PENTEST-LAB

Una aplicación vulnerable moderna y campo de entrenamiento cibernético para aprender seguridad web, API, nube, IA y equipo azul mediante cadenas de ataque prácticas.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        CAMPO DE ENTRENAMIENTO CIBERNÉTICO MODERNO · 53 DESAFÍOS · 8 PISTAS ║
╚═══════════════════════════════════════════════════════════════╝

★ Dale una estrella a este repositorio si te resulta útil: es gratis y ayuda a otros a descubrir educación gratuita en seguridad.

Qué lo hace diferente

PENTEST-LAB no es otra caja de una sola vulnerabilidad. Es un campo de entrenamiento cibernético completo que combina las perspectivas del atacante y del defensor con salida de evidencia estilo GRC:

• 53 desafíos en 8 pistas - Web, API, Auth/Sesión, Nube/DevOps, Seguridad de IA, Lógica de Negocio, Cadena de Ataque, Evidencia de Equipo Azul.
• Registro central de desafíos - una única fuente de verdad que alimenta la interfaz, el validador de banderas y el generador de evidencia.
• Aprende antes de resolver - cada desafío enlaza a referencias autorizadas (OWASP, PortSwigger, MITRE, NIST) para que puedas estudiar el concepto y luego explotarlo. Las banderas se ganan explotando, no se revelan en la interfaz.
• Simulador de IA transparente - la pista de IA se ejecuta sobre un "modelo" inspeccionable en proceso (sin LLM externo): ves el contexto completo [SYSTEM][USER][RETRIEVED][HISTORY], la salida generada, la técnica de inyección detectada y los interruptores para cada mitigación.
• Almacén central de eventos - cada solicitud y bandera se registra; la vista del defensor se construye sobre los mismos eventos que genera el atacante.
• Cadena de ataque guiada - Reconocimiento → Divulgación de Información → Abuso de Tokens → Escalada de Privilegios → Acceso a Datos → Informe de Evidencia, con progreso en vivo.
• Modo Equipo Azul - inicios de sesión fallidos, acceso sospechoso a API, SSRF, escalada de privilegios, subidas de archivos, capturas de banderas y progreso de la cadena en un solo panel.
• Modo de evidencia GRC - informes Markdown / JSON / CSV que mapean cada hallazgo a severidad, endpoint, evidencia, impacto empresarial, remediación, dominio de control y una oportunidad de detección. (Mapeo amplio de dominios de control - no una certificación de cumplimiento.)
• Ganadas, no reveladas - el campo de bandera está bloqueado hasta que la captures. El modal muestra el estado, no la bandera literal, así que realmente tienes que explotar el endpoint (mediante el Probador de API integrado o tu propio cliente).
• Siguiente recomendado + progreso ponderado - cada desafío resuelto sugiere un siguiente sensato, y tu puntuación de progreso pondera los desafíos más difíciles más que los fáciles (4 > 3 > 2 > 1) en lugar de un recuento plano.
• Progreso portátil - exporta tus banderas capturadas y tu progreso como un artefacto de portafolio Markdown que puedes conservar después de que el laboratorio desaparezca.
• Seguro por defecto - se vincula a 127.0.0.1, advierte en voz alta en 0.0.0.0, todos los secretos son falsos y claramente marcados, los objetivos SSRF son un mock local en proceso (sin salida real), sin objetivos externos.
• Fácil de ejecutar - un script de Python, un Makefile y docker-compose.
• Autoverificación - make verify-registry valida el registro de desafíos (ids/banderas únicos, campos obligatorios, recursos, recuentos de pistas) para que el catálogo se mantenga consistente.

Inicio rápido

# 1. Una línea (instala dependencias, siembra la BD, inicia el servidor)
python start_lab.py
# o:  make start

Abre http://localhost:3000 en tu navegador.

# Solo backend
cd backend && npm install && npm start

# Docker (publicado solo en 127.0.0.1)
docker compose up --build

# Restablecer banderas capturadas / eventos / progreso de la cadena
make reset

# Refrescar datos de demostración sembrados
make seed

# Prueba de humo de rutas principales (inicia el laboratorio primero)
make test

# Validar el registro de desafíos (ids/banderas únicos, campos, recursos)
make verify-registry

# Demo de explotación segura solo local (5 desafíos)
python demo_exploit.py

Pistas de desafíos

Cada desafío tiene: id, título, pista, categoría, dificultad, objetivo, endpoint vulnerable, concepto de explotación, 3 pistas progresivas (vaga → específica → respuesta), bandera, remediación, notas de detección/evidencia, un dominio de control mapeado y una lista de recursos de aprender antes de resolver.

El modal de desafío

Haz clic en cualquier tarjeta de desafío para abrir el modal. Te ofrece:

• Objetivo, endpoint y el concepto de explotación para que sepas a qué apuntar.
• Aprende antes de resolver - enlaces autorizados (OWASP, PortSwigger, MITRE, NIST) para estudiar primero.
• 3 pistas progresivas - revélalas una a la vez si te quedas atascado; cuántas usaste se registra por desafío.
• Abrir en el Probador de API - salta directamente a una solicitud precargada contra el endpoint vulnerable, o envíala desde tu propio cliente.
• Siguiente recomendado - una vez resuelto, se sugiere un siguiente desafío sensato para mantener tu ruta de aprendizaje.
• Navegación Anterior / Siguiente - muévete por los desafíos sin cerrar el modal.
• Bandera bloqueada - la bandera literal está oculta hasta que la captures explotando el endpoint. El modal muestra el estado capturada / no capturada.

Modo cadena de ataque

Una cadena realista, completamente local, en seis pasos detectados:

Reconocimiento → Divulgación de Información → Abuso de Credenciales/Tokens →
Escalada de Privilegios → Acceso a Datos Sensibles → Informe de Evidencia

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. el endpoint de debug divulga rutas
curl -s $B/api/attack-chain/leak     # 2. secreto JWT falso filtrado (weak123)
# 3. forjar token de admin -> 4. escalar -> 5. leer registros falsos de clientes -> 6. informe
curl -s $B/api/attack-chain/progress

Sigue el progreso en vivo en la pestaña Cadena de Ataque.

Modo equipo azul