OSWE คืออะไร — คู่มือเตรียมสอบ OffSec Web Expert สุดยอด Cert สาย Web AppSec
ในสายงาน Web Application Security — OSWE (OffSec Web Expert) คือหนึ่งใน Certification ที่ยากที่สุดและทรงเกียรติที่สุดในโลก เน้นการทำ Whitebox Penetration Testing ผ่านการ Review Source Code เพื่อค้นหาช่องโหว่และเขียน Exploit ด้วยตนเอง มีผู้ถือ OSWE น้อยมากในประเทศไทย ทำให้เป็น Certification ที่มีคุณค่าอย่างยิ่งสำหรับมืออาชีพด้าน Web Security
OSWE คืออะไร
OSWE (OffSec Web Expert) เป็น Certification ระดับ Advanced จาก Offensive Security (OffSec) ที่ทดสอบความสามารถในการทำ Whitebox Web Application Penetration Testing — หมายถึงการได้รับ Source Code ของ Application แล้วต้องวิเคราะห์โค้ดเพื่อค้นหาช่องโหว่ สร้าง Exploit Chain และพิสูจน์การโจมตีได้สำเร็จ [1]
OSWE เชื่อมโยงกับหลักสูตร WEB-300: Advanced Web Attacks and Exploitation ซึ่งครอบคลุมเทคนิคขั้นสูงในการโจมตี Web Application ที่ไม่สามารถค้นพบได้ด้วย Automated Tools หรือ Blackbox Testing เพียงอย่างเดียว [2]
สิ่งที่ทำให้ OSWE แตกต่างจาก Cert อื่นคือ:
- เน้น Source Code Review — ไม่ใช่แค่ใช้ Tools แต่ต้องอ่านโค้ดเป็น
- ข้อสอบ Practical 47 ชั่วโมง 45 นาที — ไม่มี Multiple Choice เลย
- ต้องเขียน Exploit Script — พิสูจน์การโจมตีด้วย Automated Exploit
- มีผู้ถือน้อยมาก — โดยเฉพาะในประเทศไทยและภูมิภาคเอเชียตะวันออกเฉียงใต้
เหมาะกับใคร
- Web Application Penetration Tester ที่ต้องการยกระดับจาก Blackbox เป็น Whitebox
- Security Researcher ที่ต้องการเชี่ยวชาญด้าน Vulnerability Discovery ใน Web App
- Application Security Engineer ที่ต้องการ Prove ทักษะ Code Review
- Senior Pentester ที่ถือ OSCP แล้ว และต้องการ Specialize สาย Web
- Bug Bounty Hunter ที่ต้องการเข้าใจ Root Cause ของช่องโหว่ในระดับ Source Code
Prerequisites อย่างเป็นทางการ: OffSec แนะนำให้มีความรู้ด้าน Web Application Security, เขียนโปรแกรม (Python, JavaScript, PHP, Java, C#) ได้คล่อง, มีประสบการณ์ Pentest และถือ OSCP หรือเทียบเท่า [1]
ข้อสอบ OSWE เป็นอย่างไร
| รายละเอียด | ข้อมูล |
|---|---|
| รหัส Certification | OSWE |
| หลักสูตรที่เชื่อมโยง | WEB-300: Advanced Web Attacks and Exploitation |
| เวลาสอบ | 47 ชั่วโมง 45 นาที (ยาวที่สุดใน OffSec) |
| รูปแบบข้อสอบ | Hands-on Practical + Report |
| จำนวน Machines | หลาย Target Applications |
| สิ่งที่ต้องทำ | วิเคราะห์ Source Code → ค้นหาช่องโหว่ → เขียน Exploit → ส่ง Report |
| เกณฑ์ผ่าน | ต้องได้คะแนนขั้นต่ำตามที่กำหนด + ส่ง Professional Report |
| ค่าเรียน + สอบ | เริ่มต้น $1,749 USD (~61,000 บาท) สำหรับ 90 วัน Lab |
ข้อสอบที่ท้าทายที่สุด
ข้อสอบ OSWE ใช้เวลา 47 ชั่วโมง 45 นาที (เกือบ 2 วันเต็ม) แบ่งเป็น:
- 47 ชั่วโมง 45 นาที สำหรับทำข้อสอบ Practical — วิเคราะห์ Source Code, ค้นหา Vulnerability Chains, เขียน Exploit Scripts
- 24 ชั่วโมง เพิ่มเติมหลังจาก Practical สิ้นสุด สำหรับเขียน Professional Report
ผู้สอบจะได้รับ Source Code ของ Web Application และต้อง:
- อ่านและทำความเข้าใจ Code ในภาษาต่างๆ (PHP, Java, C#, Python, JavaScript)
- ค้นหาช่องโหว่ จาก Source Code (ไม่ใช่ใช้ Scanner)
- สร้าง Exploit Chain ที่รวม Vulnerabilities หลายจุดเข้าด้วยกัน
- เขียน Exploit Script (มักเป็น Python) ที่ทำงานอัตโนมัติ
- เขียน Report แบบมืออาชีพ อธิบายทุกขั้นตอน
เนื้อหาหลักของ WEB-300
| หมวด | เนื้อหา |
|---|---|
| Source Code Analysis | การอ่านและวิเคราะห์ Code ในหลายภาษา |
| Authentication Bypass | การข้ามระบบ Authentication ผ่านช่องโหว่ในโค้ด |
| SQL Injection (Advanced) | Second-order SQLi, Blind SQLi via Code Review |
| Cross-Site Scripting (Advanced) | Persistent XSS, DOM-based XSS จาก Code Analysis |
| Deserialization Attacks | Java/.NET/PHP Deserialization Vulnerabilities |
| Server-Side Request Forgery | SSRF จาก Source Code Review |
| Type Juggling & Logic Flaws | ช่องโหว่เชิง Logic ที่พบได้จากการอ่านโค้ดเท่านั้น |
| Exploit Scripting | เขียน Python Exploit Scripts แบบอัตโนมัติ |
ค่าใช้จ่ายทั้งหมด
| รายการ | ค่าใช้จ่ายโดยประมาณ |
|---|---|
| WEB-300 (90 วัน Lab Access) | $1,749 USD (~61,000 บาท) |
| WEB-300 (1 ปี Learn One) | $2,749 USD (~96,000 บาท) |
| ค่าสอบ OSWE (Retake) | $249 USD (~8,700 บาท) |
| รวมประมาณ (90 วัน) | $1,749 USD (~61,000 บาท) |
💡 หมายเหตุ: แพ็กเกจ Learn One ($2,749/ปี) คุ้มค่ากว่าหากต้องการเวลาเตรียมตัวมากขึ้น เพราะรวม Lab Access 1 ปี + สอบ 1 ครั้ง + Retake 1 ครั้ง [1]
วิธีเตรียมตัวสอบ
Study Path ที่แนะนำ (3-6 เดือน)
Phase 1 — พื้นฐาน Code Review (เดือนที่ 1)
- ทบทวน Web Application Security Fundamentals (OWASP Top 10)
- ฝึกอ่าน Source Code ในภาษา PHP, Java, Python, C#
- ศึกษา Common Vulnerability Patterns ใน Source Code
- ฝึกเขียน Python Script สำหรับ HTTP Request Automation (requests, BeautifulSoup)
Phase 2 — WEB-300 Courseware (เดือนที่ 2-4)
- ศึกษา Course Material อย่างละเอียด ทำ Lab ทุกข้อ
- ทำ Extra Mile Exercises ทุกข้อ (สำคัญมากสำหรับข้อสอบ)
- ฝึกเขียน Exploit Script แบบ End-to-end Automation
- จด Note เกี่ยวกับ Patterns ที่พบในแต่ละ Module
Phase 3 — Practice & Mock Exam (เดือนที่ 5-6)
- ทำ Challenge Labs ใน WEB-300
- ฝึก Source Code Review จาก Open Source Projects บน GitHub
- ฝึก Whitebox Challenges บน PentesterLab, HackTheBox
- ทำ Mock Exam จับเวลา — ฝึกบริหารเวลา 47 ชั่วโมง
เครื่องมือที่ต้องเชี่ยวชาญ
| ประเภท | เครื่องมือ |
|---|---|
| Code Editor/IDE | Visual Studio Code, IntelliJ IDEA, grep/ripgrep |
| Web Proxy | Burp Suite Professional |
| Scripting | Python (requests, BeautifulSoup, pwntools) |
| Source Code Analysis | Semgrep, grep, awk, custom regex |
| Database | MySQL CLI, PostgreSQL CLI, SQLite |
| Debugging | Browser DevTools, Xdebug (PHP), Remote Debugging |
คำแนะนำของบรรณาธิการ
คำแนะนำต่อไปนี้เป็นแนวทางเตรียมตัวของกองบรรณาธิการ ไม่ใช่คำพูดหรือประสบการณ์สอบที่ยืนยันจากผู้สอบรายใด และไม่รับประกันผลสอบ
- ฝึกอ่าน source code ไล่ data flow และตรวจ trust boundary ก่อนเขียน exploit ใน lab ที่ได้รับอนุญาต
- ฝึกเขียนสคริปต์ที่ทำซ้ำได้ พร้อมตรวจ error handling และเก็บหลักฐานแต่ละขั้น
- ฝึกทำรายงานอธิบาย root cause, ผลกระทบ และ remediation ควบคู่การแก้ lab ไม่ใช้ความเร็วใน lab ทำนายผลสอบ
OSWE ในประเทศไทย
OSWE เป็น Certification ที่มีผู้ถือน้อยมากในประเทศไทย เนื่องจาก:
- ความยากของข้อสอบที่สูงมาก
- ต้องมีทักษะ Programming และ Code Review ขั้นสูง
- ข้อสอบ 47+ ชั่วโมง ต้องการความอดทนและวินัยสูง
- เนื้อหา Whitebox Testing เป็นทักษะเฉพาะทางที่ต้องฝึกฝนมาก
🏆 ทีม ITSL ถือ Certification OSWE — เรามีผู้เชี่ยวชาญที่สอบผ่าน OSWE ทำให้สามารถให้บริการ Whitebox Penetration Testing / Source Code Review ในระดับสูงสุด
การต่ออายุ Certification
OSWE ไม่หมดอายุ (Does Not Expire) — เป็นหนึ่งในข้อดีของ OffSec Certification [1]
อย่างไรก็ตาม OffSec มีระบบ Active Status ที่แสดงว่าผู้ถือ Cert ยังอัพเดทความรู้อยู่ โดยต้องสะสม CPE Credits ผ่านการเรียนรู้ต่อเนื่อง
OSWE vs OSCP vs BSCP
| เปรียบเทียบ | OSWE | OSCP | BSCP (Burp Suite) |
|---|---|---|---|
| สถาบัน | OffSec | OffSec | PortSwigger |
| ระดับ | Advanced / Expert | Intermediate-Advanced | Intermediate |
| รูปแบบข้อสอบ | Whitebox Practical (47:45 ชม.) | Blackbox Practical (23:45 ชม.) | Hands-on Web (4 ชม.) |
| จุดเน้น | Source Code Review | Network + Web Pentest | Web Vulnerabilities |
| ค่าเรียน + สอบ | $1,749+ | $1,749+ | ฟรี (ใช้ Burp Suite Pro ~$449/ปี) |
| เหมาะกับ | Web AppSec Specialists | All-round Pentesters | Web Security Beginners |
แนะนำ: OSWE เหมาะสำหรับผู้ที่ต้องการเชี่ยวชาญ Web Application Security โดยเฉพาะ ถ้ายังไม่มี OSCP ควรสอบ OSCP ก่อนเพราะเป็นพื้นฐานที่ดีก่อนเข้าสู่ Whitebox Testing
🎯 ITSL ให้บริการ Web Application Penetration Testing ทั้งแบบ Blackbox และ Whitebox (Source Code Review) โดยทีมที่ถือ OSWE — ดูบริการ Pentest ของเรา | เปรียบเทียบ Certification ทั้งหมด
แหล่งอ้างอิง
- OSWE Certification Official Page — OffSec
- WEB-300: Advanced Web Attacks and Exploitation — OffSec
- OffSec Certification Comparison — OffSec
- Web Application Security Certifications — ITSL Knowledge Base