# Review eCPPTv3

En esta revisión comentaré mi experiencia con la certificación eCPPTv3, puesto que decidií actualizar el voucher que ya tenia comprado del eCPPTv2, ya que esta versión incluiría conceptos de Active Directory de manera obligatoria, siendo este el nuevo enfoque en las certificaciones actuales.&#x20;

## Preparación para el exámen

Es importante tener claros los conceptos de como moverse en AD y elevación de privilegios en windows. Ademas de poder desenvolerse en entornos Web. En mi caso, yo ya había sacado la certificación eWPTx del mismo INE, por lo que, la preparación para este exámen uba enfocada netamente al Active Directory.

### Material  de estudio utilizado

No tuve la oportunidad de utilizar el materia proporcionado por INE como preparación para el exámen, sin embargo, me fue de utilidad llevar los módulos centrados en Active Directory de la plataforma Hack The Box Academy.

<table><thead><tr><th>Módulo</th><th width="282">Enlace</th></tr></thead><tbody><tr><td><strong>Active Directory Enumeration &#x26; Attacks</strong></td><td><a href="https://academy.hackthebox.com/module/details/143">https://academy.hackthebox.com/module/details/143</a></td></tr><tr><td><strong>Introduction to Active Directory</strong></td><td><a href="https://academy.hackthebox.com/module/details/74">https://academy.hackthebox.com/module/details/74</a></td></tr></tbody></table>

### Maquinas Hack the Box

| Maquina HTB | Criticidad                                           |
| ----------- | ---------------------------------------------------- |
| Cascade     | <mark style="background-color:orange;">Medium</mark> |
| Forest      | <mark style="background-color:green;">Easy</mark>    |
| Authority   | <mark style="background-color:orange;">Medium</mark> |
| Hospital    | <mark style="background-color:orange;">Medium</mark> |

## Comentarios respecto al exámen

A comparación de otras formas de evaluar en otros exámenes, en este exámen ya no te piden un reporte, por lo que tu calificación dependerá enteramente de la cantidad de preguntas que puedas resolver correctamente (de un total de 45 preguntas) .&#x20;

Un punto bueno es que, ni bien finalizas el exámen tendrás un feedback sobre tu calificación, sabiendo si aprobaste o en caso contrario, los puntos en los que estas fallando.

### Puntos positivos

* Feedback inmediato de la evaluación.
* Las preguntas te dan una pista del proceso que debes seguir.
* Te evitas la realización de un reporte. \[*debatible*]

### Puntos negativos

* Existe la posibilidad de que las preguntas estén mal formuladas y no se entienda que se debe responder.
* Existe la posibilidad de que las preguntas sean incorrectas, por ejemplo, te pregunten por las credenciales de un usuarios que no existe.
* Si el proceso de **obtener contraseñas** no se realiza de manera correcta, podría ocupar una gran parte de tu tiempo.&#x20;

### Recomendaciones

Algo que pude observar es que, al ofrecerte diccionarios para realizar ataque de diccionario, te están asegurando que las credenciales si o si , están en ese listado. Por lo que te recomendaría:

* Que si consideras que no hay forma de obtener una credencial,  deberías considerar usar las listas de contraseñas que te brindan.&#x20;
* Si la contraseña no está en los diccionarios, entonces recién ahi  dedicate a buscar otros métodos.&#x20;
* Realiza una enumeración completa de usuarios y contraseña, para agotar todas las posibles vías de acceso.
* Realizar los ataques de diccionario en paralelo para optimizar los tiempos.&#x20;

Aunque el exámen se centra (según la descripción) en AD, un buen porcentaje está relacionado a la explotación de vulnerabilidades Web, asi que debes tener los conceptos claros de como explotar una web y realizar una correcta escalada de priovilegios en equipos ***linux***.&#x20;

El acceso al AD puede ser obtenido de diversas maneras, debes tener el conocimiento de como ***elevar  privilegios*** cuando obtengas acceso a un equipo Windows. Asi que, si o si, deberás tener en claro como ***encontrar y explotar esos posibles fallos,*** caso contrario te podrías estancar y lastimosamente, para aprobar el exámen, debes demostrar que haz conseguido acceso al AD.

## Y al final ...&#x20;

Una vez finalices el exámen, podrás descargar el certificado, el cuál tendra una vigencia de 3 años, (*algo que debería estar considerado en los puntos negativos de la actualización*). Sin embargo, considero este una buena certificación para demostrar las habilidades en elevación de privilegios, explotación en Active Directory y en Webs.

<figure><img src="https://1715844695-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FpjALgfhaR2sZ3jQhthdg%2Fuploads%2FuGOpMeHEu8YrD5mb6Jvp%2Fimage.png?alt=media&#x26;token=779c6200-0c41-4081-b8c3-f6373247cabc" alt="" width="375"><figcaption></figcaption></figure>
