:
- IP, маски/подсети (чтобы понимать, что ты вообще сканишь)
- TCP vs UDP, 3-way handshake, порты, состояния
- DNS, DHCP, NAT
- HTTP/HTTPS на уровне “что летит по проводам”
- TLS базово: сертификаты, зачем SNI, почему “не доверяет” и т.д.
2) Linux (как рабочая среда)
Пентест почти всегда про консоль и понимание системы.
- файловая система, права, пользователи/группы
- ssh, systemd, логи
- grep/sed/awk, pipes, перенаправления
- базовые сетевые утилиты: curl, wget, ss/netstat, tcpdump
3) Основы веба (если хочешь в веб-пентест)
Это самый “быстрый” вход в практику, но только если понимаешь как устроен веб:
- cookies/sessions, CORS, CSRF
- авторизация vs аутентификация
- REST/JSON, формы, загрузки файлов
- OWASP Top 10: SQLi, XSS, IDOR, SSRF, RCE, LFI/RFI и т.п.
4) Немного программирования (Python ок)
Не чтобы писать “свой метасплойт”, а чтобы:
- быстро парсить вывод, писать скриптики, автоматизировать рутины
- понимать чужие PoC/эксплойты
- работать с HTTP-запросами (requests), сокетами
5) Потом — специализация
Примерно через 1–2 месяца нормальной практики станет ясно, что цепляет:
- веб-пентест
- инфраструктура/AD
- mobile
- cloud
- reverse/пэйлоады/эксплойтинг (это уже более “жестко”)
---
## Практичный маршрут “без хаоса”
Если хочется прям дорожную карту на 6–8 недель:
Неделя 1–2: сети + базовый Linux
- nmap (скан → сервисы → версии → что дальше)
- wireshark/tcpdump: поймать HTTP/DNS, посмотреть руками
Неделя 3–4: веб-основы + Burp Suite
- научиться перехватывать/повторять/менять запросы
- руками потрогать XSS/SQLi/IDOR на учебных стендах
Неделя 5–6: базовый Python + автоматизация
- скрипт, который обходит урлы/эндпоинты, ищет интересное, парсит ответы
- работа с API, куками, авторизацией
Неделя 7–8: первые “цепочки” (kill chain)
- разведка → вход → закрепление (условно) → пост-эксплуатация → отчет
Даже на CTF это учит думать как пентестер, а не как “юзер тулзы”.
---
## Типичные ошибки новичков
1) Учить инструменты вместо принципов
“Я знаю 20 тулзов” = часто “я не понимаю, что происходит”. Лучше 3 инструмента, но глубоко: nmap, burp, tcpdump/wireshark.
2) Сразу лезть в эксплойты/метасплойт
Выглядит круто, но без понимания сетей/веба/ОС это превращается в магию и разочарование.
3) Игнорировать документирование
Не ведут заметки: что пробовал, что сработало, какие гипотезы. А потом по кругу одно и то же.
4) “CTF-зависимость” без реального контекста
CTF полезны, но иногда приучают к неестественным сценариям. Хорошо миксовать: CTF + реалистичные лабы (веб-приложения/AD-стенды).
5) Непонимание этики и границ
Тренироваться — только на своих стендах/платформах/с разрешением. Это прям база, иначе можно быстро “доиграться”.
6) Перфекционизм и бесконечные курсы
Схема “сначала выучу всё, потом начну” почти не работает. Лучше: маленькая теория → сразу практика.
---
## Чтобы точнее подсказать
Ты больше хочешь в
веб (bug bounty/приложения) или в
инфру/AD (корпсети, винда, домены)?
И сколько времени в неделю готов уделять (условно 3–5 часов или 10+)? Под это можно собрать прям конкретный план и набор лаб/ресурсов.
