PENTEST-LAB

現代的な脆弱性アプリケーション＆サイバーレンジで、実践的な攻撃チェーンを通じて Web、API、クラウド、AI、ブルーチームセキュリティ を学べます。

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 50 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ このリポジトリが役に立ったらスターを付けてください。無料で、他の人が無料のセキュリティ教育を見つけるのに役立ちます。

他と違うところ

PENTEST-LAB は単なるシングル脆弱性ボックスではありません。本格的なサイバーレンジであり、攻撃者と防御者の両方の視点とGRC風の証拠出力を組み合わせています。

• 8トラック全50チャレンジ - Web、API、認証/セッション、クラウド/DevOps、AIセキュリティ、ビジネスロジック、攻撃チェーン、ブルーチーム証拠。
• 中央チャレンジレジストリ - UI、フラグバリデーター、証拠ジェネレーターにデータを供給する単一の情報源。
• 解く前に学ぶ - すべてのチャレンジは権威ある参考文献（OWASP、PortSwigger、MITRE、NIST）にリンクされており、概念を学んでからそれを悪用します。フラグは悪用することで獲得され、UIに表示されることはありません。
• 透明なAIシミュレーター - AIトラックは検査可能なインプロセス「モデル」（外部LLMは不使用）で動作します。[SYSTEM][USER][RETRIEVED][HISTORY] コンテキスト全体、生成された出力、検出されたインジェクション手法、各緩和策のトグルが表示されます。
• 中央イベントストア - すべてのリクエストとフラグが記録されます。防御者ビューは攻撃者が生成した同じイベントに基づいて構築されています。
• ガイド付き攻撃チェーン - 偵察→情報漏洩→トークン悪用→権限昇格→データアクセス→証拠レポート。進捗状況をライブ表示。
• ブルーチームモード - ログイン失敗、不審なAPIアクセス、SSRF、権限昇格、ファイルアップロード、フラグキャプチャ、チェーンの進捗状況を1つのダッシュボードに表示。
• GRC証拠モード - Markdown / JSON / CSV形式のレポートで、各発見事項を重要度、エンドポイント、証拠、ビジネス影響、是正措置、管理ドメイン、検出機会にマッピングします。（広義の管理ドメインマッピングであり、コンプライアンス認証ではありません。）
• 獲得型、非表示型 - フラグフィールドはキャプチャするまでロックされています。モーダルにはステータスが表示され、リテラルなフラグは表示されないため、実際にエンドポイントを悪用する必要があります（UI内のAPIテスターまたは独自のクライアントを使用）。
• 推奨次チャレンジ + 重み付き進捗 - 解決済みの各チャレンジが適切な次のチャレンジを提案し、進捗スコアは簡単なものより難しいものに重み付けされます（4 > 3 > 2 > 1、フラットカウントではありません）。
• 持ち運び可能な進捗 - キャプチャしたフラグと進捗をMarkdownポートフォリオ成果物としてエクスポートでき、ラボがなくなっても保持できます。
• デフォルトで安全 - 127.0.0.1 にバインドし、0.0.0.0 では警告を表示、すべてのシークレットは偽物で明確にマークされ、SSRFターゲットはローカルのインプロセスモック（実際の出力なし）、外部ターゲットなし。
• 簡単実行 - 1つのPythonスクリプト、Makefile、docker-compose。
• 自己チェック - make verify-registry でチャレンジレジストリを検証（一意のID/フラグ、必須フィールド、リソース、ヒント数）し、カタログの一貫性を維持。

クイックスタート

# 1. ワンライナー（依存関係のインストール、DBシード、サーバー起動）
python start_lab.py
# または:  make start

ブラウザで http://localhost:3000 を開きます。

# バックエンドのみ
cd backend && npm install && npm start

# Docker（127.0.0.1のみに公開）
docker compose up --build

# キャプチャしたフラグ/イベント/チェーン進捗のリセット
make reset

# デモシードデータの再作成
make seed

# コアルートの簡易テスト（事前にラボを起動）
make test

# チャレンジレジストリの検証（一意のID/フラグ、フィールド、リソース）
make verify-registry

# 安全なローカル限定のエクスプロイトデモ（5チャレンジ）
python demo_exploit.py

チャレンジトラック

各チャレンジには以下が含まれます：ID、タイトル、トラック、カテゴリ、難易度、目標、脆弱なエンドポイント、悪用コンセプト、3段階のヒント（曖昧→具体的→回答）、フラグ、是正措置、検出/証拠ノート、マッピングされた管理ドメイン、事前学習用リソースリスト。

チャレンジモーダル

チャレンジカードをクリックしてモーダルを開くと、以下が提供されます。

• 目標、エンドポイント、悪用コンセプト - 何を狙うべきかがわかります。
• 解く前に学ぶ - 権威あるリンク（OWASP、PortSwigger、MITRE、NIST）で事前学習。
• 3段階のヒント - 行き詰まったら1つずつ表示。使用したヒントの数はチャレンジごとに追跡されます。
• APIテスターで開く - 脆弱なエンドポイントに対するプリロード済みリクエストに直接ジャンプするか、独自のクライアントから送信。
• 推奨次のチャレンジ - 解決後、学習パスを継続するための適切な次のチャレンジを提案。
• 前へ/次へナビ - モーダルを閉じずにチャレンジ間を移動。
• ロックされたフラグ - リテラルなフラグはエンドポイントを悪用してキャプチャするまで非表示。モーダルにはキャプチャ済み/未キャプチャのステータスが表示されます。

攻撃チェーンモード

6つの検出ステップからなる現実的な完全ローカルチェーン：

偵察 → 情報漏洩 → 資格情報/トークン悪用 →
権限昇格 → 機密データアクセス → 証拠レポート

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. デバッグエンドポイントがルートを公開
curl -s $B/api/attack-chain/leak     # 2. 漏洩した偽のJWTシークレット (weak123)
# 3. 管理者トークンを偽造 -> 4. 権限昇格 -> 5. 偽の顧客レコードを読み取り -> 6. レポート
curl -s $B/api/attack-chain/progress

攻撃チェーンタブで進捗をライブ確認。

ブルーチームモード

防御者タブには、攻撃者が実行したのと同じアクティビティが表示されます：最近のイベント、失敗したログイン、不審なAPIアクセス、ファイルアップロード、SSRF試行、権限昇格試行、キャプチャされたフラグ、攻撃チェーンの進捗。各イベントは重要度に応じて色分けされ、フラグキャプチャは🚩でマークされます。

curl -s http://localhost:3000/api/blue-team/dashboard

証拠レポートモード

キャプチャしたフラグからレポートを生成し、各発見事項を重要度、影響を受けるエンドポイント、証拠、ビジネス影響、是正措置、管理ドメイン、検出機会にマッピングします。

# Markdown（デフォルト）
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON または CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# マッピングされる管理ドメイン：アクセス制御、ログ記録と監視、
# セキュア開発、シークレット管理、変更管理、
# 構成管理、データ保護、インシデント対応。

⚠️ これは検出/GRC学習のための広義の管理ドメインマッピングです。いかなる標準への準拠を主張するものではありません。

スクリーンショット / デモ

🎬 デモGIF: docs/demo.gif - 約6分のプレゼンテーションスクリプトについては docs/DEMO_WALKTHROUGH.md を参照。（独自のキャプチャを docs/screenshots/ と docs/demo.gif に配置してプレースホルダーを置き換えてください。）

安全に関する注意

このラボは意図的に脆弱です。隔離された環境でのみ実行し、インターネットに公開しないでください。

• デフォルトで 127.0.0.1 にバインド（backend/.env の HOST=127.0.0.1）。
• HOST=0.0.0.0 に設定すると大きな警告が表示され、UIに危険バナーが表示されます。
• すべてのシークレット/トークンは偽物で明確にマークされています。本物の認証情報はありません。
• SSRF/メタデータエンドポイントはローカルのインプロセスモックであり、実際のネットワーク出力はありません。
• 破壊的なコマンド、永続化、外部システムへのターゲティングはありません。

プロジェクト構造

├── start_lab.py              # one-command launcher (deps + seed + run)
├── demo_exploit.py           # safe local-only exploit demo (5 challenges)
├── docker-compose.yml        # localhost-only publish
├── Makefile                  # install / start / reset / test / demo / docker
├── CHALLENGES.md             # full challenge catalog
├── frontend/                 # dashboard UI (tracks, chain, defender, evidence)
├── backend/
│   ├── server.js             # Express app, localhost bind, route wiring
│   ├── challenges/registry.js # CENTRAL challenge registry (50 challenges)
│   ├── ai/                   # TRANSPARENT AI simulator + RAG store (no external LLM)
│   ├── utils/events.js       # CENTRAL event store + Blue Team feed
│   ├── routes/               # vulnerable + mode routes (api, cloud, ai, shop, ...)
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # auth (safe), auth.vulnerable, waf, security
├── solutions/                # Python exploit writeups
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

貢献

バグを発見した場合やチャレンジを追加したい場合は、PRを歓迎します。

1. ローカル限定かつ教育的に保ってください。実際のシークレットや外部ターゲットは使用しないでください。
2. 新しいチャレンジは backend/challenges/registry.js（単一の情報源）に追加します。
3. 脆弱なルートから events.captureFlag({ flag, req }) を使用してフラグを発行します。
4. チャレンジを管理ドメインにマッピングし、検出ノートを追加します。
5. 事前学習用リソースリスト（OWASP / PortSwigger / MITRE / NIST）を追加します。
6. 提出前に make test と make verify-registry を実行します。

ロードマップ

• レジストリから生成されるフラグごとの解説ページ
• 難易度スコアリング + タイムドチャレンジモード
• GraphQLリゾルバーフィールドレベルの認可修正（「セキュア」トグルとして）
• さらに多くのAIチャレンジ（脱獄ラダー、RAGポイズニング）
• ブルーチーム検出ルールライブラリ（Sigma風）
• 認証トラック用のオプションOIDC/SAMLモック
• マルチユーザーCTFスコアボードモード（引き続きローカル限定）

ライセンス

教育目的のみ。LICENSE が存在する場合はそれを参照してください。自分が所有する、または明示的にテストを許可されたシステムに対してのみ使用してください。ここでは、このローカルラボが該当します。

このプロジェクトの成長を支援する

このラボで何か新しいことを学べたなら：

1. このリポジトリにスターを付けてください - 数秒で、他の人が見つけやすくなります。
2. シェア - Twitterに投稿、LinkedInに投稿、同僚に伝えてください。
3. 問題を報告 - ラボの改善にご協力ください。