PENTEST-LAB

Современное уязвимое приложение и киберполигон для изучения безопасности веб-приложений, API, облака, ИИ и защиты (blue team) через практические цепочки атак.

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        СОВРЕМЕННЫЙ КИБЕРПОЛИГОН · 53 ЗАДАЧИ · 8 НАПРАВЛЕНИЙ      ║
╚═══════════════════════════════════════════════════════════════╝

★ Поставьте звезду этому репозиторию, если он вам помог — это бесплатно и помогает другим найти бесплатное обучение безопасности.

Чем это отличается

PENTEST-LAB — это не очередной бокс с одной уязвимостью. Это полноценный киберполигон, который объединяет перспективы атакующего и защитника с выводом результатов в стиле GRC:

• 53 задачи по 8 направлениям — Web, API, Auth/Session, Cloud/DevOps, AI Security, Business Logic, Attack Chain, Blue Team Evidence.
• Центральный реестр задач — единый источник истины, питающий UI, валидатор флагов и генератор доказательств.
• Сначала изучи, потом решай — каждая задача ссылается на авторитетные источники (OWASP, PortSwigger, MITRE, NIST), чтобы вы сначала изучили концепцию, а затем эксплуатировали её. Флаги зарабатываются эксплуатацией, а не показываются в UI.
• Прозрачный ИИ-симулятор — ИИ-направление работает на инспектируемой внутрипроцессной «модели» (без внешнего LLM): вы видите полный контекст [SYSTEM][USER][RETRIEVED][HISTORY], сгенерированный вывод, обнаруженную технику инъекции и переключатели для каждой меры защиты.
• Центральное хранилище событий — каждый запрос и флаг логируется; представление защитника строится на тех же событиях, которые генерирует атакующий.
• Управляемая цепочка атак — Recon → Information Disclosure → Token Abuse → Privilege Escalation → Data Access → Evidence Report, с отслеживанием прогресса в реальном времени.
• Режим Blue Team — неудачные входы, подозрительный доступ к API, SSRF, повышение привилегий, загрузка файлов, захват флагов и прогресс цепочки — всё в одной панели.
• Режим GRC-доказательств — отчёты в Markdown / JSON / CSV, сопоставляющие каждую находку с серьёзностью, конечной точкой, доказательством, бизнес-влиянием, мерами устранения, областью контроля и возможностью обнаружения. (Широкое сопоставление с областями контроля — не сертификация соответствия.)
• Заработано, а не показано — поле флага заблокировано, пока вы его не захватите. Модальное окно показывает статус, а не сам флаг, поэтому вам действительно нужно эксплуатировать конечную точку (через встроенный API Tester или свой собственный клиент).
• Рекомендуемая следующая задача + взвешенный прогресс — каждая решённая задача предлагает логичную следующую, а ваш балл прогресса взвешивает более сложные задачи выше лёгких (4 > 3 > 2 > 1) вместо плоского подсчёта.
• Переносимый прогресс — экспортируйте захваченные флаги и прогресс как Markdown-артефакт портфолио, который можно сохранить после удаления лаборатории.
• Безопасно по умолчанию — привязка к 127.0.0.1, громкое предупреждение при 0.0.0.0, все секреты фейковые и явно помечены, SSRF-цели — локальные внутрипроцессные моки (без реального исходящего трафика), внешние цели отсутствуют.
• Просто запустить — один Python-скрипт, Makefile и docker-compose.
• Самопроверка — make verify-registry проверяет реестр задач (уникальные id/флаги, обязательные поля, ресурсы, количество подсказок), чтобы каталог оставался консистентным.

Быстрый старт

# 1. Одной командой (устанавливает зависимости, заполняет БД, запускает сервер)
python start_lab.py
# или:  make start

Откройте http://localhost:3000 в браузере.

# Только бэкенд
cd backend && npm install && npm start

# Docker (публикуется только на 127.0.0.1)
docker compose up --build

# Сброс захваченных флагов / событий / прогресса цепочки
make reset

# Обновление демо-данных
make seed

# Смоук-тест основных маршрутов (сначала запустите лабораторию)
make test

# Проверка реестра задач (уникальные id/флаги, поля, ресурсы)
make verify-registry

# Безопасная локальная демонстрация эксплуатации (5 задач)
python demo_exploit.py

Направления задач

Каждая задача содержит: id, название, направление, категорию, сложность, цель, уязвимую конечную точку, концепцию эксплуатации, 3 прогрессивные подсказки (общая → конкретная → ответ), флаг, меры устранения, заметки по обнаружению/доказательствам, сопоставленную область контроля и список ресурсов «изучи перед решением».

Модальное окно задачи

Нажмите на карточку любой задачи, чтобы открыть модальное окно. Оно даёт вам:

• Цель, конечную точку и концепцию эксплуатации — чтобы вы знали, на что нацелиться.
• Изучите перед решением — авторитетные ссылки (OWASP, PortSwigger, MITRE, NIST) для предварительного изучения.
• 3 прогрессивные подсказки — открывайте их по одной, если застряли; сколько вы использовали, отслеживается для каждой задачи.
• Открыть в API Tester — сразу перейти к предзагруженному запросу к уязвимой конечной точке или отправить его из собственного клиента.
• Рекомендуемая следующая — после решения предлагается логичная следующая задача, чтобы ваш учебный путь продолжался.
• Навигация Prev / Next — перемещение по задачам без закрытия модального окна.
• Заблокированный флаг — сам флаг скрыт, пока вы не захватите его, эксплуатируя конечную точку. Модальное окно показывает статус «захвачен / не захвачен».

Режим цепочки атак

Реалистичная, полностью локальная цепочка из шести обнаруживаемых шагов:

Recon → Information Disclosure → Credential/Token Abuse →
Privilege Escalation → Sensitive Data Access → Evidence Report

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. debug-эндпоинт раскрывает маршруты
curl -s $B/api/attack-chain/leak     # 2. утёкший фейковый JWT-секрет (weak123)
# 3. подделать admin-токен -> 4. повысить привилегии -> 5. прочитать фейковые записи клиентов -> 6. отчёт
curl -s $B/api/attack-chain/progress

Отслеживайте прогресс в реальном времени на вкладке Attack Chain.

Режим Blue Team

Вкладка Defender показывает ту же активность, которую только что выполнил атакующий: последние события, неудачные входы, подозрительный доступ к API, загрузки файлов, попытки SSRF, попытки повышения привилегий, захваченные флаги и прогресс цепочки атак — каждое событие окрашено по серьёзности, захваты флагов помечены 🚩.