Web Pentester

Артис·Санкт-Петербург·10 окт.

Web Pentester

180 000 – 250 000 ₽

≈ 2,2 тыс.–3 тыс. $

🏢 ОфисMiddleПолная занятость

180 000 – 250 000 ₽≈ 2,2 тыс.–3 тыс. $

Стоит ли откликаться

Стоит откликнуться

Сумма указана открыто, так что торг начнётся не вслепую. Но в тексте есть формулировки, на которые стоит обратить внимание.

Всё в норме

Есть настораживающие формулировки: вопросы, которые их проверят

Деньги

Работодатель назвал вилку прямо. Похожих вакансий для сравнения с рынком пока мало.

Не сказано, это сумма на руки или до вычета НДФЛ: разница от 13%.

Вилка есть

Живость

Появилась 9 дней назад. По свежим вакансиям почти всегда действительно нанимают.

Свежая

Описание

Расписано подробно: обязанностей 6, требований 10. Картина ясна до первого созвона.

Настораживает: «Молодой и дружный коллектив»: иногда за этим стоит большая текучка.

Подробно

Что требуют

ОбязательноSQLMySQLPostgreSQLMS SQLLinux

Надбавка к зарплате на этом уровне: SQL +20%.

Ясно

Полный разбор в Pro

Это короткий разбор. В Pro полный: под эту вакансию и ваше резюме

Сколько просить

Не продешевите: сумма под ваше резюме, нижняя граница и готовые фразы для торга

Ваше резюме против требований

Пройдёт ли ваше резюме фильтр: что совпало с требованиями и что дописать до отклика

Спросить у работодателя

Что стоит спросить: вопросы именно к этой вакансии для первого созвона

Когда откликаться

Стоит ли спешить: за сколько дней эта компания обычно закрывает вакансии

30 дней Pro: полный разбор каждой вакансииЧто ещё входит в Pro

Написать напрямуюВ тексте вакансии есть контакт: письмо уйдёт человеку, а не в систему подбора

Наша компания

Мы — команда специалистов по наступательной безопасности. Проводим пентесты веб-приложений, внутренних инфраструктур и Red Team операции для компаний финансового сектора, e-commerce и телекома. Ищем человека, которому интересно копаться в логике приложений, находить нестандартные векторы атак и делать это руками, а не только инструментами.

Чем предстоит заниматься

Ручное тестирование веб-приложений на наличие уязвимостей (Black box, Grey box)

Поиск и эксплуатация SQLi, LFI/RFI, SSRF, SSTI, Command Injection и других классических веб-уязвимостей

Работа с Burp Suite: перехват и модификация запросов, Intruder, Repeater, расширения

Обход WAF: ручной тамперинг, подбор и написание tamper-скриптов

Работа с автоматизированными инструментами: sqlmap, ghauri — с пониманием того, что происходит под капотом

Написание понятных отчётов с PoC, оценкой критичности и рекомендациями по устранению

Наши требования

Прохождение PortSwigger Web Security Academy

Активность на HackTheBox / TryHackMe

Опыт написания tamper-скриптов или расширений для Burp

Понимание работы WAF и механизмов их обхода

Уверенное понимание веб-уязвимостей: SQL Injection (включая blind boolean/time-based), LFI/RFI, SSRF, SSTI, CMDi — как возникают и как ищутся на практике

Знание специфики основных СУБД: MySQL, PostgreSQL, MSSQL

Опыт работы с Burp Suite (Intercept, Repeater, Intruder, расширения)

Базовые навыки Linux: навигация, права, процессы, сеть

Понимание принципов работы sqlmap и ghauri

Базовый опыт с шеллами и реверс-шеллами