PENTEST-LAB

Un'applicazione vulnerabile moderna e cyber range per imparare la sicurezza web, API, cloud, AI e blue-team attraverso catene di attacco pratiche.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 53 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ Metti una stella a questo repo se ti è utile - è gratuito e aiuta altri a scoprire un'educazione sulla sicurezza gratuita.

Cosa lo rende diverso

PENTEST-LAB non è un'altra macchina con una singola vulnerabilità. È un cyber range completo che unisce le prospettive dell'attaccante e del difensore con output di evidenze in stile GRC:

• 53 sfide su 8 percorsi - Web, API, Auth/Session, Cloud/DevOps, Sicurezza AI, Logica di Business, Catena di Attacco, Evidenze Blue Team.
• Registro centrale delle sfide - un'unica fonte di verità che alimenta l'interfaccia, il validatore di flag e il generatore di evidenze.
• Impara prima di risolvere - ogni sfida collega a riferimenti autorevoli (OWASP, PortSwigger, MITRE, NIST) così puoi studiare il concetto, poi sfruttarlo. I flag si ottengono sfruttando la vulnerabilità, non vengono rivelati nell'interfaccia.
• Simulatore AI trasparente - il percorso AI gira su un "modello" ispezionabile in-process (nessun LLM esterno): vedi l'intero contesto [SYSTEM][USER][RETRIEVED][HISTORY], l'output generato, la tecnica di injection rilevata e gli interruttori per ogni mitigazione.
• Archivio eventi centrale - ogni richiesta e flag viene registrato; la vista del difensore è costruita sugli stessi eventi che genera l'attaccante.
• Catena di attacco guidata - Recon → Information Disclosure → Token Abuse → Privilege Escalation → Data Access → Evidence Report, con avanzamento in tempo reale.
• Modalità Blue Team - login falliti, accessi API sospetti, SSRF, privesc, upload di file, catture di flag e avanzamento della catena in un'unica dashboard.
• Modalità evidenze GRC - report Markdown / JSON / CSV che mappano ogni scoperta a gravità, endpoint, evidenza, impatto aziendale, rimedio, dominio di controllo e un'opportunità di rilevamento. (Mappatura ampia dei domini di controllo - non una certificazione di conformità.)
• Guadagnato, non rivelato - il campo del flag è bloccato finché non lo catturi. La finestra modale mostra lo stato, non il flag letterale, quindi devi davvero sfruttare l'endpoint (tramite l'API Tester nell'interfaccia o il tuo client).
• Prossimo consigliato + avanzamento ponderato - ogni sfida risolta suggerisce una successiva sensata, e il tuo punteggio di avanzamento pesa le sfide più difficili più di quelle facili (4 > 3 > 2 > 1) invece di un semplice conteggio.
• Avanzamento portabile - esporta i tuoi flag catturati e l'avanzamento come artefatto portfolio Markdown che puoi conservare anche dopo che il lab non esiste più.
• Sicuro per impostazione predefinita - si lega a 127.0.0.1, avvisa chiaramente su 0.0.0.0, tutti i segreti sono finti e chiaramente marcati, i target SSRF sono mock locali in-process (nessun traffico in uscita reale), nessun target esterno.
• Facile da eseguire - uno script Python, un Makefile e docker-compose.
• Auto-verifica - make verify-registry valida il registro delle sfide (id/flag univoci, campi obbligatori, risorse, conteggio suggerimenti) così il catalogo rimane coerente.

Avvio rapido

# 1. Comando singolo (installa le dipendenze, inizializza il DB, avvia il server)
python start_lab.py
# oppure:  make start

Apri http://localhost:3000 nel tuo browser.

# Solo backend
cd backend && npm install && npm start

# Docker (pubblicato solo su 127.0.0.1)
docker compose up --build

# Reimposta flag catturati / eventi / avanzamento catena
make reset

# Aggiorna i dati demo di seed
make seed

# Smoke test delle rotte principali (avvia prima il lab)
make test

# Valida il registro delle sfide (id/flag univoci, campi, risorse)
make verify-registry

# Demo exploit sicura solo locale (5 sfide)
python demo_exploit.py

Percorsi di sfide

Ogni sfida ha: id, titolo, percorso, categoria, difficoltà, obiettivo, endpoint vulnerabile, concetto di sfruttamento, 3 suggerimenti progressivi (vago → specifico → risposta), flag, rimedio, note di rilevamento/evidenza, un dominio di controllo mappato e un elenco di risorse impara-prima-di-risolvere.

La finestra modale della sfida

Clicca su qualsiasi card di sfida per aprire la finestra modale. Ti offre:

• Obiettivo, endpoint e concetto di sfruttamento così sai a cosa mirare.
• Impara prima di risolvere - link autorevoli (OWASP, PortSwigger, MITRE, NIST) da studiare prima.
• 3 suggerimenti progressivi - rivelali uno alla volta se ti blocchi; quanti ne hai usati viene tracciato per sfida.
• Apri in API Tester - salta direttamente a una richiesta pre-caricata contro l'endpoint vulnerabile, oppure inviala dal tuo client.
• Prossimo consigliato - una volta risolta, viene suggerita una sfida successiva sensata per mantenere attivo il tuo percorso di apprendimento.
• Navigazione Precedente / Successiva - spostati tra le sfide senza chiudere la finestra modale.
• Flag bloccato - il flag letterale è nascosto finché non lo catturi sfruttando l'endpoint. La finestra modale mostra lo stato catturato / non catturato.

Modalità catena di attacco

Una catena realistica, completamente locale, in sei passaggi rilevati:

Recon → Information Disclosure → Credential/Token Abuse →
Privilege Escalation → Sensitive Data Access → Evidence Report

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. endpoint di debug rivela le rotte
curl -s $B/api/attack-chain/leak     # 2. segreto JWT finto trapelato (weak123)
# 3. forgia token admin -> 4. scala privilegi -> 5. leggi record clienti finti -> 6. report
curl -s $B/api/attack-chain/progress

Traccia l'avanzamento in tempo reale nella scheda Attack Chain.

Modalità blue team

La scheda Defender mostra la stessa attività appena eseguita dall'attaccante: eventi recenti, login falliti, accessi API sospetti, upload di file, tentativi SSRF, tentativi di escalation dei privilegi, flag catturati e avanzamento della catena di attacco - ogni evento colorato per gravità, le catture di flag contrassegnate con 🚩.