PENTEST-LAB

Uma aplicação vulnerável moderna e cyber range para aprender segurança web, API, nuvem, IA e blue team por meio de cadeias de ataque práticas.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        CYBER RANGE MODERNO · 53 DESAFIOS · 8 TRILHAS            ║
╚═══════════════════════════════════════════════════════════════╝

★ Dê uma estrela neste repositório se ele te ajudar - é gratuito e ajuda outras pessoas a descobrirem educação gratuita em segurança.

O que torna isso diferente

O PENTEST-LAB não é mais uma caixa de vulnerabilidade única. É um cyber range completo que combina as perspectivas de atacante e defensor com saída de evidências no estilo GRC:

• 53 desafios em 8 trilhas - Web, API, Auth/Sessão, Nuvem/DevOps, Segurança de IA, Lógica de Negócio, Cadeia de Ataque, Evidências de Blue Team.
• Registro central de desafios - uma única fonte de verdade que alimenta a UI, o validador de flags e o gerador de evidências.
• Aprenda antes de resolver - cada desafio vincula referências autoritativas (OWASP, PortSwigger, MITRE, NIST) para que você possa estudar o conceito e depois explorá-lo. As flags são conquistadas explorando, não reveladas na UI.
• Simulador de IA transparente - a trilha de IA roda em um "modelo" inspecionável em processo (sem LLM externo): você vê o contexto completo [SYSTEM][USER][RETRIEVED][HISTORY], a saída gerada, a técnica de injeção detectada e alternâncias para cada mitigação.
• Armazenamento central de eventos - cada requisição e flag é registrada; a visão do defensor é construída sobre os mesmos eventos que o atacante gera.
• Cadeia de ataque guiada - Recon → Divulgação de Informações → Abuso de Token → Escalação de Privilégios → Acesso a Dados → Relatório de Evidências, com progresso ao vivo.
• Modo Blue Team - logins falhos, acesso suspeito à API, SSRF, privesc, uploads de arquivos, capturas de flags e progresso da cadeia em um único painel.
• Modo de evidências GRC - relatórios em Markdown / JSON / CSV mapeando cada achado para severidade, endpoint, evidência, impacto nos negócios, remediação, domínio de controle e uma oportunidade de detecção. (Mapeamento amplo de domínio de controle - não é uma certificação de conformidade.)
• Conquistada, não revelada - o campo de flag fica bloqueado até você capturá-la. O modal mostra o status, não a flag literal, então você realmente precisa explorar o endpoint (via Testador de API na UI ou seu próprio cliente).
• Próximo recomendado + progresso ponderado - cada desafio resolvido sugere um próximo sensato, e sua pontuação de progresso pondera desafios mais difíceis mais do que os fáceis (4 > 3 > 2 > 1) em vez de uma contagem simples.
• Progresso portátil - exporte suas flags capturadas e progresso como um artefato de portfólio em Markdown que você pode manter após o laboratório desaparecer.
• Seguro por padrão - vincula a 127.0.0.1, avisa alto em 0.0.0.0, todos os segredos são falsos e claramente marcados, alvos SSRF usam um mock local em processo (sem egresso real), sem alvos externos.
• Fácil de executar - um script Python, um Makefile e docker-compose.
• Autoverificação - make verify-registry valida o registro de desafios (ids/flags únicos, campos obrigatórios, recursos, contagens de dicas) para que o catálogo permaneça consistente.

Início rápido

# 1. Comando único (instala dependências, popula o banco, inicia o servidor)
python start_lab.py
# ou:  make start

Abra http://localhost:3000 no seu navegador.

# Somente backend
cd backend && npm install && npm start

# Docker (publicado apenas em 127.0.0.1)
docker compose up --build

# Redefinir flags capturadas / eventos / progresso da cadeia
make reset

# Atualizar dados de demonstração
make seed

# Teste de fumaça das rotas principais (inicie o laboratório primeiro)
make test

# Validar o registro de desafios (ids/flags únicos, campos, recursos)
make verify-registry

# Demonstração de exploração segura somente local (5 desafios)
python demo_exploit.py

Trilhas de desafios

Cada desafio possui: id, título, trilha, categoria, dificuldade, objetivo, endpoint vulnerável, conceito de exploração, 3 dicas progressivas (vaga → específica → resposta), flag, remediação, notas de detecção/evidências, um domínio de controle mapeado e uma lista de recursos aprenda antes de resolver.

O modal de desafio

Clique em qualquer cartão de desafio para abrir o modal. Ele oferece:

• Objetivo, endpoint e o conceito de exploração para você saber onde mirar.
• Aprenda antes de resolver - links autoritativos (OWASP, PortSwigger, MITRE, NIST) para estudar primeiro.
• 3 dicas progressivas - revele-as uma de cada vez se ficar preso; quantas você usou é rastreado por desafio.
• Abrir no Testador de API - pule direto para uma requisição pré-carregada contra o endpoint vulnerável, ou envie-a do seu próprio cliente.
• Próximo recomendado - uma vez resolvido, um próximo desafio sensato é sugerido para manter seu caminho de aprendizado.
• Navegação Anterior / Próximo - percorra os desafios sem fechar o modal.
• Flag bloqueada - a flag literal fica oculta até você capturá-la explorando o endpoint. O modal mostra o status capturado / não capturado.

Modo de cadeia de ataque

Uma cadeia realista, totalmente local, em seis etapas detectadas:

Recon → Divulgação de Informações → Abuso de Credenciais/Tokens →
Escalação de Privilégios → Acesso a Dados Sensíveis → Relatório de Evidências

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. endpoint de debug divulga rotas
curl -s $B/api/attack-chain/leak     # 2. segredo JWT falso vazado (weak123)
# 3. forjar token admin -> 4. escalar -> 5. ler registros falsos de clientes -> 6. relatório
curl -s $B/api/attack-chain/progress

Acompanhe o progresso ao vivo na aba Cadeia de Ataque.

Modo blue team

A aba Defensor mostra a mesma atividade que o atacante acabou de realizar: eventos recentes, logins falhos, acesso suspeito à API, uploads de arquivos, tentativas de SSRF, tentativas de escalação de privilégios, flags capturadas e progresso da cadeia de ataque - cada evento colorido por severidade, capturas de flags marcadas com 🚩.