Não Apenas pelo Certificado: Minha Experiência com o HTB CWES

Introdução e Motivação

Começarei deixando claro: este não é um writeup. Não haverá uma análise passo a passo do exame, spoiler sobre as máquinas ou técnicas secretas. Esta é mais a minha visão pessoal sobre o HTB CWES (Certified Web Exploitation Specialist): por que eu o fiz, como foi o treinamento, o que senti no exame e quais conclusões tirei.

Uma questão interessante é como conciliar tudo isso com trabalho, família, filhos e um cachorro que sempre precisa de algo no momento em que você se senta para estudar. Acho que muitos se identificam com isso. No meu caso, tudo se baseia em planejamento e na tentativa de encarar o aprendizado não como algo adicional, mas como uma parte importante do meu desenvolvimento. Nem sempre é perfeito, claro, mas sem um sistema, essas coisas simplesmente não teriam dado certo.

Sinceramente, minha principal motivação é bastante simples: dinheiro 😂. Dinheiro através do crescimento na carreira, através da experiência e do fortalecimento como especialista. Quanto mais forte você for na profissão, mais oportunidades terá: projetos mais interessantes, maior valor de mercado, mais opções de crescimento. Não tenho uma bela história sobre vocação, o sonho de uma vida ou como segui esse caminho desde a infância. Gosto de ficar mais forte no que faço e ver isso dar resultados.

Outro ponto que me motivou foi um colega. Ele é um especialista muito forte e ganha bem. Em um determinado momento, ele compartilhou seu roadmap de desenvolvimento comigo, e essa abordagem me tocou muito. Não no sentido de repetir cegamente, mas no sentido de olhar para o caminho de uma pessoa que já conseguiu e tirar o que me serve.

No entanto, não fiz o curso apenas pelo certificado em si, mas sim pelo conhecimento. O certificado é legal, sem dúvida, mas para mim é um bônus, não o objetivo principal. Hoje em dia, há muito material gratuito na internet, e isso é muito bom. Uma grande homenagem aos autodidatas que montam seu próprio programa, pesquisam temas, filtram o lixo e entendem tudo passo a passo. Esse é um caminho forte.

Mas, pessoalmente, prefiro outro formato. Gosto quando o aprendizado é sistemático, passo a passo. Quando você não é jogado aleatoriamente entre os tópicos, mas é guiado por uma rota normal: da base para coisas mais complexas. É mais conveniente, mais calmo e, para ser sincero, mais eficaz para mim. Por isso, em um determinado momento, decidi fazer o CWES - não por uma linha no perfil, mas para obter essa experiência estrutural.

Por que escolhi o CWES?

No momento em que comecei, eu já tinha experiência em web pentest, mas queria mais do que apenas continuar aprofundando em temas individuais, queria passar por um curso mais completo e sistemático. Para não ter a história de que você sabe algo, já experimentou algo em projetos, mas ainda tem uma bagunça na cabeça.

Além disso, eu estava interessado em ver como a HTB construiu o treinamento nessa direção. Afinal, uma coisa são materiais gratuitos e notas aleatórias, outra é quando você segue um programa montado e pode avaliar normalmente o que ele lhe deu no final.

Como foi o treinamento

Eu gostei do treinamento. E gostei muito.

A época em que fiz o material da PortSwigger, mas o CWES foi melhor para mim. Acho que vários fatores desempenharam um papel aqui. Primeiro, eu não estava no início da minha carreira, mas com alguma experiência. Em segundo lugar, o formato do treinamento me agradou mais.

O curso de treinamento passou muito rápido. Comprei a assinatura antes do Ano Novo, as férias de Ano Novo estavam chegando e passei todos os dias estudando. Todo o treinamento levou cerca de um mês. Ao longo do curso, houve tópicos que foram novos para mim. Houve coisas que eu já tinha encontrado antes, mas aqui elas se tornaram muito mais claras e melhor fixadas na minha cabeça. Gostei especialmente que, após o curso, eu tinha um resumo normal, algo aplicado: anotações, abordagens, ideias que eu poderia usar rapidamente no trabalho. E esse é, talvez, um dos principais benefícios do curso para mim pessoalmente: o conhecimento não ficou em algum lugar dentro da plataforma. Eu realmente comecei a aplicar algumas coisas em projetos.

O que é importante entender sobre o exame com antecedência

O exame aqui não é apenas uma história para algumas noites. Você precisa se preparar normalmente para ele, inclusive em termos de tempo.

Ele dura 7 dias, e esse período inclui não apenas a parte técnica em si, mas também a redação do relatório. Este é um ponto importante que é melhor ter em mente imediatamente. Porque sete dias soam como uma grande reserva, mas, na verdade, o tempo passa rápido: você fica confuso em algum lugar, fica preso em algum lugar, verifica-se em algum lugar, e então você precisa formatar tudo normalmente.

Há uma nova tentativa gratuita e conselhos da plataforma sobre como se preparar, mas há uma nuance importante: se você não passar no relatório na primeira tentativa, mesmo que esteja em branco, a nova tentativa é cancelada e não haverá conselhos. Este é o ponto que é melhor descobrir com antecedência, e não post factum.

Primeira tentativa e emoções

Na primeira vez, não passei no exame.

Coletei cerca de metade das flags. E isso me colocou no chão rapidamente. Essa é uma experiência muito útil, embora no momento, é claro, não seja agradável. O exame mostra rapidamente que repetir cenários de treinamento não é suficiente. Algumas máquinas realmente exigem que você mude seu ponto de vista. Não siga o modelo, mas pare e pense que você pode estar olhando para o lugar errado ou pensando de forma muito direta.

E, claro, atenção. Essa é a base!!! Às vezes, tudo se resume à ausência de conhecimento, mas a algum detalhe perdido, por causa do qual você gasta muito tempo no lugar errado.

É muito fácil se preocupar antes do exame. E aqui, aliás, fui ajudado pelo conselho do mesmo colega que escrevi no início. Ele se ofereceu para tratar o exame de forma mais simples: não como um drama de toda a vida, mas como um jogo. Com prazer, por diversão, com interesse - chame como quiser. O ponto é não dar muita importância ao exame. Isso é importante, sim, mas não é um evento após o qual toda a vida é dividida em antes e depois. Quando você olha para isso dessa forma, fica mais fácil manter a cabeça fria, menos tenso e apenas trabalhar.

Foram 7 dias de foco muito intenso e imersão total no processo. Você verifica hipóteses, fica preso, recua, tenta de outra forma, olha de novo, pensa de novo. E o que mais gostei: apesar do estresse, o próprio exame deixou uma impressão mais positiva. Foi difícil, mas as emoções que você recebe com cada flag encontrada são indescritíveis.

Vale a pena?

Se você olhar honestamente, o principal resultado para mim não é o certificado em si, mas o fato de que o treinamento realmente trouxe benefícios.

Recebi um curso sistemático sobre web, um resumo normal, uma melhor compreensão de vários tópicos e coisas que comecei a usar no trabalho. O valor para mim estava no processo e no resultado em termos de habilidades. E então o certificado veio como resultado de toda essa história.

Na minha opinião, sim - se esse formato for próximo a você.

Se você pode aprender com calma e confiança por conta própria, coletar materiais em pedaços, construir um programa para si mesmo e não se perder no volume de informações, então, talvez, você possa crescer perfeitamente sem esse curso. E este, repito, é um caminho forte.

Mas se, como eu, for mais fácil e eficaz seguir uma rota estruturada, onde o material é construído de forma consistente, então, nesse sentido, o CWES pareceu uma opção muito boa para mim.

O que vem a seguir?!

Agora estou passando para o próximo nível, já mais difícil, sobre web na HTB - CWEE (Certified Web Exploitation Expert).

Há técnicas mais complexas e mais ênfase na abordagem white-box. Para mim, isso parece uma continuação lógica e um bom passo em direção a OSWE no futuro.

Conclusão

No final, posso dizer simplesmente: fiquei satisfeito com o treinamento.

Sim, não fechei a primeira tentativa do exame. Sim, foi difícil em alguns lugares. Sim, o exame verifica bem não apenas o conhecimento, mas também a atenção, a resistência e a capacidade de não desmoronar quando algo não funciona por muito tempo.

Então, se você precisa não apenas de um certificado, mas de um curso sistemático e passo a passo sobre web, então o CWES, na minha opinião, merece atenção.

Se você também está estudando agora, se preparando para certificações ou apenas quer ficar mais forte na profissão - boa sorte. Não se esgote, não se sobrecarregue com importância desnecessária e aproveite o processo. O resto virá!

Meu canal pessoal no Telegram: t.me/failauth