Описание
Команда специалистов по наступательной безопасности проводит пентесты веб-приложений и внутренних инфраструктур, а также Red Team операции для компаний финансового сектора, электронной коммерции и телекоммуникаций.
Задачи
•Проводить ручное тестирование веб-приложений на наличие уязвимостей методами Black box и Grey box
•Искать и эксплуатировать SQLi, LFI/RFI, SSRF, SSTI, Command Injection и другие классические веб-уязвимости
•Использовать Burp Suite для перехвата и модификации запросов, работать с Intruder, Repeater и расширениями
•Обходить WAF вручную, подбирать и писать tamper-скрипты
•Использовать sqlmap и ghauri, понимая их внутренние принципы работы
•Писать понятные отчёты с PoC, оценкой критичности и рекомендациями по устранению
Требования
•Уверенно разбираться в веб-уязвимостях, включая SQL Injection, LFI/RFI, SSRF, SSTI и CMDi, понимать, как они возникают и ищутся на практике
•Знать особенности MySQL, PostgreSQL и MSSQL
•Иметь опыт работы с Burp Suite, включая Intercept, Repeater, Intruder и расширения
•Владеть базовыми навыками Linux: навигация, права, процессы и сеть
•Понимать принципы работы sqlmap и ghauri
•Иметь базовый опыт работы с шеллами и реверс-шеллами
Будет плюсом: прохождение PortSwigger Web Security Academy, активность на HackTheBox или TryHackMe, опыт написания tamper-скриптов или расширений для Burp, понимание работы WAF и механизмов его обхода
Условия
•Офис рядом с м. Новочеркасская
•Обеды за счёт компании
•Зарплата без потолка — обсуждается под реальный уровень кандидата
•Работа с коммерческими проектами
