PENTEST-LAB

Un'applicazione vulnerabile moderna e un cyber range per imparare la sicurezza web, API, cloud, AI e blue-team attraverso catene di attacco pratiche.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        CYBER RANGE MODERNO · 50 SFIDE · 8 PERCORSI               ║
╚═══════════════════════════════════════════════════════════════╝

★ Aggiungi una stella a questo repo se ti è utile – è gratuito e aiuta altri a scoprire formazione gratuita sulla sicurezza.

Cosa lo rende diverso

PENTEST-LAB non è un'altra scatola con una singola vulnerabilità. È un cyber range completo che affianca la prospettiva dell'attaccante e del difensore con output di tipo GRC:

• 50 sfide su 8 percorsi – Web, API, Autenticazione/Sessione, Cloud/DevOps, Sicurezza AI, Logica di Business, Catena di Attacco, Evidenze Blue Team.
• Registro centrale delle sfide – unica fonte di verità che alimenta UI, validatore di flag e generatore di evidenze.
• Impara prima di risolvere – ogni sfida rimanda a riferimenti autorevoli (OWASP, PortSwigger, MITRE, NIST) per studiare il concetto e poi sfruttarlo. I flag si guadagnano sfruttando la vulnerabilità, non vengono mostrati nella UI.
• Simulatore AI trasparente – il percorso AI si basa su un "modello" ispezionabile in-process (nessun LLM esterno): vedi l'intero contesto [SYSTEM][USER][RETRIEVED][HISTORY], l'output generato, la tecnica di injection rilevata e gli attivatori per ogni mitigazione.
• Archivio eventi centrale – ogni richiesta e flag viene registrato; la vista difensore si basa sugli stessi eventi generati dall'attaccante.
• Catena di attacco guidata – Ricognizione → Divulgazione di informazioni → Abuso di token → Escalation dei privilegi → Accesso ai dati → Report di evidenze, con progresso in tempo reale.
• Modalità Blue Team – login falliti, accessi API sospetti, SSRF, privesc, caricamenti di file, catture di flag e avanzamento della catena in un'unica dashboard.
• Modalità evidenze GRC – report in Markdown / JSON / CSV che mappano ogni risultato a severità, endpoint, evidenza, impatto aziendale, rimedio, dominio di controllo e opportunità di rilevamento. (Mappatura ampia di dominio di controllo – non certificazione di conformità.)
• Guadagnato, non svelato – il campo flag è bloccato finché non lo catturi. La modale mostra lo stato, non il flag letterale, quindi devi effettivamente sfruttare l'endpoint (tramite il tester API integrato o un tuo client).
• Prossimo consigliato + progresso pesato – ogni sfida risolta suggerisce una successiva sensata, e il punteggio di progresso pesa le sfide più difficili più di quelle facili (4 > 3 > 2 > 1) invece di un conteggio piatto.
• Progresso portabile – esporta i flag catturati e il progresso come artefatto portfolio Markdown che puoi conservare anche dopo la scomparsa del laboratorio.
• Sicuro per impostazione predefinita – si lega a 127.0.0.1, avvisa rumorosamente su 0.0.0.0, tutti i segreti sono fittizi e chiaramente marcati, i target SSRF sono mock locali in-process (nessun traffico reale in uscita), nessun target esterno.
• Facile da eseguire – uno script Python, un Makefile e docker-compose.
• Autocontrollo – make verify-registry convalida il registro delle sfide (id/flag univoci, campi obbligatori, risorse, conteggio suggerimenti) per mantenere il catalogo coerente.

Avvio rapido

# 1. Comando unico (installa dipendenze, semina il DB, avvia il server)
python start_lab.py
# oppure:  make start

Apri http://localhost:3000 nel tuo browser.

# Solo backend
cd backend && npm install && npm start

# Docker (pubblicato solo su 127.0.0.1)
docker compose up --build

# Resetta flag catturati / eventi / progresso catena
make reset

# Aggiorna dati di seed demo
make seed

# Test fumogeno delle route principali (avvia prima il laboratorio)
make test

# Convalida il registro delle sfide (id/flag univoci, campi, risorse)
make verify-registry

# Demo di exploit sicuro solo locale (5 sfide)
python demo_exploit.py

Percorsi di sfida

Ogni sfida ha: id, titolo, percorso, categoria, difficoltà, obiettivo, endpoint vulnerabile, concetto di sfruttamento, 3 suggerimenti progressivi (vago → specifico → risposta), flag, rimedio, note di rilevamento/evidenza, un dominio di controllo mappato e un elenco di risorse da studiare prima di risolvere.

La modale della sfida

Clicca su qualsiasi carta sfida per aprire la modale. Ti fornisce:

• Obiettivo, endpoint e concetto di sfruttamento così sai cosa colpire.
• Studia prima di risolvere – link autorevoli (OWASP, PortSwigger, MITRE, NIST) da consultare prima.
• 3 suggerimenti progressivi – rivelali uno alla volta se ti blocchi; quanti ne hai usati viene tracciato per sfida.
• Apri nel tester API – salta direttamente a una richiesta pre-caricata contro l'endpoint vulnerabile, o inviala dal tuo client.
• Prossimo consigliato – una volta risolta, viene suggerita una sfida successiva sensata per continuare il percorso di apprendimento.
• Navigazione Prec./Succ. – spostati tra le sfide senza chiudere la modale.
• Flag bloccato – il flag letterale è nascosto finché non lo catturi sfruttando l'endpoint. La modale mostra lo stato catturato/non catturato.

Modalità catena di attacco

Una catena realistica, completamente locale, in sei passaggi rilevati:

Ricognizione → Divulgazione informazioni → Abuso credenziali/token →
Escalation privilegi → Accesso dati sensibili → Report evidenze

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. endpoint di debug divulga route
curl -s $B/api/attack-chain/leak     # 2. segreto JWT fittizio trapelato (weak123)
# 3. forja token admin -> 4. escalation -> 5. legge record clienti fittizi -> 6. report
curl -s $B/api/attack-chain/progress

Segui il progresso in tempo reale nella scheda Catena di Attacco.

Modalità Blue Team

La scheda Difensore mostra la stessa attività che l'attaccante ha appena eseguito: eventi recenti, login falliti, accessi API sospetti, caricamenti file, tentativi SSRF, tentativi di escalation privilegi, flag catturati e progresso della catena di attacco – ogni evento colorato per severità, le catture di flag segnalate con 🚩.

curl -s http://localhost:3000/api/blue-team/dashboard

Modalità report evidenze

Genera un report dai flag catturati mappando ciascuno a un risultato con severità, endpoint interessato, evidenza, impatto aziendale, rimedio, dominio di controllo e opportunità di rilevamento.

# Markdown (predefinito)
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON o CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# Domini di controllo mappati: Controllo Accessi, Logging & Monitoraggio,
# Sviluppo Sicuro, Gestione Segreti, Gestione Cambiamenti,
# Gestione Configurazioni, Protezione Dati, Risposta agli Incidenti.

⚠️ Si tratta di una mappatura ampia di dominio di controllo per l'apprendimento del rilevamento/GRC. Non attesta conformità a nessuno standard.

Screenshot / demo

🎬 GIF demo: docs/demo.gif – vedi docs/DEMO_WALKTHROUGH.md per un copione presentatore di circa 6 minuti. (Inserisci le tue acquisizioni in docs/screenshots/ e docs/demo.gif per sostituire i placeholder.)

Avviso di sicurezza

Questo laboratorio è intenzionalmente vulnerabile. Eseguilo solo in ambienti isolati e non esporlo mai su internet.

• Si lega a 127.0.0.1 per impostazione predefinita (HOST=127.0.0.1 in backend/.env).
• Impostare HOST=0.0.0.0 stampa un avviso forte; la UI mostra un banner di pericolo.
• Tutti i segreti/token sono fittizi e chiaramente marcati. Nessuna credenziale reale.
• Gli endpoint SSRF/metadata sono mock locali in-process – nessun traffico di rete reale in uscita.
• Nessun comando distruttivo, nessuna persistenza, nessun targeting di sistemi esterni.

Struttura del progetto

├── start_lab.py              # lanciatore unico (dipendenze + seed + esecuzione)
├── demo_exploit.py           # demo sfruttamento sicuro solo locale (5 sfide)
├── docker-compose.yml        # pubblicazione solo su localhost
├── Makefile                  # installa / avvia / resetta / test / demo / docker
├── CHALLENGES.md             # catalogo completo delle sfide
├── frontend/                 # UI dashboard (percorsi, catena, difensore, evidenze)
├── backend/
│   ├── server.js             # app Express, binding localhost, collegamento route
│   ├── challenges/registry.js # REGISTRO CENTRALE delle sfide (50 sfide)
│   ├── ai/                   # SIMULATORE AI TRASPARENTE + archivio RAG (nessun LLM esterno)
│   ├── utils/events.js       # ARCHIVIO EVENTI CENTRALE + feed Blue Team
│   ├── routes/               # route vulnerabili + modalità (api, cloud, ai, shop, ...)
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # auth (sicura), auth.vulnerabile, waf, sicurezza
├── solutions/                # writeup di exploit Python
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

Contribuire

Hai trovato un bug o vuoi aggiungere una sfida? PR benvenuti.

1. Mantienilo solo locale e educativo – niente segreti reali, niente target esterni.
2. Aggiungi nuove sfide a backend/challenges/registry.js (unica fonte di verità).
3. Emetti flag tramite events.captureFlag({ flag, req }) da una route vulnerabile.
4. Mappa la sfida a un dominio di controllo e aggiungi note di rilevamento.
5. Aggiungi un elenco di risorse da studiare prima di risolvere (OWASP / PortSwigger / MITRE / NIST).
6. Esegui make test e make verify-registry prima di inviare.

Roadmap

• Pagine di writeup per flag generate dal registro
• Punteggio di difficoltà + modalità sfida a tempo
• Correzione authz a livello di campo risolutore GraphQL come interruttore "sicuro"
• Altre sfide AI (scala di jailbreak, avvelenamento RAG)
• Libreria regole di rilevamento Blue Team (simile a Sigma)
• Mock OIDC/SAML opzionale per il percorso auth
• Modalità classifica CTF multiutente (sempre locale)

Licenza

Solo per uso educativo. Vedi LICENSE se presente. Usa solo contro sistemi di tua proprietà o per i quali sei esplicitamente autorizzato a testare – qui, significa questo laboratorio locale.

Aiuta questo progetto a crescere

Se questo laboratorio ti ha aiutato a imparare qualcosa di nuovo:

1. Aggiungi una stella a questo repository – richiede un secondo e aiuta altri a trovarlo.
2. Condividi – twitta, pubblica su LinkedIn, dillo ai tuoi colleghi.
3. Segnala problemi – aiuta a migliorare il laboratorio per tutti.