Review eCPPTv2

Descripción

El pasado lunes recibí un correo de eLearning informándome que había aprobado exitosamente el examen para la certificación eCPPTv2. Por lo tanto, ahora me gustaría compartir mi opinión sobre la experiencia del examen. En esta publicación, me centraré principalmente en cómo fue el examen y algunos consejos importantes para aquellos que estén considerando rendirlo. En otra publicación, profundizaré en mi proceso de preparación y la ruta que seguí para estudiar para obtener la certificación.

---

¿Qué es la certificación eCPPTV2?

La certificación eCPPTv2, abreviatura de “Certified Professional Penetration Tester” versión 2, es un título otorgado por la organización eLearnSecurity (actualmente INE Security). Este programa de certificación está diseñado para capacitar a profesionales en el campo de la seguridad informática y las pruebas de penetración.

Es una certificación 100% práctica que según eLearnSecurity abarca los siguientes temas:

• Penetration testing processes and methodologies, against Windows and Linux targets
• Vulnerability Assessment of Networks
• Vulnerability Assessment of Web Applications
• Advanced Exploitation with Metasploit
• Performing Attacks in Pivoting
• Web application Manual exploitation
• Information Gathering and Reconnaissance
• Scanning and Profiling the target
• Privilege escalation and Persistence
• Exploit Development
• Advanced Reporting skills and Remediation

¿Qué tan difícil es?

Antes de hablar sobre mi percepción de la dificultad del examen, me gustaría mencionar un poco sobre mi experiencia previa. Ya tenía experiencia realizando CTFs, y puedes revisar mi perfil de HTB en caso de querer ver las máquinas que he completado. Además de eso, había realizado los cursos de Practical Ethical Hacking de TCM y el de Introducción al Hacking de Hack4u (la academia de S4vitar). Por lo tanto, consideraba que mis bases en la metodología para realizar un pentest estaban bastante sólidas.

Para ser mi primera incursión en el mundo de las certificaciones y exámenes relacionados con la seguridad ofensiva, no considero que la certificación eCPPTv2 sea tan desafiante. Tampoco puedo decir que sea una certificación fácil. Si tienes experiencia participando en CTFs y una sólida metodología de trabajo, no deberías tener problemas significativos. Lo más difícil, especialmente para aquellos como yo que solo han participado en CTFs, es cambiar la forma de pensar y comprender claramente, como indica el equipo de INE desde el principio, que esta certificación no se trata de un CTF. Las máquinas con las que te encontrarás en el examen las categorizaría de dificultad fácil. Lo desafiante del examen es que te enfrentas a un entorno real en el que debes pensar de manera creativa para descubrir toda la información y vulnerabilidades posibles y, de esta forma, comprometer completamente el entorno.

¿Qué necesito saber?

Los conocimientos más importantes que considero que debes tener en cuenta si te vas a presentar al examen son los siguientes:

• Tener claridad en el tema de redes.
• Hacking web básico
• Enumeración
• Post-explotación en sistemas Windows y Linux
• Escalada de Privilegios Linux
• Buffer Overflow
• Pivoting

Es crucial dominar completamente el tema del Pivoting, ya que constituye el núcleo principal del examen. Es importante recordar que en este examen se permite cualquier tipo de ataque y se te otorga libertad para utilizar cualquier herramienta, como Metasploit, sqlmap, entre otras.

¿Cómo es el examen?

Al comenzar el examen, se te proporcionará la “carta de compromiso”, que básicamente contiene las instrucciones sobre cómo funciona el examen, el requisito mínimo pero no indispensable para aprobar (obtener privilegios root en la DMZ) y los requisitos mínimos que debe cumplir tu informe.

Para conectarte al entorno del examen lo realizaras traves de una VPN (al igual que lo haces con las maquinas de HTB) este acceso estara disponible durante 7 dias, durante el cual tendras que comprometer todo el entorno y recopilar toda la informacion necesaria para realizar el reporte. Para la realizacion del informe tendras otros 7 dias, por lo cual considero que es tiempo mas que suficiente para realizar el examen.

Día 1

Comencé el examen alrededor de las cuatro de la tarde y para las siete de la noche ya había obtenido acceso root en la primera máquina. Las siguientes máquinas fueron bastante directas de atacar y obtuve la intrusión bastante fácil.

Día 2

Gran parte de este día la pasé enumerando sin lograr obtener información relevante. Es importante recordar que este examen NO ES UN CTF, por lo que es necesario cambiar tu enfoque de pensamiento. Una vez que tengas claro esto y hayas enumerado todos los hosts encontrados, podrás identificar el vector de intrusión para la siguiente máquina. Lo más desafiante es identificar este vector de intrusión para la siguiente máquina, pero la intrusión en sí es bastante directa. Al final del segundo día, ya tenía privilegios de root en el DMZ, que según menciona el equipo de INE, es el requisito mínimo pero NO indispensable para aprobar. Por lo tanto, recomiendo enumerar todo el entorno para encontrar todas las vulnerabilidades que podrían existir en el sistema

Día 3-7

En los días siguientes días, me dediqué a elaborar el informe y a enumerar todo el entorno para asegurarme de no pasar por alto ninguna vulnerabilidad y dejarla sin explotar. Dado que tenia tiempo de sobra, decidí redactarlo en LaTeX utilizando la plantilla proporcionada en Plantilla (TCM). Siendo esta mi primera experiencia redactando un informe relacionado con un pentest, al principio resultó un tanto abrumador. Sin embargo, una vez que adquirí un ritmo, todo comenzó a fluir. Siguiendo la plantilla y buscando ejemplos en internet, la tarea se simplificó notablemente. Para el informe, te sugiero que pongas énfasis en la criticidad de las vulnerabilidades y en el puntaje CVSS. Yo utilicé la siguiente Calculadora. Después de enviar tu reporte, el equipo del INE te advierte que la respuesta podría tardar hasta un mes en llegar. Sin embargo, en mi caso, recibí la confirmación de aprobación apenas cinco horas después de enviarlo.

En general, mi experiencia fue bastante positiva. Considero que el entorno del examen se asemejaría a una situación real y que la estabilidad del entorno fue buena, aunque revente el entorno en un par de ocasiones, sospecho que debido a los exploits que probe en busca de nuevos vectores de ataque eran demasiado intrusivos.

Como mencioné anteriormente, en este examen se permite el uso de cualquier herramienta. Opté por realizar todas las operaciones de manera manual, incluido el pivoting a través de Chisel y Socat. Así que si deseas utilizar Metasploit eres libre de hacerlo. Recomiendo no depender exclusivamente de herramientas automatizadas, especialmente si planeas presentarte a futuras certificaciones donde no se permite su uso, como es la certificación del OSCP. En mi opinión, la metodología manual es la más efectiva, ya que garantiza que no se pase por alto ninguna vulnerabilidad.

Costo del examen

El voucher para la certificación tiene un costo de $400, lo que te otorga el derecho a presentar el examen y, en caso de no aprobar, a un retake gratuito. Sin embargo, el equipo de INE suele ofrecer descuentos, a veces encontrando la certificación hasta en mitad de precio. Respecto a la preparación para el examen, INE ofrece su propio curso y ruta de preparación, pero no tengo información sobre su costo ni su eficacia, ya que yo me preparé de manera autodidacta.

Tips y Recomendaciones

• Recuerda que este NOO es un CTF, así que enumera todo.
• Asegúrate de tomar capturas y evidencia de todos los comandos que utilices y mantén una organización en tus apuntes. En mi caso, opté por utilizar Obsidian

• Si vas a realizar el Pivoting de manera manual utiliza la versión de Chisel 1.5.0

• Antes de tomar el examen prepara y configura tu máquina Windows de 32 bits con todo lo necesario para probar el binario y realizar el Buffer Overflow.

¿Qué sigue?

Después de sentir que he puesto a prueba mis habilidades en la realización de pentest interno, mi próximo objetivo es fortalecer mis capacidades en el ámbito del hacking web, preparándome para certificaciones como el CBBH de HTB, la BSCP de PortSwigger o la propia eWPTX que ofrece INE. Estas certificaciones son fundamentales para adentrarse en el mundo del Bug Bounty y mejorar en este campo específico.

Sin más que añadir, espero que hayas disfrutado leyendo esta review y que, en caso de presentarla, tengas éxito en tu certificación.