Web Pentester / Red Team Web Specialist

Описание вакансии

DatsTeam – международная группа компаний, которая разрабатывает собственные продукты с 2014 года: рекламные платформы, мобильные приложения, платёжные решения. Наш кластер продуктовой разработки насчитывает более 700 разработчиков распределённых команд в разных городах России, СНГ, ЕС.

Мы ищем специалиста, который не просто умеет находить XSS и SQLi, а понимает логику веб-приложений на уровне взаимодействия компонентов, авторизации, маршрутизации и бизнес-логики. Вы умеете сочетать технические и нестандартные подходы для достижения целей Red Team операций. Знаете, как превратить уязвимость уровня приложения в полный контроль над инфраструктурой.

Вам интересны сложные сценарии: от SSRF в облако, до цепочек из Web → AD → Tier0. Вы разбираетесь в методах обхода защит, используете OPSEC-безопасные техники, тестируете гипотезы и дорабатываете payload'ы под конкретную цель.

Задачи:

Проведение пентестов и Red Team-операций с фокусом на веб-приложения
Поиск уязвимостей: RCE, IDOR, SSRF, SQLi, XSS, Template Injection, Auth bypass и др.
Атакующие сценарии: компрометация сессий, токенов, механизмов SSO/OAuth/SAML, JWT и др.
Построение цепочек атак: от уязвимости в вебе до доступа в инфраструктуру (Web2AD)
Эксплуатация логических уязвимостей и нарушений бизнес-логики
Биндинг атак с внешними сервисами: DNS rebinding, OOB, exfiltration-каналы
Взаимодействие с инфраструктурными пентестерами и Red Team для объединённых сценариев
Разработка OPSEC-безопасных payload'ов: fileless, memory-only, evasion-friendly
Участие в операциях социальной инженерии и взаимодействие с физическими векторами (phishing + malicious web)
Подготовка технической отчётности: баг-репорты, PoC, рекомендации
Валидация защит: WAF, RASP, CloudSec ― их возможности и ограничения
Разработка и кастомизация инструментов: сканеры, прокси, обфускаторы, payload-генераторы
Проведение purple team-сессий и участие в разработке detection use-cases (на основе выявленных TTP)
Тестирование и валидация новых техник обхода защит: payload delivery, sandbox evasion, encoding, mutation
Отслеживание TTP APT-групп, участие в моделировании реальных атак
Участие в разработке и тестировании защищённых веб-приложений (secure design review)
Внесение вклада в общую экспертизу команды по направлениям Web Offensive Security

Вне Red Team операций

Когда нет активных Red Team-операций, работа включает в себя классический анализ безопасности веб-приложений (in-house):

Проведение ручного и автоматизированного анализа безопасности веб-приложений компании на всех этапах жизненного цикла: от архитектуры до продакшена
Участие в безопасной разработке (secure SDLC): ревью дизайна, архитектуры, threat modeling, сопровождение внедрения безопасных практик
Тестирование новых фич и компонентов на предмет уязвимостей (gray-box,black-box подход)
Проверка на соответствие внутренним требованиям безопасности и лучшим практикам (OWASP ASVS, MASVS, NIST, CIS)
Подготовка рекомендаций по исправлению найденных уязвимостей, поддержка команд в процессе устранения
Участие в построении процесса безопасной разработки: внедрение SAST/DAST, обучение команд, улучшение пайплайнов
Анализ инцидентов безопасности, связанных с вебом (если возникают), и проработка улучшений
Поддержка базы знаний об уязвимостях, архитектурных паттернах и best practices в веб-безопасности
Тесное взаимодействие с инженерами приложений, DevOps, архитекторами, AppSec и SOC

Требования:

Углублённые знания веб-уязвимостей (OWASP Top 10, Web2AD, SSRF chains, AuthN/AuthZ bypass и др.)
Понимание и опыт эксплуатации: WAF bypass, SSRF to RCE, хищение токенов, session fixation, CORS misconfig
Знание архитектуры современных веб-приложений: SPA, API-first, OAuth/OIDC, SAML, JWT, CSRF protection
Опыт работы с облачными окружениями: AWS, Azure, GCP, особенно в контексте атак из веба
Навыки пост-эксплуатации на уровне веба: pivot, credential harvesting, persistence
Понимание DevSecOps и CI/CD пайплайнов: где и как возможны точки атаки
Знание offensive-инструментов: Burp Suite Pro, ffuf, kiterunner, nuclei, custom payloads, sqlmap, ysoserial, etc.
Опыт написания и использования кастомных эксплойтов / скриптов / obfuscators
Знание техник обхода WAF/EDR/AV на уровне delivery- и execution-этапов
Понимание OPSEC: как не оставить артефактов, не спалить технику и не триггерить алерты
Знание MITRE ATT&CK и опыт участия в Red Team / Adversary Simulation операциях
Опыт составления отчётной документации, PoC и рекомендаций для dev/security команд
Английский ― на уровне чтения техдоков и общения по проектам

Будет плюсом:

Опыт атак на CI/CD, supply chain, package poisoning, npm/pip hijacking
Знание GraphQL, WebSockets, HTTP/2 и современных веб-технологий
Опыт тестирования мобильных API и взаимодействия с reverse engineering командой
Опыт построения или взлома SSO-решений
Сертификаты: OSWE, OSEP, GWAPT, CRTO, или аналогичные

Мы предлагаем

Участие в сложных проектах с реальными сценариями атак;
Возможность развивать собственные инструменты и подходы;Постоянное развитие: сертификации, лаборатории, RnD-время;
Полную удалёнку, гибкий график и доверие к профессионализму;
Влияние на подходы и методологии Red Team в компании.
Оформление в штат компании или международный контракт. Несколько способов выплат;
Full remote или гибридный офис, работа из любой страны;
Соц.пакет: ДМС + со стоматологией, фитнес-клуб, корпоративный английский, льготная система по отпускам и больничным;
Гибкий график - лояльное начало дня с 9.00 до 11.00 по МСК, 8 часов рабочий день + перерывы на отдых на свое усмотрение;
Возможность выбрать оборудование (mac, linux, windows, мониторы и пр.) - доставим на дом в РФ или поможем с закупкой зарубежом;
Performance review, ежегодная индексация з/п;
Развитая культура коммуникаций: турниры онлайн и оффлайн, тех комьюнити, митапы, co-working дни, встречи и пати на летней веранде, тимбилдинги;
Офис с панорамой на Москву-реку и летняя веранда с шашлыками, гамаками и пицце для тех, кто работает в Москве и локальные тимбилдинги в других городах и странах для удаленщиков.