PENTEST-LAB

취약한 웹 애플리케이션과 사이버 레인지를 하나로 결합한 현대적인 교육 도구로, 웹, API, 클라우드, AI 및 블루팀 보안을 실습형 공격 체인을 통해 학습할 수 있습니다.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 50 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ 이 저장소가 도움이 되셨다면 별표를 눌러주세요 - 무료이며 다른 사람들이 무료 보안 교육을 발견하는 데 도움이 됩니다.

차별점

PENTEST-LAB은 단순한 단일 취약점 박스가 아닙니다. 공격자와 방어자 관점을 GRC 스타일 증거 출력과 결합한 완전한 사이버 레인지입니다.

• 8개 트랙에 걸친 50개 챌린지 - 웹, API, 인증/세션, 클라우드/DevOps, AI 보안, 비즈니스 로직, 공격 체인, 블루팀 증거.
• 중앙 챌린지 레지스트리 - UI, 플래그 검증기, 증거 생성기에 데이터를 제공하는 단일 진실 공급원.
• 풀기 전에 학습하세요 - 모든 챌린지는 권위 있는 참고 자료(OWASP, PortSwigger, MITRE, NIST)에 연결되어 있어 개념을 학습한 후 익스플로잇할 수 있습니다. 플래그는 익스플로잇을 통해 획득되며 UI에 노출되지 않습니다.
• 투명한 AI 시뮬레이터 - AI 트랙은 검사 가능한 인프로세스 '모델'(외부 LLM 없음)에서 실행됩니다: [SYSTEM][USER][RETRIEVED][HISTORY] 컨텍스트, 생성된 출력, 탐지된 인젝션 기법 및 각 완화 조치에 대한 토글을 모두 볼 수 있습니다.
• 중앙 이벤트 저장소 - 모든 요청과 플래그가 기록됩니다. 방어자 보기는 공격자가 생성한 동일한 이벤트를 기반으로 구축됩니다.
• 가이드 공격 체인 - 정찰 → 정보 노출 → 토큰 남용 → 권한 상승 → 데이터 접근 → 증거 보고서, 실시간 진행 상태 포함.
• 블루팀 모드 - 로그인 실패, 의심스러운 API 접근, SSRF, 권한 상승, 파일 업로드, 플래그 캡처, 체인 진행 상황을 하나의 대시보드에서 확인.
• GRC 증거 모드 - 각 발견 사항을 심각도, 엔드포인트, 증거, 비즈니스 영향, 수정, 통제 도메인 및 탐지 기회에 매핑하는 Markdown/JSON/CSV 보고서. (광범위한 통제 도메인 매핑 - 규정 준수 인증이 아닙니다.)
• 획득, 노출 아님 - 플래그 필드는 캡처할 때까지 잠겨 있습니다. 모달은 플래그 자체가 아닌 상태를 표시하므로 실제로 엔드포인트를 익스플로잇해야 합니다(UI 내 API 테스터 또는 자체 클라이언트를 통해).
• 추천 다음 챌린지 + 가중치 진행 - 해결된 각 챌린지는 적절한 다음 챌린지를 제안하며, 진행 점수는 쉬운 챌린지보다 어려운 챌린지에 더 높은 가중치를 부여합니다(4 > 3 > 2 > 1, 단순 개수 대신).
• 휴대 가능한 진행 - 캡처한 플래그와 진행 상황을 Markdown 포트폴리오 아티팩트로 내보내어 랩이 사라진 후에도 보관할 수 있습니다.
• 기본적으로 안전 - 127.0.0.1에 바인딩, 0.0.0.0에서 큰 경고 표시, 모든 비밀은 가짜이며 명확히 표시됨, SSRF 대상은 로컬 인프로세스 모의(실제 이그레스 없음), 외부 대상 없음.
• 실행이 쉬움 - 하나의 Python 스크립트, Makefile 및 docker-compose.
• 자가 검증 - make verify-registry는 챌린지 레지스트리(고유 ID/플래그, 필수 필드, 리소스, 힌트 수)를 검증하여 카탈로그가 일관되게 유지되도록 합니다.

빠른 시작

# 1. One-liner (installs deps, seeds the DB, starts the server)
python start_lab.py
# or:  make start

브라우저에서 **http://localhost:3000**을 엽니다.

# Backend only
cd backend && npm install && npm start

# Docker (published to 127.0.0.1 only)
docker compose up --build

# Reset captured flags / events / chain progress
make reset

# Refresh demo seed data
make seed

# Smoke test core routes (start the lab first)
make test

# Validate the challenge registry (unique ids/flags, fields, resources)
make verify-registry

# Safe local-only exploit demo (5 challenges)
python demo_exploit.py

챌린지 트랙

각 챌린지는 다음을 포함합니다: ID, 제목, 트랙, 카테고리, 난이도, 목표, 취약한 엔드포인트, 익스플로잇 개념, 3개의 점진적 힌트(모호함 → 구체적 → 정답), 플래그, 수정, 탐지/증거 노트, 매핑된 통제 도메인 및 풀기 전 학습 리소스 목록.

챌린지 모달

아무 챌린지 카드를 클릭하면 모달이 열립니다. 제공되는 정보:

• 목표, 엔드포인트 및 익스플로잇 개념으로 무엇을 목표로 해야 하는지 알 수 있습니다.
• 풀기 전 학습 - 먼저 학습할 권위 있는 링크(OWASP, PortSwigger, MITRE, NIST).
• 3개의 점진적 힌트 - 막히면 하나씩 공개; 사용한 개수는 챌린지별로 추적됩니다.
• API 테스터에서 열기 - 취약한 엔드포인트에 대한 미리 로드된 요청으로 바로 이동하거나 자체 클라이언트에서 전송.
• 추천 다음 - 해결되면 학습 경로를 계속 이어갈 수 있도록 적절한 다음 챌린지가 제안됩니다.
• 이전/다음 탐색 - 모달을 닫지 않고 챌린지 간 이동.
• 잠긴 플래그 - 실제 플래그는 엔드포인트를 익스플로잇하여 캡처할 때까지 숨겨집니다. 모달은 캡처됨/캡처되지 않음 상태를 표시합니다.

공격 체인 모드

6단계로 탐지되는 현실적이고 완전히 로컬인 체인:

Recon → Information Disclosure → Credential/Token Abuse →
Privilege Escalation → Sensitive Data Access → Evidence Report

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. debug endpoint discloses routes
curl -s $B/api/attack-chain/leak     # 2. leaked fake JWT secret (weak123)
# 3. forge admin token -> 4. escalate -> 5. read fake customer records -> 6. report
curl -s $B/api/attack-chain/progress

Attack Chain 탭에서 진행 상황을 실시간으로 추적하세요.

블루팀 모드

Defender 탭은 공격자가 방금 수행한 동일한 활동을 보여줍니다: 최근 이벤트, 로그인 실패, 의심스러운 API 접근, 파일 업로드, SSRF 시도, 권한 상승 시도, 캡처된 플래그 및 공격 체인 진행 상황 - 각 이벤트는 심각도별 색상으로 표시되며, 플래그 캡처는 🚩로 표시됩니다.

curl -s http://localhost:3000/api/blue-team/dashboard

증거 보고서 모드

캡처한 플래그에서 각각을 심각도, 영향을 받은 엔드포인트, 증거, 비즈니스 영향, 수정, 통제 도메인 및 탐지 기회가 있는 발견 사항에 매핑하는 보고서를 생성합니다.

# Markdown (default)
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON or CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# Control domains mapped: Access Control, Logging & Monitoring,
# Secure Development, Secrets Management, Change Management,
# Configuration Management, Data Protection, Incident Response.

⚠️ 이는 탐지/GRC 학습을 위한 광범위한 통제 도메인 매핑입니다. 어떤 표준에 대한 준수를 주장하지 않습니다.

스크린샷 / 데모

🎬 데모 GIF: docs/demo.gif - 약 6분 분량의 발표자 스크립트는 docs/DEMO_WALKTHROUGH.md를 참조하세요. (자신의 캡처를 docs/screenshots/ 및 docs/demo.gif에 넣어 placeholder를 교체하세요.)

안전 주의사항

이 랩은 의도적으로 취약하게 만들어졌습니다. 격리된 환경에서만 실행하고 절대 인터넷에 노출하지 마십시오.

• 기본적으로 127.0.0.1에 바인딩됩니다(backend/.env의 HOST=127.0.0.1).
• HOST=0.0.0.0으로 설정하면 큰 경고가 출력되며 UI에 위험 배너가 표시됩니다.
• 모든 비밀/토큰은 가짜이며 명확히 표시되어 있습니다. 실제 자격 증명이 없습니다.
• SSRF/메타데이터 엔드포인트는 로컬 인프로세스 목업입니다 - 실제 네트워크 이그레스가 없습니다.
• 파괴적인 명령, 지속성, 외부 시스템 대상 지정이 없습니다.

프로젝트 구조

├── start_lab.py              # one-command launcher (deps + seed + run)
├── demo_exploit.py           # safe local-only exploit demo (5 challenges)
├── docker-compose.yml        # localhost-only publish
├── Makefile                  # install / start / reset / test / demo / docker
├── CHALLENGES.md             # full challenge catalog
├── frontend/                 # dashboard UI (tracks, chain, defender, evidence)
├── backend/
│   ├── server.js             # Express app, localhost bind, route wiring
│   ├── challenges/registry.js # CENTRAL challenge registry (50 challenges)
│   ├── ai/                   # TRANSPARENT AI simulator + RAG store (no external LLM)
│   ├── utils/events.js       # CENTRAL event store + Blue Team feed
│   ├── routes/               # vulnerable + mode routes (api, cloud, ai, shop, ...)
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # auth (safe), auth.vulnerable, waf, security
├── solutions/                # Python exploit writeups
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

기여

버그를 찾았거나 챌린지를 추가하고 싶으신가요? PR을 환영합니다.

1. 로컬 전용 및 교육용으로 유지하세요 - 실제 비밀, 외부 대상 없음.
2. 새 챌린지는 backend/challenges/registry.js에 추가하세요(단일 진실 공급원).
3. 취약한 경로에서 events.captureFlag({ flag, req })를 통해 플래그를 발생시키세요.
4. 챌린지를 통제 도메인에 매핑하고 탐지 노트를 추가하세요.
5. 풀기 전 학습 리소스 목록(OWASP / PortSwigger / MITRE / NIST)을 추가하세요.
6. 제출 전에 make test와 make verify-registry를 실행하세요.

로드맵

• 레지스트리에서 생성된 플래그별 분석 페이지
• 난이도 점수 + 시간 제한 챌린지 모드
• GraphQL 리졸버 필드 수준 인가 수정을 "보안" 토글로 제공
• 더 많은 AI 챌린지 (탈옥 사다리, RAG 중독)
• 블루팀 탐지 규칙 라이브러리 (Sigma 스타일)
• 인증 트랙을 위한 선택적 OIDC/SAML 모의
• 다중 사용자 CTF 스코어보드 모드 (여전히 로컬 전용)

라이선스

교육용으로만 사용하세요. LICENSE 파일이 있으면 참조하세요. 소유하거나 명시적으로 테스트 권한이 있는 시스템에만 사용하십시오 - 여기서는 이 로컬 랩을 의미합니다.

이 프로젝트 성장에 도움주기

이 랩이 새로운 것을 배우는 데 도움이 되었다면:

1. 이 저장소에 별표를 눌러주세요 - 몇 초면 되며 다른 사람들이 찾는 데 도움이 됩니다.
2. 공유하기 - 트윗, LinkedIn 게시, 동료에게 알리기.
3. 이슈 보고 - 모두를 위해 랩 개선에 도움주기.