2026 OSCP+ Hazırlık Rehberi: Sınav Formatı, 12 Haftalık Plan ve Sınav Günü Akışı#

OSCP rehberlerinin çoğu ya bir link listesi ya da motivasyon konuşması. Bu yazı, çalışırken açık tutacağın belge olmayı hedefliyor: sınav nasıl puanlanıyor, hangi kurallar yaklaşımını gerçekten değiştiriyor, haftalık plan, her hedefte çalıştıracağın komutlar ve kazandığın puanların evrak yüzünden kaybolmaması için raporun ne içermesi gerektiği.

Kayıt olmadan önce: OffSec sınav kurallarını zaman zaman değiştiriyor. Aşağıdaki sınav bilgileri, Ekim 2026'da resmi OSCP+ Exam Guide ile karşılaştırıldı. Denemenden önce güncel hâlini oku; bir fark varsa doğru kaynak odur.

Tek tabloda sınav#

Kaynak: resmi OSCP+ Exam Guide. Kurallar değişebiliyor; kayıt olmadan önce güncel hâlini oku.

Stratejini belirlemesi gereken aritmetik#

Kılavuz, 70'e ulaşmanın tam olarak dört yolunu listeliyor:

• 40 (AD) + 3 local.txt bayrağı = 70
• 40 (AD) + 2 local.txt + 1 proof.txt = 70
• 20 (AD) + 3 local.txt + 2 proof.txt = 70
• 10 (AD) + 3 tam tamamlanmış bağımsız makine = 70

AD setindeki puanlar zincirleme: 3. makine 20 puan ve ona ancak 1. ve 2. makineden geçerek ulaşırsın. Bundan iki sonuç çıkıyor. Tam bir AD zinciri bağımsız makineleri çok daha az stresli yapar ve AD seti takılırsa dünya bitmez; üç tam bağımsız makine artı ilk AD makinesi yine geçirir. Ayrıca kılavuz, raporda makineleri belgeleme sıranın, puanlanma sırası olduğunu söylüyor.

Çalışma şeklini değiştiren kurallar#

Pratikte önemli olan kısıtlar bunlar. Tam liste sınav kılavuzunda; spoofing, ticari araçlar ve toplu zafiyet tarayıcılarıyla ilgili maddeler de orada.

• Metasploit yalnızca tek makinede. Metasploit modülleri (auxiliary, exploit, post) ve Meterpreter payload'ı seçeceğin tek bir hedefte kullanılabilir. Birini bir makinede kullandığın anda seçim kilitlenir, saldırı başarısız olsa bile; check de kullanım sayılır. Pivoting için kullanılamaz. multi/handler ve msfvenom tüm makinelerde kullanılabilir, ama Meterpreter payload'ı yalnızca seçtiğin tek hedefte. Exploit planını Metasploit'e ihtiyaç duymayacak şekilde kur, onu yedek olarak tut.
• Otomatik istismar aracı yok. sqlmap, db_autopwn, browser_autopwn ve benzerleri yasak; toplu zafiyet tarayıcıları da (Nessus, OpenVAS ve benzerleri). Nmap ve NSE, Nikto, Burp Free ve DirBuster benzeri araçlar serbest.
• Spoofing ve ticari araç yok. IP, ARP, DNS ve NBNS spoofing yasak; Metasploit Pro ve Burp Pro da öyle.
• Yapay zeka sohbet botu yok. OffSec KAI, ChatGPT, Gemini, DeepSeek ve benzerleri yasak ve üçüncü taraf yardımı sayılıyor. Yalnızca yerleşik yapay zeka özelliği olan araçlar (örneğin Notion) ihlal değil. Hazırlıkta sohbet botunu koltuk değneği yaptıysan, sınavdan en az bir ay önce bırak.
• Kanıt interaktif shell'den gelmeli. Her local.txt ve proof.txt, hedefteki interaktif bir shell'de, özgün konumundan type ya da cat ile gösterilmeli; ekran görüntüsünde hedefin IP'si de (ipconfig, ifconfig ya da ip addr) olmalı. Web shell ya da dosyayı başka yoldan okumak o makineden sıfır puan getirir. Windows'ta SYSTEM, Administrator ya da yönetici yetkili kullanıcı olarak; Linux'ta root shell gerekir.
• Bayrakları kontrol panelinden de gönder. Panel, bayrağın doğru olup olmadığını söylemez.
• Bir hedeften tüm puanı kaybettirenler: yasak bir araç, birden fazla makinede Metasploit, panelde ya da shell ekran görüntüsünde eksik kanıt dosyası ve eksik dokümantasyon.

12 haftalık plan#

Bu plan; Linux'u rahat kullandığını, temel Python ve Bash okuyabildiğini, TCP/IP ile HTTP'yi anladığını varsayar. Değilse önce bunlara iki-dört hafta ayır. Aşağısı haftada yaklaşık 15-20 saati varsayıyor.

Bu planın iki kuralı:

1. Writeup sadece süre dolunca. Bir makineye ipucuna bakmadan 3-4 saat dürüst emek ver, sonra yalnızca takıldığın yeri açacak kadar oku. Neden kaçırdığını not et. O not makineden daha değerli.
2. Her makine not üretir. İşe yarayan komutlar, önemli olan sürüm bilgileri ve privesc vektörü. Sınavda arayabileceğin tek kaynak kendi notların, o yüzden aranabilir olmalı.

Enumerasyon rutini#

Başarısız denemelerin çoğu eksik exploit'ten değil, kaçırılan enumerasyondan gelir. Aynı rutini otomatik hâle gelene kadar her hedefte çalıştır.

Portlar#

# Önce tüm TCP, sonra sadece açık olanların detayı
sudo nmap -p- --min-rate 2000 -T4 -oN ports.txt $IP
PORTS=$(grep -oP '^\d+(?=/tcp\s+open)' ports.txt | paste -sd, -)
sudo nmap -p$PORTS -sCV -oN services.txt $IP
 
# UDP yavaş; genelde en üstteki portlar yeter
sudo nmap -sU --top-ports 25 -oN udp.txt $IP

SNMP (161/udp) klasik UDP bulgusudur. Açıksa, her şeyden önce snmpwalk -v2c -c public $IP dene.

Web#

whatweb http://$IP
feroxbuster -u http://$IP -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -x php,txt,bak,zip
ffuf -u http://$IP -H "Host: FUZZ.target.local" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -fs 0

Sayfa kaynağını oku, robots.txt'ye bak, her sürüm numarasını not et ve her birini searchsploit ve web aramasıyla kontrol et. Brute-force'tan önce her giriş sayfasında varsayılan kimlik bilgilerini dene.

SMB ve diğer servisler#

nxc smb $IP -u '' -p '' --shares
nxc smb $IP -u 'guest' -p '' --shares
smbclient -N -L //$IP
enum4linux-ng -A $IP

Her servis için üç soru sor: sürümü ne, anonim erişime izin veriyor mu ve elimdeki kimlik bilgilerini kabul ediyor mu?

Yetki yükseltme#

Otomatik scripti çalıştır ama yüksek değerli kalemleri kendin de kontrol et; çünkü scriptler çok çıktı üretir ve asıl vektörü kaydırıp geçmek kolaydır.

Linux

id; sudo -l
find / -perm -4000 -type f 2>/dev/null
getcap -r / 2>/dev/null
cat /etc/crontab; ls -la /etc/cron.*
ss -tlnp            # sadece localhost'ta dinleyen servisler
ls -la /opt /srv /var/www /home/*

Her sudo -l sonucunu ve SUID binary'sini GTFOBins ile karşılaştır.

Windows

whoami /priv
whoami /groups
Get-ChildItem C:\Users\*\Desktop, C:\Users\*\Documents -Force -ErrorAction SilentlyContinue
Get-CimInstance Win32_Service | Where-Object { $_.PathName -notmatch '^"' -and $_.PathName -match ' ' } | Select Name, PathName
cmdkey /list
Get-History; (Get-PSReadLineOption).HistorySavePath

Bir servis hesabında SeImpersonatePrivilege genelde Potato ailesinden bir exploit demektir. Tırnaksız servis yolları, yazılabilir servis binary'leri, kayıtlı kimlik bilgileri ve PowerShell geçmişi diğer yaygın kazançlar.

Active Directory seti#

Sınav sana bir domain kullanıcısının bilgisini verir. Aşağıdaki akış, nota bakmadan yapabilene kadar çalışman gereken akış.

# 1. Kimlik bilgisini doğrula ve domaini haritala
nxc smb $DC_IP -u $USER -p "$PASS"
nxc smb 10.10.10.0/24 -u $USER -p "$PASS"          # bu kullanıcı nerede giriş yapabiliyor?
bloodhound-python -u $USER -p "$PASS" -d $DOMAIN -ns $DC_IP -c All
 
# 2. Roast edilebileni roast et
impacket-GetUserSPNs $DOMAIN/$USER:"$PASS" -dc-ip $DC_IP -request -outputfile kerberoast.txt
impacket-GetNPUsers $DOMAIN/ -usersfile users.txt -dc-ip $DC_IP -format hashcat -outputfile asrep.txt
hashcat -m 13100 kerberoast.txt /usr/share/wordlists/rockyou.txt
hashcat -m 18200 asrep.txt /usr/share/wordlists/rockyou.txt
 
# 3. Her yeni kimlik bilgisi: dikkatlice her yerde dene
nxc smb hosts.txt -u users.txt -p "$NEWPASS" --continue-on-success
nxc winrm hosts.txt -u $NEWUSER -p "$NEWPASS"

Ele geçirdiğin her makinede, devam etmeden önce kimlik bilgilerini topla (mimikatz, impacket-secretsdump, dosyalar, geçmiş, yapılandırma dosyaları), sonra 3. adımı bulduklarınla tekrarla. AD seti genelde her makinenin bir sonrakinin kimlik bilgisini verdiği bir zincirdir. Takıldıysan cevap neredeyse her zaman topladığın ama her yerde denemediğin bir kimlik bilgisidir.

Doğrudan ulaşamadığın iç ağlar için tek bir pivot aracını rutin hâline gelene kadar çalış. Ligolo-ng en rahat seçenek; SOCKS proxy yerine yönlendirilmiş bir arabirim verir.

Sınav günü#

• AD setiyle başla, provalarında bağımsız makineler senin için daha hızlı gitmiyorsa. Tek zincirde 40 puan en büyük blok.
• Her hedefe süre koy. 90 dakika ilerleme yoksa hedef değiştir. Taze gözle dönmek, zorlamaya devam etmekten daha sık işe yarar.
• İlerledikçe ekran görüntüsü al. Rapor için gerekecek her adım: zafiyetli istek, exploit komutu, shell, IP'li bayrak. Sonradan yeniden üretmek saatlere mal olur.
• Uyu. Sınavın ortasında 2-3 saatlik uyku zayıflık değil, normal bir stratejidir. Yorgun insan enumerasyon çıktısındaki apaçık şeyi kaçırır.
• Bitirmeden puanı kontrol et. Bayraklarını say, her kanıt ekran görüntüsünün kurallara uyduğunu doğrula, ancak ondan sonra sınavı bitir.

Rapor#

Belgelenmeyen puan sayılmaz. Rapor, okuyanın her adımı tekrar üretebilmesini sağlamalı.

Her makine için:

1. Servis ve zafiyet, sürümüyle.
2. Tekrar üretmek için tam adımlar; komutlar ve değiştirdiğin exploit kodu.
3. İlk erişim, yetki yükseltme ve her iki bayrak için IP'li ekran görüntüleri.
4. Nasıl düzeltileceğine dair kısa bir not.

OffSec'in şablonunu ya da 9-10. haftalarda prova raporların için zaten kullandığın, Markdown tabanlı bir şablonu kullan; örneğin noraj OSCP rapor şablonu ya da OSCP şablonları olan SysReptor. Sınav günü yeni şablon deneme.

İnsanların kaybetme sebepleri#

• Enumerasyon bitmeden exploit'e koşmak.
• AD setinde toplanan kimlik bilgilerini her serviste denememek.
• Süre sınırı olmadığı için tek makinede zamanın bitmesi.
• Eksik ya da geçersiz kanıt ekran görüntüleri.
• Hazırlıkta walkthrough ya da yapay zeka araçlarına bağımlı kalıp sınava ikisi olmadan girmek.

Modül modül bir seri#

Bu rehber genel bakış. Bir yan seri, PEN-200 modüllerini sırayla, her yazıda düzyazı değil gerçek bir lab'da çalıştırılmış komutlarla ele alıyor: Bölüm 1 — Not Tutma ve Rapor Yazımı ile başla.

Bu sitedeki ilgili lab'lar#

Sınav otomatik istismar araçlarını yasakladığı için manuel test ikinci doğan olmalı. Bu yazılar elle saldırabileceğin küçük lab'lar kuruyor:

• Bağlama göre XSS: gerçek tarayıcıda test edilen beş XSS bağlamı.
• NoSQL Injection, Bölüm 1: operatör enjeksiyonu ve araçsız kör veri çıkarma.
• HTB writeup'ları: baştan sona çözülmüş makineler, çıkmaz sokaklar dahil.