Начал готовиться к Web CTF и заметил, что у меня два основных подхода. Первый — залипаю на базовом понимании веб-протоколов (HTTP, cookies, сессии), разбираю простые задачи типа XSS и SQLi, чтобы почувствовать механику атаки и защиты. Минус — всё долго усваивается, а без практики в нормальных задачах быстро скучно.

Второй — беру конкретный CTFчек-лист или гайды по популярным уязвимостям и сразу в деле — скачиваю стенд, настраиваю локалку с DVWA или WebGoat и лезу, тестирую шаги, пробую payload'ы, смотрю, что не сработало, почему. Это быстрее, но иногда теряешь понимание, как вообще это работает «под капотом».

По опыту, если сами основы пропустить — дальше будет сложно придумывать нестандартные решения. Но если с основами затягивать, можно быстро застрять на теории и не перейти к практике. Короче, для меня сейчас работает смешанный режим: пару дней изучаю теорию, сразу в бой с практикой, потом опять чуть читаю, потом новая задача.

Кто как готовится к веб-части? Чисто с теорией достаточно или сразу впору в стенды и тесты?