Mikołaj Kołodziej Kandydat na staż: testy penetracyjne / SOC
EN

Techniczne

Projekty i research

Projekty uczelniane i programy researchowe — wpisy narzędziowe pojawiają się dopiero wtedy, gdy są wystarczająco realne, by je pokazać.

01 Projekty

Narzędzia i projekty

Własne i uczelniane narzędzia. Lista jest pusta, dopóki projekt nie będzie gotowy do uczciwej prezentacji.

Brak wpisów narzędziowych. Na razie dowody niosą ujawnienia, findings oraz doświadczenie zawodowe.

02 Profil

Praca i research

Zatrudnienie i ustrukturyzowany research — od potwierdzenia w labie po koordynowane ujawnienie.

Jak prowadzę research

  1. 01

    Zakres i laboratorium

    Izoluję lokalną instancję WordPress lub aplikacji, pinuję wersje i pozostaję w wyraźnie zadeklarowanym zakresie testów.

  2. 02

    Mapowanie powierzchni

    Mapuję trasy, role, wejścia i operacje zmieniające stan. Narzędzia open source dają pokrycie; ciekawe ścieżki weryfikuję ręcznie.

  3. 03

    Potwierdzenie

    Potwierdzam problem bezpiecznie w laboratorium. Wolę minimalny dowód wpływu — nigdy destrukcyjnego proofu na systemach, których nie posiadam.

  4. 04

    Wpływ i CVSS

    Opisuję, kto może wyzwolić problem, co może osiągnąć, oraz wektor CVSS 3.1 zgodny z wykazanym wpływem.

  5. 05

    Raport i ujawnienie

    Piszę raport dla vendora z rekomendacją naprawy, potem idę ścieżką koordynowanego ujawniania. Publiczne strony CV pomijają materiał eksploatacyjny.

Badacz podatności Samodzielnie

Samodzielny research podatności

Samodzielny research WordPress i aplikacji webowych w izolowanych laboratoriach — od mapowania powierzchni ataku po raporty disclosure, na których vendor może pracować.

2025 — obecnie

  • Udokumentowane publiczne ustalenia dla Advatix FEP API Connection, WPIDE i WP Easy Pay oraz zarezerwowany CVE-2026-30764 oczekujący na publiczny rekord MITRE.
  • Każdy publiczny advisory podaje produkt, wersję, przyczynę, wpływ i remediację — bez publikowania payloadów ani procedur ataku.
  • Cała weryfikacja odbywa się wyłącznie w izolowanych lokalnych laboratoriach WordPress i aplikacji.
Szczegóły

Zakres pracy

Prowadzę ten research równolegle do studiów Cyberbezpieczeństwa (CBE). Skupiam się na wtyczkach WordPress i niewielkich aplikacjach webowych, w których brak autoryzacji, injection i obsługa plików mają praktyczny wpływ.

Typowy cykl:

  • Laboratorium — przypięte wersje wtyczki i WordPressa w izolowanej instancji.
  • Mapowanie powierzchni — trasy, role, wejścia i operacje zmieniające stan.
  • Potwierdzenie — minimalny dowód wpływu bez produkcji.
  • Raport — produkt, wersje, przyczyna, CVSS, wpływ i remediacja dla vendora.
  • Publiczny rekord w CV — treść advisory wyłącznie po angielsku; materiał eksploatacyjny zostaje prywatny.

Efekt

Szczegóły są w sekcjach Public Disclosures (rekordy CVE) i Findings (ustalenia bez publicznego CVE). Liczniki na stronie głównej biorą się z plików danych, nie z ręcznie wpisanych liczb.

  • WordPress
  • Bezpieczeństwo web
  • Koordynowane ujawnianie
  • CVSS
Wsparcie techniczne Soul Living sp. z o.o.

Wsparcie sklepu e-commerce

Wsparcie techniczne sklepu internetowego i środowiska serwerowego, z lekkim programowaniem po stronie sklepu gdy jest potrzebne — to nie jest rola software-engineeringowa.

luty 2026 — obecnie

  • Bieżące wsparcie techniczne witryny sklepowej i warstwy serwerowej.
  • Okazjonalne programowanie po stronie sklepu tylko wtedy, gdy trzeba utrzymać działanie — drugorzędne wobec wsparcia.
Szczegóły

Kontekst

Soul Living to praca równoległa do studiów. Rola jest operacyjnym wsparciem sklepu i serwera, a nie twierdzeniem o pełnym inżynierii produktu. Na tym CV celowo stoi za researchem podatności i edukacją: celem stażu są testy penetracyjne / SOC, nie ścieżka developerska.

  • E-commerce
  • Wsparcie techniczne
  • Podstawy serwera
Dokumentacja techniczna Controltec

Dokumentacja techniczna

Wczesne doświadczenie zawodowe w pisaniu i porządkowaniu dokumentacji technicznej — ten sam nawyk, który później widać w raportach disclosure.

czerwiec 2022 — sierpień 2022

  • Przygotowywanie i porządkowanie dokumentacji technicznej w kontekście inżynierskim / przemysłowym.
  • Wypracowanie dyscypliny raportowania później użytej w ujawnieniach podatności i komunikacji z vendorami.
Szczegóły

Dlaczego to nadal ma sens na CV bezpieczeństwa

Controltec to była praca dokumentacyjna, nie testy bezpieczeństwa. Pozostaje istotna, bo jasne pisanie jest częścią tego, jak ustalenia zostają naprawione: struktura, precyzja i czytelnik, który nie siedzi w Twojej głowie. Ta kompetencja przenosi się wprost na raporty koordynowanego ujawniania.

  • Pisanie techniczne
  • Dokumentacja

Dlaczego ta sekcja jest cicha

Placeholderowe projekty narzędziowe zostały usunięte celowo. Wymyślone pipeline’y reconu i domowe SOC-laby wyglądają zajęcie na CV i marnują zaufanie rekrutera. Gdy projekt uczelniany lub własny będzie gotowy — z realnym zakresem i uczciwym wynikiem — trafi na tę listę.

Co czytać zamiast tego

01 — Kontakt

Szukam stażu w testach penetracyjnych (SOC jako drugi kierunek)

Chętnie omówię dowolny raport, metodologię laboratoryjną i sposób dokumentowania ustaleń dla vendorów.

Otwarty na staż — termin elastyczny

Napisz do mnie [email protected]

Najszybciej odpowiadam na e-mail. Chętnie omówię dowolny raport, metodologię laboratoryjną i sposób dokumentowania ustaleń.

Polityka ujawniania i safe harbor →