PENTEST-LAB

Uma aplicação vulnerável moderna e um campo de treino cibernético para aprender segurança web, API, cloud, IA e blue team por meio de cadeias de ataque práticas.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        MODERN CYBER RANGE · 50 CHALLENGES · 8 TRACKS            ║
╚═══════════════════════════════════════════════════════════════╝

★ Dê uma estrela neste repositório se ele ajudar você - é grátis e ajuda outras pessoas a descobrir educação gratuita em segurança.

O que torna isso diferente

O PENTEST-LAB não é apenas mais uma máquina com uma única vulnerabilidade. É um campo de treino cibernético completo que combina as perspectivas de atacante e defensor com saída de evidências no estilo GRC:

• 50 desafios em 8 trilhas - Web, API, Auth/Session, Cloud/DevOps, Segurança de IA, Lógica de Negócio, Cadeia de Ataque, Evidências de Blue Team.
• Registro central de desafios - uma única fonte da verdade que alimenta a interface, o validador de flags e o gerador de evidências.
• Aprenda antes de resolver - todo desafio tem links para referências confiáveis (OWASP, PortSwigger, MITRE, NIST) para você estudar o conceito e então explorá-lo. As flags são conquistadas ao explorar, não reveladas na interface.
• Simulador de IA transparente - a trilha de IA roda em um "modelo" interno inspecionável (sem LLM externo): você vê todo o contexto [SYSTEM][USER][RETRIEVED][HISTORY], a saída gerada, a técnica de injeção detectada e os interruptores para cada mitigação.
• Armazenamento central de eventos - cada solicitação e flag é registrada; a visão do defensor é construída a partir dos mesmos eventos que o atacante gera.
• Cadeia de ataque guiada - Recon → Divulgação de Informações → Abuso de Token/Credencial → Escalonamento de Privilégios → Acesso a Dados Sensíveis → Relatório de Evidências, com progresso ao vivo.
• Modo Blue Team - logins falhos, acesso suspeito à API, SSRF, privesc, uploads de arquivos, capturas de flags e progresso da cadeia em um único painel.
• Modo de evidência GRC - relatórios em Markdown / JSON / CSV que mapeiam cada achado para gravidade, endpoint, evidência, impacto nos negócios, remediação, domínio de controle e uma oportunidade de detecção. (Mapeamento amplo de domínios de controle - não é uma certificação de conformidade.)
• Conquistada, não revelada - o campo da flag fica bloqueado até você capturá-la. O modal mostra o status, não a flag literal, para você realmente precisar explorar o endpoint (pelo Testador de API na interface ou pelo seu próprio cliente).
• Próximo recomendado + progresso ponderado - cada desafio resolvido sugere um próximo lógico, e sua pontuação de progresso pondera desafios mais difíceis acima dos fáceis (4 > 3 > 2 > 1), em vez de uma contagem simples.
• Progresso portátil - exporte suas flags capturadas e seu progresso como um artefato de portfólio em Markdown que você pode guardar depois que o laboratório não existir mais.
• Seguro por padrão - faz bind em 127.0.0.1, emite um aviso bem visível em 0.0.0.0, todos os segredos são falsos e claramente marcados, alvos SSRF usam um mock local em processo (sem egresso real) e não há alvos externos.
• Fácil de executar - um script Python, um Makefile e docker-compose.
• Autoverificação - make verify-registry valida o registro de desafios (ids/flags únicos, campos obrigatórios, recursos, quantidade de dicas) para o catálogo permanecer consistente.

Início rápido

# 1. One-liner (installs deps, seeds the DB, starts the server)
python start_lab.py
# or:  make start

Abra http://localhost:3000 no seu navegador.

# Backend only
cd backend && npm install && npm start

# Docker (published to 127.0.0.1 only)
docker compose up --build

# Reset captured flags / events / chain progress
make reset

# Refresh demo seed data
make seed

# Smoke test core routes (start the lab first)
make test

# Validate the challenge registry (unique ids/flags, fields, resources)
make verify-registry

# Safe local-only exploit demo (5 challenges)
python demo_exploit.py

Trilhas de desafios

Cada desafio possui: id, título, trilha, categoria, dificuldade, objetivo, endpoint vulnerável, conceito de exploração, 3 dicas progressivas (vaga → específica → resposta), flag, remediação, notas de detecção/evidência, um domínio de controle mapeado e uma lista de recursos para aprender antes de resolver.

O modal do desafio

Clique em qualquer cartão de desafio para abrir o modal. Ele oferece:

• Objetivo, endpoint e o conceito de exploração para você saber em que mirar.
• Aprenda antes de resolver - links de referência (OWASP, PortSwigger, MITRE, NIST) para estudar primeiro.
• 3 dicas progressivas - revele-as uma de cada vez se ficar preso; quantas você usou é registrado por desafio.
• Abrir no Testador de API - vá direto para uma solicitação pré-carregada contra o endpoint vulnerável, ou envie-a do seu próprio cliente.
• Próximo recomendado - depois de resolvido, um próximo desafio adequado é sugerido para manter sua trilha de aprendizado.
• Navegação Anterior / Próximo - percorra os desafios sem fechar o modal.
• Flag bloqueada - a flag literal fica oculta até você capturá-la ao explorar o endpoint. O modal mostra o status capturada / não capturada.

Modo de cadeia de ataque

Uma cadeia realista e totalmente local em seis etapas detectadas:

Recon → Information Disclosure → Credential/Token Abuse →
Privilege Escalation → Sensitive Data Access → Evidence Report

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. debug endpoint discloses routes
curl -s $B/api/attack-chain/leak     # 2. leaked fake JWT secret (weak123)
# 3. forge admin token -> 4. escalate -> 5. read fake customer records -> 6. report
curl -s $B/api/attack-chain/progress

Acompanhe o progresso ao vivo na aba Cadeia de Ataque.

Modo Blue Team

A aba Defender mostra a mesma atividade que o atacante acabou de realizar: eventos recentes, logins falhos, acessos suspeitos à API, uploads de arquivos, tentativas de SSRF, tentativas de escalonamento de privilégios, flags capturadas e progresso da cadeia de ataque - cada evento colorido por gravidade, com capturas de flags marcadas com 🚩.

curl -s http://localhost:3000/api/blue-team/dashboard

Modo de relatório de evidências

Gere um relatório a partir das suas flags capturadas, mapeando cada uma para um achado com gravidade, endpoint afetado, evidência, impacto nos negócios, remediação, domínio de controle e uma oportunidade de detecção.

# Markdown (default)
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON or CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# Control domains mapped: Access Control, Logging & Monitoring,
# Secure Development, Secrets Management, Change Management,
# Configuration Management, Data Protection, Incident Response.

⚠️ Este é um mapeamento amplo de domínios de controle para aprendizado de detecção/GRC. Ele não afirma conformidade com nenhum padrão.

Capturas de tela / demonstração

🎬 GIF de demonstração: docs/demo.gif - veja docs/DEMO_WALKTHROUGH.md para um script de apresentador de ~6 minutos. (Coloque suas próprias capturas em docs/screenshots/ e docs/demo.gif para substituir os espaços reservados.)

Aviso de segurança

Este laboratório é intencionalmente vulnerável. Execute-o apenas em ambientes isolados e nunca o exponha à internet.

• Faz bind em 127.0.0.1 por padrão (HOST=127.0.0.1 em backend/.env).
• Definir HOST=0.0.0.0 exibe um aviso bem visível; a interface mostra um banner de perigo.
• Todos os segredos/tokens são falsos e claramente marcados. Não há credenciais reais.
• Os endpoints de SSRF/metadados são mocks locais em processo - sem saída real para a rede.
• Sem comandos destrutivos, sem persistência, sem direcionamento de sistemas externos.

Estrutura do projeto

├── start_lab.py              # one-command launcher (deps + seed + run)
├── demo_exploit.py           # safe local-only exploit demo (5 challenges)
├── docker-compose.yml        # localhost-only publish
├── Makefile                  # install / start / reset / test / demo / docker
├── CHALLENGES.md             # full challenge catalog
├── frontend/                 # dashboard UI (tracks, chain, defender, evidence)
├── backend/
│   ├── server.js             # Express app, localhost bind, route wiring
│   ├── challenges/registry.js # CENTRAL challenge registry (50 challenges)
│   ├── ai/                   # TRANSPARENT AI simulator + RAG store (no external LLM)
│   ├── utils/events.js       # CENTRAL event store + Blue Team feed
│   ├── routes/               # vulnerable + mode routes (api, cloud, ai, shop, ...)
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # auth (safe), auth.vulnerable, waf, security
├── solutions/                # Python exploit writeups
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

Contribuindo

Encontrou um bug ou quer adicionar um desafio? PRs são bem-vindos.

1. Mantenha-o apenas local e educacional - sem segredos reais, sem alvos externos.
2. Adicione novos desafios a backend/challenges/registry.js (fonte única da verdade).
3. Emita flags via events.captureFlag({ flag, req }) a partir de uma rota vulnerável.
4. Mapeie o desafio para um domínio de controle e adicione notas de detecção.
5. Adicione uma lista de recursos para aprender antes de resolver (OWASP / PortSwigger / MITRE / NIST).
6. Execute make test e make verify-registry antes de enviar.

Roteiro

• Páginas de writeup por flag geradas a partir do registro
• Pontuação por dificuldade + modo de desafio cronometrado
• Correções de autorização em nível de campo nos resolvers GraphQL como um interruptor "seguro"
• Mais desafios de IA (escada de jailbreak, envenenamento de RAG)
• Biblioteca de regras de detecção para blue team (estilo Sigma)
• Mock opcional de OIDC/SAML para a trilha de autenticação
• Modo de placar CTF multiusuário (ainda somente local)

Licença

Uso educacional apenas. Consulte LICENSE, se presente. Use apenas contra sistemas que você possui ou está explicitamente autorizado a testar - aqui, isso significa este laboratório local.

Ajude este projeto a crescer

Se este laboratório ajudou você a aprender algo novo:

1. Dê uma estrela neste repositório - leva um segundo e ajuda outras pessoas a encontrá-lo.
2. Compartilhe - tweet, publique no LinkedIn, conte para seus colegas.
3. Relate problemas - ajude a melhorar o laboratório para todos.