PENTEST-LAB

Eine moderne verwundbare Anwendung & Cyber Range zum Lernen von Web-, API-, Cloud-, KI- und Blue-Team-Sicherheit durch praxisnahe Angriffsketten.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 53 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ Star dieses Repo, wenn es dir hilft – es ist kostenlos und hilft anderen, kostenlose Sicherheitsbildung zu entdecken.

Was dieses Projekt besonders macht

PENTEST-LAB ist keine weitere Box mit einer einzelnen Schwachstelle. Es ist eine vollständige Cyber Range, die die Perspektiven von Angreifer und Verteidiger mit GRC-orientierter Beweisausgabe kombiniert:

• 53 Herausforderungen in 8 Tracks – Web, API, Auth/Session, Cloud/DevOps, KI-Sicherheit, Geschäftslogik, Angriffskette, Blue-Team-Beweise.
• Zentrales Herausforderungsregister – eine einzige Quelle der Wahrheit, die UI, Flag-Validator und Beweisgenerator speist.
• Lernen vor dem Lösen – jede Herausforderung verlinkt auf maßgebliche Referenzen (OWASP, PortSwigger, MITRE, NIST), sodass du das Konzept erst studieren und dann ausnutzen kannst. Flags werden durch Ausnutzen verdient, nicht in der UI angezeigt.
• Transparenter KI-Simulator – der KI-Track läuft auf einem überprüfbaren prozessinternen „Modell“ (kein externes LLM): Du siehst den vollständigen [SYSTEM][USER][RETRIEVED][HISTORY]-Kontext, die generierte Ausgabe, die erkannte Injection-Technik und Schalter für jede Gegenmaßnahme.
• Zentraler Ereignisspeicher – jede Anfrage und jedes Flag wird protokolliert; die Verteidigeransicht basiert auf denselben Ereignissen, die der Angreifer erzeugt.
• Geführte Angriffskette – Recon → Informationsoffenlegung → Token-Missbrauch → Privilegieneskalation → Datenzugriff → Beweisbericht, mit Live-Fortschritt.
• Blue-Team-Modus – fehlgeschlagene Logins, verdächtiger API-Zugriff, SSRF, Privesc, Datei-Uploads, Flag-Erfassungen und Kettenfortschritt in einem Dashboard.
• GRC-Beweismodus – Markdown-/JSON-/CSV-Berichte, die jeden Befund Schweregrad, Endpunkt, Beweis, geschäftlichen Auswirkungen, Behebung, Kontrollbereich und einer Erkennungsmöglichkeit zuordnen. (Breite Kontrollbereichszuordnung – keine Compliance-Zertifizierung.)
• Verdient, nicht offengelegt – das Flag-Feld ist gesperrt, bis du es erfasst hast. Das Modal zeigt den Status, nicht das wörtliche Flag, sodass du den Endpunkt tatsächlich ausnutzen musst (über den In-UI-API-Tester oder deinen eigenen Client).
• Empfohlene nächste + gewichteter Fortschritt – jede gelöste Herausforderung schlägt eine sinnvolle nächste vor, und dein Fortschrittswert gewichtet schwerere Herausforderungen stärker als einfache (4 > 3 > 2 > 1) statt einer flachen Zählung.
• Tragbarer Fortschritt – exportiere deine erfassten Flags und deinen Fortschritt als Markdown-Portfolio-Artefakt, das du behalten kannst, nachdem das Labor weg ist.
• Standardmäßig sicher – bindet an 127.0.0.1, warnt laut bei 0.0.0.0, alle Geheimnisse sind gefälscht und klar gekennzeichnet, SSRF-Ziele sind ein lokaler prozessinterner Mock (kein echter ausgehender Verkehr), keine externen Ziele.
• Einfach auszuführen – ein Python-Skript, ein Makefile und docker-compose.
• Selbstprüfend – make verify-registry validiert das Herausforderungsregister (eindeutige IDs/Flags, Pflichtfelder, Ressourcen, Hinweiszahlen), sodass der Katalog konsistent bleibt.

Schnellstart

# 1. Einzeiler (installiert Abhängigkeiten, befüllt die DB, startet den Server)
python start_lab.py
# oder:  make start

Öffne http://localhost:3000 in deinem Browser.

# Nur Backend
cd backend && npm install && npm start

# Docker (nur auf 127.0.0.1 veröffentlicht)
docker compose up --build

# Erfasste Flags / Ereignisse / Kettenfortschritt zurücksetzen
make reset

# Demo-Seeddaten aktualisieren
make seed

# Smoke-Test der Kernrouten (Labor zuerst starten)
make test

# Herausforderungsregister validieren (eindeutige IDs/Flags, Felder, Ressourcen)
make verify-registry

# Sichere lokale Exploit-Demo (5 Herausforderungen)
python demo_exploit.py

Herausforderungs-Tracks

Jede Herausforderung hat: ID, Titel, Track, Kategorie, Schwierigkeit, Ziel, verwundbaren Endpunkt, Ausnutzungskonzept, 3 progressive Hinweise (vage → spezifisch → Antwort), Flag, Behebung, Erkennungs-/Beweisnotizen, einen zugeordneten Kontrollbereich und eine Lernen-vor-dem-Lösen-Ressourcenliste.

Das Herausforderungs-Modal

Klicke auf eine beliebige Herausforderungskarte, um das Modal zu öffnen. Es bietet dir:

• Ziel, Endpunkt und das Ausnutzungskonzept, damit du weißt, worauf du abzielen sollst.
• Lernen vor dem Lösen – maßgebliche Links (OWASP, PortSwigger, MITRE, NIST), die du zuerst studieren solltest.
• 3 progressive Hinweise – zeige sie einzeln an, wenn du feststeckst; wie viele du verwendet hast, wird pro Herausforderung erfasst.
• Im API-Tester öffnen – springe direkt zu einer vorausgefüllten Anfrage gegen den verwundbaren Endpunkt oder sende sie von deinem eigenen Client.
• Empfohlene nächste – nach dem Lösen wird eine sinnvolle nächste Herausforderung vorgeschlagen, um deinen Lernpfad fortzusetzen.
• Vorherige / Nächste Navigation – bewege dich durch Herausforderungen, ohne das Modal zu schließen.
• Gesperrtes Flag – das wörtliche Flag ist verborgen, bis du es durch Ausnutzen des Endpunkts erfasst hast. Das Modal zeigt den Status erfasst / nicht erfasst.

Angriffsketten-Modus

Eine realistische, vollständig lokale Kette in sechs erkannten Schritten:

Recon → Informationsoffenlegung → Anmeldedaten-/Token-Missbrauch →
Privilegieneskalation → Zugriff auf sensible Daten → Beweisbericht

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. Debug-Endpunkt legt Routen offen
curl -s $B/api/attack-chain/leak     # 2. geleaktes Fake-JWT-Geheimnis (weak123)
# 3. Admin-Token fälschen -> 4. eskalieren -> 5. Fake-Kundendatensätze lesen -> 6. Bericht
curl -s $B/api/attack-chain/progress

Verfolge den Fortschritt live im Tab Angriffskette.

Blue-Team-Modus