PENTEST-LAB

Une application vulnérable moderne et un cyber range pour apprendre la sécurité web, API, cloud, IA et blue team grâce à des chaînes d'attaque pratiques.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 53 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ Mettez une étoile à ce dépôt s'il vous aide - c'est gratuit et cela aide d'autres personnes à découvrir une formation gratuite en sécurité.

Ce qui le rend différent

PENTEST-LAB n'est pas une autre machine à vulnérabilité unique. C'est un cyber range complet qui associe les perspectives attaquant et défenseur avec une sortie de preuves de type GRC :

• 53 défis répartis sur 8 parcours - Web, API, Auth/Session, Cloud/DevOps, Sécurité IA, Logique métier, Chaîne d'attaque, Preuves Blue Team.
• Registre central des défis - une source de vérité unique alimentant l'interface, le validateur de drapeaux et le générateur de preuves.
• Apprenez avant de résoudre - chaque défi renvoie vers des références faisant autorité (OWASP, PortSwigger, MITRE, NIST) pour étudier le concept, puis l'exploiter. Les drapeaux se gagnent en exploitant, ils ne sont pas révélés dans l'interface.
• Simulateur IA transparent - le parcours IA fonctionne sur un « modèle » inspectable en mémoire (sans LLM externe) : vous voyez tout le contexte [SYSTEM][USER][RETRIEVED][HISTORY], la sortie générée, la technique d'injection détectée et les interrupteurs pour chaque mesure d'atténuation.
• Magasin d'événements central - chaque requête et chaque drapeau est journalisé ; la vue défenseur est construite sur les mêmes événements que ceux générés par l'attaquant.
• Chaîne d'attaque guidée - Reconnaissance → Divulgation d'informations → Abus de jeton → Élévation de privilèges → Accès aux données → Rapport de preuves, avec progression en direct.
• Mode Blue Team - échecs de connexion, accès API suspects, SSRF, élévation de privilèges, téléversements de fichiers, captures de drapeaux et progression de la chaîne dans un seul tableau de bord.
• Mode preuves GRC - rapports Markdown / JSON / CSV mappant chaque constat à une sévérité, un point de terminaison, une preuve, un impact métier, une remédiation, un domaine de contrôle et une opportunité de détection. (Mappage large de domaines de contrôle - pas une certification de conformité.)
• Gagné, pas révélé - le champ drapeau est verrouillé jusqu'à ce que vous le capturiez. La fenêtre modale affiche le statut, pas le drapeau littéral, donc vous devez réellement exploiter le point de terminaison (via le testeur d'API intégré à l'interface ou votre propre client).
• Prochain recommandé + progression pondérée - chaque défi résolu suggère un prochain défi pertinent, et votre score de progression pondère les défis plus difficiles plus que les faciles (4 > 3 > 2 > 1) au lieu d'un simple comptage.
• Progression portable - exportez vos drapeaux capturés et votre progression sous forme d'artefact de portfolio Markdown que vous pouvez conserver après la disparition du laboratoire.
• Sûr par défaut - se lie à 127.0.0.1, avertit bruyamment sur 0.0.0.0, tous les secrets sont factices et clairement marqués, les cibles SSRF sont des simulations locales en mémoire (pas de sortie réseau réelle), aucune cible externe.
• Facile à exécuter - un script Python, un Makefile et docker-compose.
• Auto-vérification - make verify-registry valide le registre des défis (identifiants/drapeaux uniques, champs requis, ressources, nombre d'indices) pour que le catalogue reste cohérent.

Démarrage rapide

# 1. Une seule commande (installe les dépendances, initialise la base de données, démarre le serveur)
python start_lab.py
# ou :  make start

Ouvrez http://localhost:3000 dans votre navigateur.

# Backend uniquement
cd backend && npm install && npm start

# Docker (publié sur 127.0.0.1 uniquement)
docker compose up --build

# Réinitialiser les drapeaux capturés / événements / progression de la chaîne
make reset

# Rafraîchir les données de démonstration
make seed

# Test de fumée des routes principales (démarrez d'abord le laboratoire)
make test

# Valider le registre des défis (identifiants/drapeaux uniques, champs, ressources)
make verify-registry

# Démonstration d'exploitation sûre en local uniquement (5 défis)
python demo_exploit.py

Parcours de défis

Chaque défi comprend : identifiant, titre, parcours, catégorie, difficulté, objectif, point de terminaison vulnérable, concept d'exploitation, 3 indices progressifs (vague → spécifique → réponse), drapeau, remédiation, notes de détection/preuves, un domaine de contrôle mappé et une liste de ressources à apprendre avant de résoudre.

La fenêtre modale des défis

Cliquez sur n'importe quelle carte de défi pour ouvrir la fenêtre modale. Elle vous donne :

• Objectif, point de terminaison et concept d'exploitation pour savoir où viser.
• Apprendre avant de résoudre - liens faisant autorité (OWASP, PortSwigger, MITRE, NIST) à étudier d'abord.
• 3 indices progressifs - révélez-les un à un si vous êtes bloqué ; le nombre utilisé est suivi par défi.
• Ouvrir dans le testeur d'API - accédez directement à une requête préchargée contre le point de terminaison vulnérable, ou envoyez-la depuis votre propre client.
• Prochain recommandé - une fois résolu, un prochain défi pertinent est suggéré pour poursuivre votre parcours d'apprentissage.
• Navigation Précédent / Suivant - parcourez les défis sans fermer la fenêtre modale.
• Drapeau verrouillé - le drapeau littéral est masqué jusqu'à ce que vous le capturiez en exploitant le point de terminaison. La fenêtre modale affiche le statut capturé / non capturé.

Mode chaîne d'attaque

Une chaîne réaliste, entièrement locale, en six étapes détectées :

Reconnaissance → Divulgation d'informations → Abus d'identifiants/jetons →
Élévation de privilèges → Accès aux données sensibles → Rapport de preuves