En este post me gustaría estar hablando de la CWES, antiguamente conocida como CBBH y de como la aprobé en tan solo 2 días.
La PATH te enseña desde lo más básico, es decir, como funcionan las aplicaciones web por detrás, hasta como explotar cada vulnerabilidad en detalle. Puedes no tener casi conocimiento y aún así aprobar el examen. Todo lo que entra en el examen está en la PATH, sin embargo, es imprescindible tomar buenos apuntes y apuntar cada payload. Más allá de tomar buenos apuntes, también debes entender el funcionamiento de una aplicación web.
Siempre será de ayuda tener un Cheatsheet como por ejemplo este que hice:
El examen son 7 días en los que te enfrentas a 5 webs y tienes que sacar un total de 80 puntos para aprobar. En cada web tienes que escalar privilegios de alguna manera (eso ya es una flag) y luego conseguir RCE (eso ya es otra flag).
Comencé el examen con prisa como si de una carrera se tratase, con lo que solo pude conseguir 1 flag el día uno. No fue hasta que empecé a enumerar bien y a ver las cosas desde otra perspectiva y lógica que empecé a sacar cosas haciendo que en el segundo día ta saqué 6 flags más y a comienzos del tercero 1 flag más, aprobando así en menos de 48 horas.
El feedback de mi examinador confirmó que mi reporte estaba muy bien redactado. Los pasos que seguí para ello, como comentó también en mi POST de la CPTS, fueron los siguientes:
Eso fue Suficiente para hacer un buen reporte que me permitió aprobar el examen.
Justo cuando estaba practicando para el examen, HackTheBox lanzó el track oficial de la CWES por lo que hice la gran parte de las máquinas y challenges de este track antes del examen. Sin embargo la mejor preparación del examen es la PATH, entender bien todos los conceptos y las vulnerabilidades ya que en el examen se aseguran de que hayas estado atento.
Después de la CPTS estuve dando vueltas y probando un poco de todo, sinceramente no esperaba para nada sacarme esta certificación, de hecho el día que compré el voucher del examen lo hice de sopetón, aún así me ha parecido una certificación muy muy buena, como siempre, HackTheBox sabe como enseñar y como hacer que pienses fuera de la caja. En cuanto a calidad-precio sin duda merece muchísimo la pena.
En general estoy muy orgulloso haber conseguido dos certificaciones de HacktheBox antes de los 22 años, aún así, cuando lo consigues ves que “no es para tanto”. Quiero decir, cuando me la estaba preparando pensaba “Cuando consiga la CWES será feliz”, “Cuando consiga la CWES me daré un descanso”, pero cuando me llego el aprobado fue como un “ah vale, y ahora que?”. La conclusión que saco es que siempre tenemos que tener un propósito y ganas de seguir mejorando, ya ni siquiera hablando de hacking o pentesting, sino en todos los ámbitos de la vida.
Después de haber mejorado en web pentesting tengo una gran duda en la que no se si mejorar mis aptitudes de Red Team o mejorar aún más mis halides de pentesting web yendo a por la BSCP.
In this post, I’d like to talk about the CWES (formerly known as CBBH) and how I managed to pass it in just 2 days.
The PATH teaches you from the absolute basics — that is, how web applications work behind the scenes — all the way to exploiting every vulnerability in detail. You can have almost no prior knowledge and still pass the exam. Everything that appears on the exam is covered in the PATH. However, it is essential to take good notes and write down every payload. Beyond taking good notes, you also need to understand how a web application works.
It’s always helpful to have a cheatsheet, like this one I made:
The exam lasts 7 days, during which you face 5 web applications. You need a total of 80 points to pass. On each web app, you must escalate privileges somehow (that’s already one flag) and then achieve RCE (that’s another flag).
I started the exam in a rush, as if it were a race, which meant I only got 1 flag on the first day. It wasn’t until I started enumerating properly and looking at things from a different perspective and with better logic that I began finding more. On the second day, I got 6 more flags, and at the beginning of the third day, I got 1 final flag — passing the exam in less than 48 hours.
The feedback from my examiner confirmed that my report was very well written. The steps I followed, as I also mentioned in my CPTS post, were the following:
That was enough to produce a good report that allowed me to pass the exam.
Right when I was practicing for the exam, HackTheBox released the official CWES track, so I completed most of the machines and challenges in that track before the exam. However, the best preparation is still the PATH — understanding all the concepts and vulnerabilities well, because the exam makes sure you’ve been paying attention.
After getting the CPTS, I was experimenting with a bit of everything. Honestly, I wasn’t expecting to get this certification at all. In fact, I bought the exam voucher on impulse. Even so, I found it to be an excellent certification. As always, HackTheBox knows how to teach and how to make you think outside the box. In terms of quality-price ratio, it’s absolutely worth it.
Overall, I’m very proud to have earned two HackTheBox certifications before turning 22. That said, once you achieve them, you realize “it’s not that big of a deal.” I mean, while I was preparing, I thought “When I get the CWES, I’ll be happy,” “When I get the CWES, I’ll take a break.” But when I got the pass, it was more like “Oh, okay… and now what?”
The conclusion I draw is that we always need a purpose and the drive to keep improving — not just in hacking or pentesting, but in all areas of life.
Now that I’ve improved my web pentesting skills, I have a big dilemma: whether to improve my Red Team abilities or to further specialize in web pentesting by going for the BSCP.
