OSCP+ Rehberi 2026: Sınav Yapısı, 1 Aralık Puanlama Değişikliği ve Hazırlık Planı

Merhaba arkadaşlar,

OSCP, sızma testi alanında işe alımlarda en çok sorulan uygulamalı sertifikalardan biri olmaya devam ediyor. 1 Kasım 2024'ten itibaren sınavı geçenler OSCP ile birlikte üç yıl geçerli OSCP+ unvanını da alıyor ve 1 Aralık 2026'da puanlama sisteminde önemli bir değişiklik devreye giriyor. Bu rehberde OffSec'in resmi sınav kılavuzunu temel alarak sınavın yapısını, yasak araçları, raporlama kurallarını ve bunlara göre kurulmuş pratik bir hazırlık planını anlatıyorum. Burada yazan her kural OffSec'in resmi belgelerinden alınmıştır; sınava girmeden önce kılavuzun güncel halini mutlaka kendiniz okuyun.

Konuda Anlatılacaklar

1. OSCP ve OSCP+ farkı
   
2. Sınav yapısı ve puan dağılımı
   
3. 1 Aralık 2026 ölçekli puanlama değişikliği
   
4. Yasak araçlar ve Metasploit kısıtı
   
5. Kanıt (proof) ve ekran görüntüsü kuralları
   
6. Rapor ve teslim süreci
   
7. Lab hazırlığı ve not tutma düzeni
   
8. 12 haftalık çalışma planı
   

OSCP ve OSCP+ Farkı

OffSec'in Eylül 2024 duyurusuna göre 1 Kasım 2024'ten itibaren sınavı geçen adaylar iki sertifika alır: süresiz geçerli OSCP ve üç yıl sonra sona eren OSCP+. İkisi arasındaki tek fark geçerlilik süresidir. OSCP+ süresi dolarsa OSCP unvanınız devam eder. OSCP+'ı yenilemek isteyenler için OffSec'in yeniden sertifikalandırma sınavı seçeneği bulunur.

Bağımsız sınav satın alımı (eğitimsiz) yalnızca OSCP+ için mümkündür ve OffSec SSS sayfasına göre iki sınav hakkı içerir; her iki hak da satın alma tarihinden itibaren 120 gün geçerlidir. Başarısız denemeden sonra zorunlu bir bekleme süresi olduğu için sınav tarihini buna göre planlayın.

Sınav Yapısı ve Puan Dağılımı

Resmi sınav kılavuzuna göre sınav yapısı şöyledir:

• Sınav süresi 23 saat 45 dakikadır; ardından rapor yüklemek için 24 saat daha verilir.
  
• Tüm sınavlar gözetimlidir (proctored) ve Kali Linux + OpenVPN ile bağlanılır.
  
• 3 bağımsız makine: her biri 20 puan (10 ilk erişim + 10 yetki yükseltme), toplam 60 puan.
  
• 1 Active Directory seti (3 makine): toplam 40 puan (10 + 10 + 20). AD setinde size bir kullanıcı adı ve parola verilir; bu, ihlal sonrası senaryoyu simüle eder.
  

Kılavuzdaki geçme senaryolarından bazıları (100 üzerinden 70 ile geçilir): 40 AD + 3 local.txt; 40 AD + 2 local.txt + 1 proof.txt; ya da 10 AD puanı + 3 bağımsız makinenin tamamı. Görüldüğü gibi AD setini bitirmek geçmeyi büyük ölçüde kolaylaştırır.


1 Aralık 2026 Ölçekli Puanlama Değişikliği

OffSec'in resmi "OSCP+ Scoring Update" duyurusuna göre:

• 30 Kasım 2026'ya kadar girilen sınavlarda geçmek için 100 üzerinden 70 puan sabit eşiktir.
  
• 1 Aralık 2026'dan itibaren puanlar, sınav setine özgü bir dönüşümle ölçeklenmiş (equated scaled) skora çevrilir ve bu skor geçme standardıyla karşılaştırılır. Yani 70, her set için sabit kesme değeri olmaktan çıkar.
  

Önemli nokta: Sınavın yapısı (üç bağımsız makine + bir AD zinciri), süresi, gözetim kuralları ve istenen yetkinlik aynı kalıyor. Değişen tek şey farklı zorluktaki setler arasında skorların nasıl eşitlendiği. Sınav tarihiniz hangi yöntemin uygulanacağını belirler, bu yüzden tarihinizi planlarken bu eşiği göz önünde bulundurun.

Yasak Araçlar ve Metasploit Kısıtı

Kılavuz, kullanılamayacak araçları açıkça sayar:

• Spoofing (IP, ARP, DNS, NBNS vb.)
  
• Ticari araçlar (Metasploit Pro, Burp Pro vb.)
  
• Otomatik sömürü araçları (db_autopwn, browser_autopwn, SQLmap, SQLninja vb.)
  
• Kitlesel zafiyet tarayıcıları (Nessus, Nexpose, OpenVAS, Core Impact vb.)
  
• Yapay zeka sohbet botları (ChatGPT, Gemini, Deepseek, OffSec KAI vb.) — bunların kullanımı üçüncü taraf yardımı sayılır ve akademik politikayı ihlal eder.
  

İzin verilenler arasında Nmap (ve NSE), Nikto, Burp Free, DirBuster gibi araçlar vardır. Metasploit kısıtı çok nettir: Metasploit modüllerini (Auxiliary, Exploit, Post) veya Meterpreter yükünü yalnızca seçtiğiniz tek bir hedef makineye karşı kullanabilirsiniz. Bir hedefte kullanmaya karar verdiğiniz an kilitlenirsiniz; başka hedeflerde (pivot dahil) kullanamazsınız. Buna karşılık multi/handler ve msfvenom tüm hedeflerde kullanılabilir.


Kanıt ve Ekran Görüntüsü Kuralları

Her hedef makinede en az bir kanıt dosyası vardır: ayrıcalıksız kullanıcının erişebildiği local.txt ve yalnızca root/Administrator erişebildiği proof.txt. Kılavuza göre:

• Kanıt dosyalarının içeriği hedef üzerinde etkileşimli bir kabukta type veya cat ile, orijinal konumundan gösterilmelidir. Web tabanlı kabukla alınan içerik puan getirmez.
  
• Her ekran görüntüsü hem dosya içeriğini hem de hedefin IP adresini (ipconfig, ifconfig veya ip addr çıktısıyla) içermelidir.
  
• İçerik hem kontrol panelinde hem de raporda ekran görüntüsüyle sunulmalıdır.
  
• Windows'ta tam puan için SYSTEM/Administrator yetkili bir kabuk, Linux'ta root kabuğu gerekir.
  

Örnek bir kanıt gösterimi (kendi lab makinenizde prova için):



Rapor ve Teslim Süreci

Raporlama kuralları katıdır; eksik dokümantasyon puan kaybı demektir. Kılavuzdaki teslim kontrol listesi:

• Rapor PDF formatında olmalı ve "OSCP-OS-XXXXX-Exam-Report.pdf" adını taşımalı (XXXXX = OSID).
  
• PDF, parolasız bir .7z arşivine konmalı ve arşiv 200 MB'ı geçmemeli.
  
• Dosya https://upload.offsec.com adresine yüklenmeli; yükleme sonrası verilen MD5 özeti yerel dosyanınkiyle karşılaştırılmalı.
  

Rapor arşivini kendi Kali makinenizde oluşturup özetini doğrulayın:


Sonuç, dokümantasyon teslim edildikten sonra 10 iş günü içinde e-posta ile bildirilir. Rapor bir kez gönderildikten sonra eksik ekran görüntüsü tamamlanamaz; bu yüzden göndermeden önce dikkatle kontrol edin.

Lab Hazırlığı ve Not Tutma Düzeni

Sınav baskısında zaman kaybetmemek için keşif ve not tutmayı otomatikleştirin. Kendi lab makinenizde (örneğin yerel bir sanal ağdaki hedefte) çalışan bir keşif düzeni:


Nmap resmi kılavuzuna göre -oN normal, -oA ise üç formatta (normal, XML, grepable) çıktı kaydeder; rapora ek için -oA pratiktir. Her hedef için ayrı klasör ve standart bir not şablonu tutmak, rapor yazımını saatlerce kısaltır. Not şablonu: hedef IP, açık portlar, servis sürümleri, denenen yollar, işe yarayan adım, local.txt ve proof.txt ekran görüntüleri.


İleri Seviye: 12 Haftalık Çalışma Planı


Pratik için PEN-200 ders labı, Proving Grounds ve benzeri yasal lab platformları uygundur. Haftada en az bir kez tam makine çözüp raporunu yazmak, yalnızca makine çözmekten çok daha değerlidir; çünkü sınavda puan getiren şey dokümantasyondur.

Sonuç

OSCP+ hazırlığının özü: resmi kılavuzu satır satır bilmek, AD setine ağırlık vermek, Metasploit kısıtını ve kanıt kurallarını içselleştirmek ve her makineyi rapor yazarak bitirmek. 1 Aralık 2026 ölçekli puanlama değişikliğini sınav tarihinizi planlarken hesaba katın. Siz hazırlıkta hangi lab platformunu kullanıyorsunuz? Deneyimlerinizi yorumlarda paylaşın.

Kaynakça

• OffSec, OSCP+ Exam Guide: https://help.offsec.com/hc/en-us/article...Exam-Guide
  
• OffSec, OSCP+ Scoring Update: https://www.offsec.com/blog/oscp-scoring-update/
  
• OffSec, Everything you need to know about the OSCP+: https://www.offsec.com/blog/everything-y...oscp-plus/
  
• OffSec Certification Exam FAQ: https://help.offsec.com/hc/en-us/article...n-Exam-FAQ
  
• Nmap Reference Guide, Output: https://nmap.org/book/man-output.html
  
• PEN-200 (OSCP) kurs sayfası: https://www.offsec.com/courses/pen-200/
  

Yasal Uyarı

Bu rehberdeki tüm komutlar yalnızca kendi bilgisayarınızda, OffSec'in sağladığı sınav/lab ortamında veya yazılı izin aldığınız sistemlerde çalıştırılmalıdır. İzinsiz tarama, sömürü veya erişim 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında suçtur. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).