PENTEST-LAB

ハンズオンな攻撃チェーンを通じてWeb、API、クラウド、 AI、そしてブルーチームセキュリティを学ぶための、モダンな脆弱性アプリケーション＆サイバーレンジです。

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        モダンサイバーレンジ · 53チャレンジ · 8トラック            ║
╚═══════════════════════════════════════════════════════════════╝

★ このリポジトリが役に立ったならスターを付けてください - 無料で、他の人が無料のセキュリティ教育を見つける助けになります。

他と何が違うのか

PENTEST-LABは、単一の脆弱性を持つボックスではありません。攻撃者と防御者の視点をGRCスタイルの証拠出力と組み合わせた本格的なサイバーレンジです。

• 8トラックにわたる53のチャレンジ - Web、API、認証/セッション、クラウド/DevOps、 AIセキュリティ、ビジネスロジック、攻撃チェーン、ブルーチーム証拠。
• 中央チャレンジレジストリ - UI、フラグ検証、証拠生成に供給される単一の真実源。
• 解く前に学ぶ - すべてのチャレンジは権威ある参考文献（OWASP、PortSwigger、MITRE、NIST）にリンクしており、概念を学んでから悪用できます。フラグは悪用によって獲得され、UIで公開されることはありません。
• 透過的なAIシミュレーター - AIトラックは検査可能なプロセス内「モデル」上で動作します（外部LLMなし）。完全な [SYSTEM][USER][RETRIEVED][HISTORY] コンテキスト、生成された出力、検出されたインジェクション手法、各緩和策のトグルを確認できます。
• 中央イベントストア - すべてのリクエストとフラグが記録されます。防御者ビューは攻撃者が生成するのと同じイベントに基づいて構築されています。
• ガイド付き攻撃チェーン - 偵察 → 情報漏えい → トークン悪用 → 権限昇格 → データアクセス → 証拠レポート。ライブ進行状況付き。
• ブルーチームモード - 失敗したログイン、不審なAPIアクセス、SSRF、権限昇格、 ファイルアップロード、フラグ取得、チェーンの進行状況を1つのダッシュボードで確認。
• GRC証拠モード - 各発見事項を重大度、エンドポイント、証拠、ビジネス影響、是正措置、コントロールドメイン、検出機会にマッピングしたMarkdown / JSON / CSVレポート。（広範なコントロールドメインマッピング - コンプライアンス認証ではありません。）
• 獲得制、非公開 - フラグフィールドは取得するまでロックされています。モーダルにはリテラルなフラグではなくステータスが表示されるため、実際にエンドポイントを悪用する必要があります（UI内のAPIテスターまたは独自のクライアントを使用）。
• 推奨ネクスト + 重み付き進行状況 - 解決した各チャレンジは適切な次のチャレンジを提案し、進行スコアは簡単なチャレンジよりも難しいチャレンジに重みを付けます（4 > 3 > 2 > 1）。単純なカウントではありません。
• ポータブルな進行状況 - 取得したフラグと進行状況をMarkdownポートフォリオ成果物としてエクスポートでき、ラボが消えた後も保持できます。
• デフォルトで安全 - 127.0.0.1 にバインドし、0.0.0.0 では大きな警告を表示。すべてのシークレットは偽物で明確にマークされ、SSRFターゲットはローカルのプロセス内モック（実際の外部通信なし）、外部ターゲットなし。
• 簡単に実行 - 1つのPythonスクリプト、Makefile、docker-compose。
• 自己検証 - make verify-registry はチャレンジレジストリを検証し（一意のID/フラグ、必須フィールド、リソース、ヒント数）、カタログの一貫性を維持します。

クイックスタート

# 1. ワンライナー（依存関係のインストール、DBシード、サーバー起動）
python start_lab.py
# または:  make start

ブラウザで http://localhost:3000 を開きます。

# バックエンドのみ
cd backend && npm install && npm start

# Docker（127.0.0.1 のみに公開）
docker compose up --build

# 取得したフラグ / イベント / チェーン進行状況をリセット
make reset

# デモシードデータを再生成
make seed

# コアルートのスモークテスト（先にラボを起動）
make test

# チャレンジレジストリの検証（一意のID/フラグ、フィールド、リソース）
make verify-registry

# 安全なローカルのみのエクスプロイトデモ（5チャレンジ）
python demo_exploit.py

チャレンジトラック

各チャレンジには以下が含まれます: ID、タイトル、トラック、カテゴリ、難易度、目的、 脆弱なエンドポイント、悪用コンセプト、3段階のプログレッシブヒント（曖昧 → 具体的 → 回答）、フラグ、是正措置、検出/証拠ノート、マッピングされたコントロールドメイン、解く前に学ぶリソースリスト。

チャレンジモーダル

任意のチャレンジカードをクリックしてモーダルを開きます。以下が表示されます:

• 目的、エンドポイント、悪用コンセプト - 何を狙うべきかがわかります。
• 解く前に学ぶ - 最初に学習するための権威あるリンク（OWASP、PortSwigger、MITRE、NIST）。
• 3段階のプログレッシブヒント - 行き詰まったら1つずつ表示できます。使用した数はチャレンジごとに記録されます。
• APIテスターで開く - 脆弱なエンドポイントに対する事前ロード済みリクエストに直接ジャンプするか、独自のクライアントから送信します。
• 推奨ネクスト - 解決後、学習パスを継続するための適切な次のチャレンジが提案されます。
• 前へ / 次へナビ - モーダルを閉じずにチャレンジ間を移動できます。
• ロックされたフラグ - リテラルなフラグはエンドポイントを悪用して取得するまで非表示です。モーダルには取得済み/未取得のステータスが表示されます。

攻撃チェーンモード

6つの検出ステップからなる、現実的で完全にローカルなチェーン:

偵察 → 情報漏えい → 資格情報/トークン悪用 →
権限昇格 → 機密データアクセス → 証拠レポート

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. デバッグエンドポイントがルートを公開
curl -s $B/api/attack-chain/leak     # 2. 漏えいした偽のJWTシークレット（weak123）
# 3. 管理者トークンを偽造 -> 4. 権限昇格 -> 5. 偽の顧客レコードを読む -> 6. レポート
curl -s $B/api/attack-chain/progress

攻撃チェーンタブで進行状況をライブで確認できます。

ブルーチームモード

ディフェンダータブには、攻撃者が実行したのと同じアクティビティが表示されます: 最近のイベント、失敗したログイン、不審なAPIアクセス、ファイルアップロード、SSRF 試行、権限昇格の試行、取得されたフラグ、攻撃チェーンの進行状況 - 各イベントは重大度で色分けされ、フラグ取得は🚩でマークされます。

curl -s http://localhost:3000/api/blue-team/dashboard

証拠レポートモード

取得したフラグからレポートを生成し、各フラグを重大度、影響を受けるエンドポイント、証拠、ビジネス影響、是正措置、コントロールドメイン、検出機会を持つ発見事項にマッピングします。

# Markdown（デフォルト）
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON または CSV
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"csv"}'

# マッピングされるコントロールドメイン: アクセス制御、ログ記録と監視、
# セキュア開発、シークレット管理、変更管理、
# 構成管理、データ保護、インシデント対応。

⚠️ これは検出/GRC学習のための広範なコントロールドメインマッピングです。いかなる 標準への準拠を主張するものではありません。

デモアセット

このリポジトリにはスクリーンショットや録画されたGIFは含まれていません。ローカルのデモアセットを作成する場合は、docs/screenshots/ の下に配置し、キャプチャプロセスをそれらと一緒に文書化してください。プレゼンテーション対応の docs/DEMO_WALKTHROUGH.md がメンテナンスされたデモスクリプトです。

安全に関する注意

このラボは意図的に脆弱です。隔離された環境でのみ実行し、インターネットに公開しないでください。

• デフォルトで 127.0.0.1 にバインドします（backend/.env の HOST=127.0.0.1）。
• HOST=0.0.0.0 に設定すると大きな警告が表示され、UIに危険バナーが表示されます。
• すべてのシークレット/トークンは偽物で明確にマークされています。実際の資格情報はありません。
• SSRF/メタデータエンドポイントはローカルのプロセス内モックです - 実際のネットワーク外部通信はありません。
• 破壊的なコマンド、永続化、外部システムへのターゲティングはありません。

プロジェクト構造

├── start_lab.py              # ワンコマンドランチャー（依存関係 + シード + 実行）
├── demo_exploit.py           # 安全なローカルのみのエクスプロイトデモ（5チャレンジ）
├── docker-compose.yml        # localhostのみに公開
├── Makefile                  # install / start / reset / test / demo / docker
├── CHALLENGES.md             # 完全なチャレンジカタログ
├── frontend/                 # ダッシュボードUI（トラック、チェーン、ディフェンダー、証拠）
├── backend/
│   ├── server.js             # Expressアプリ、localhostバインド、ルート配線
│   ├── challenges/registry.js # 中央チャレンジレジストリ（53チャレンジ）
│   ├── ai/                   # 透過的なAIシミュレーター + RAGストア（外部LLMなし）
│   ├── utils/events.js       # 中央イベントストア + ブルーチームフィード
│   ├── routes/               # 脆弱なルート + モードルート（api、cloud、ai、shop、...）
│   ├── scripts/              # init-db、seed、reset、test_routes
│   └── middleware/           # auth（安全）、auth.vulnerable、waf、security
├── solutions/                # Pythonエクスプロイトライトアップ
└── docs/                     # セットアップ、ツール、デモ、攻撃チェーンガイド

貢献

バグを見つけた、またはチャレンジを追加したいですか？PRを歓迎します。

1. ローカルのみで教育的に保つ - 実際のシークレット、外部ターゲットなし。
2. 新しいチャレンジを backend/challenges/registry.js に追加（単一の真実源）。
3. 脆弱なルートから events.captureFlag({ flag, req }) を介してフラグを発行。
4. チャレンジをコントロールドメインにマッピングし、検出ノートを追加。
5. 解く前に学ぶリソースリストを追加（OWASP / PortSwigger / MITRE / NIST）。
6. 提出前に make test と make verify-registry を実行。

ロードマップ

• レジストリから生成されるフラグごとのライトアップページ
• 難易度スコアリング + タイムドチャレンジモード
• GraphQLリゾルバーフィールドレベルの認可修正を「セキュア」トグルとして
• より多くのAIセキュリティシナリオと防御比較
• ブルーチーム検出ルールライブラリ（Sigma風）
• 認証トラック用のオプションのOIDC/SAMLモック
• マルチユーザーCTFスコアボードモード（引き続きローカルのみ）

ライセンス

教育目的のみ。LICENSE が存在する場合は参照してください。所有している、または明示的にテストを許可されたシステムに対してのみ使用してください - ここでは、このローカルラボを意味します。

このプロジェクトの成長を支援

このラボが何か新しいことを学ぶのに役立ったなら:

1. このリポジトリにスターを付ける - 数秒で済み、他の人が見つけるのに役立ちます。
2. 共有する - ツイート、LinkedInに投稿、同僚に伝える。
3. 問題を報告する - みんなのためにラボの改善に役立ちます。