TryHackMe kontra HackTheBox: Od czego powinni zacząć początkujący?

Każdy początkujący w cyberbezpieczeństwie napotyka ten sam rozwidlenie drogi w ciągu pierwszego miesiąca: TryHackMe czy HackTheBox? Obie platformy są uzasadnione, mają rzeczywiste maszyny do zhackowania, ale zostały zbudowane dla różnych etapów krzywej uczenia się, a wybranie złej jako pierwszej może cię spowolnić lub sprawić, że zrezygnujesz.

Co TryHackMe rzeczywiście ci daje

TryHackMe zbudowany jest wokół guided rooms. Pokoje takie jak "Linux Fundamentals" czy "Web Fundamentals" prowadzą cię przez koncepcje krok po kroku, często z wbudowanymi pytaniami, które zmuszają cię do rzeczywistego czytania materiału zamiast przeszukiwania flag. Learning paths (Pre Security, Cyber Security 101, Jr Penetration Tester) łączą pokoje w coś przypominającego program nauczania.

To ma znaczenie, jeśli jeszcze nie wiesz, czym jest reverse shell, jak działa SSH lub dlaczego nmap -sV daje inny wynik niż nmap -sC. TryHackMe zakłada, że możliwe, że nie wiesz, i ci to wyjaśnia. Darmowa wersja jest wystarczająco szczodra, by przejść przez wiele materiału podstawowego zanim będziesz potrzebować subskrypcji.

Czego HackTheBox oczekuje od ciebie

HackTheBox domyślnie prawie nie oferuje ręcznego prowadzenia. Dostajesz adres IP i nazwę maszyny (emerytowane boxy mają dostępne writeup'y, aktywne nie mają). Bez podpowiedzi, chyba że je zapłacisz lub przeszukasz społeczne serwery Discord. Filozofia brzmi: albo pływaj, albo uton. Oczekuje się, że będziesz Google'ować, czytać dokumentację i układać łańcuch ataków z częściowych informacji.

To jest bliższe temu, jak wygląda rzeczywisty test penetracyjny lub konkurencja CTF. Maszyny mają też oceny trudności (Easy, Medium, Hard, Insane) i są otagowane techniką, więc gdy już mniej więcej wiesz, co robisz, możesz pracować nad konkretnymi umiejętnościami, takimi jak enumeracja Active Directory czy eskalacja uprawnień w Windows.

Różnica, która naprawdę ma znaczenie

Chodzi o podporę. TryHackMe daje ci drabinę. HackTheBox daje ci ścianę i mówi, że gdzieś istnieje sprzęt wspinaczkowy. Żaden nie jest obiektywnie lepszy, rozwiązują różne problemy. Całkowity początkujący wrzucony do HackTheBox bez doświadczenia w Linux'ie spędzi trzy godziny tylko na tym, by dowiedzieć się, jak prawidłowo używać gobuster, i to nie w produktywny sposób, bardziej frustrujący sposób, który zabija motywację. Jednocześnie ktoś, kto spędził sześć miesięcy tylko na guided pokojach TryHackMe, może uderzyć w mur na HackTheBox, ponieważ nigdy nie musiał enumerować celu bez listy kontrolnej mówiącej mu, jakie narzędzie uruchomić dalej.

Realistyczna sekwencja

Zacznij od ścieżek Pre Security i Cyber Security 101 TryHackMe, jeśli nie znasz już podstawowej sieci (TCP/IP, porty, DNS) i podstawowego wiersza poleceń Linux. Zaplanuj tutaj kilka tygodni, nie miesięcy. Pośpieszanie się na tym etapie oznacza, że będziesz dopasowywać polecenia wzorów bez zrozumienia, co robią, co się rozpada w momencie, gdy maszyna odbiega od skryptu tutorialu.

Kiedy możesz komfortowo enumerować box za pomocą nmap, zidentyfikować wersję usługi i wyszukać pasujący exploit na Exploit-DB lub searchsploit bez instrukcji, przejdź do pokojów ścieżki ofensywnej TryHackMe (takich jak te obejmujące OWASP Top 10) i zacznij mieszać z ścieżką Starting Point HackTheBox, która jest własną odpowiedzią HTB na