PENTEST-LAB

一个现代化的易受攻击应用与网络靶场，用于通过动手攻击链学习 Web、API、云、 AI 和蓝队安全。

╔═══════════════════════════════════════════════════════════════╗
║     ██████╗ ███████╗███╗   ██╗████████╗███████╗███████╗████████╗ ║
║     ██╔══██╗██╔════╝████╗  ██║╚══██╔══╝██╔════╝██╔════╝╚══██╔══╝ ║
║     ██████╔╝█████╗  ██╔██╗ ██║   ██║   █████╗  ███████╗   ██║    ║
║     ██╔═══╝ ██╔══╝  ██║╚██╗██║   ██║   ██╔══╝  ╚════██║   ██║    ║
║     ██║     ███████╗██║ ╚████║   ██║   ███████╗███████║   ██║    ║
║     ╚═╝     ╚══════╝╚═╝  ╚═══╝   ╚═╝   ╚══════╝╚══════╝   ╚═╝    ║
║        现代化网络靶场 · 50个挑战 · 8个方向                      ║
╚═══════════════════════════════════════════════════════════════╝

★ 如果这个仓库对您有帮助，请点个星标——这是免费的，还能帮助其他人发现免费的安全教育资源。

独特之处

PENTEST-LAB 不是另一个单一漏洞的虚拟机。它是一个完整的网络靶场，将攻击者与防御者视角相结合，并生成 GRC 风格的证据输出：

• 8个方向共50个挑战 —— Web、API、认证/会话、云/DevOps、AI 安全、业务逻辑、攻击链、蓝队证据。
• 集中式挑战注册表 —— 单一数据源，供 UI、标志验证器和证据生成器使用。
• 先学后攻 —— 每个挑战都链接到权威参考资料（OWASP、PortSwigger、MITRE、NIST），让您先学习概念，然后进行利用。标志通过利用获得，不会在 UI 中直接显示。
• 透明的 AI 模拟器 —— AI 方向运行在一个可检查的进程内“模型”上（无需外部 LLM）：您可以看到完整的 [SYSTEM][USER][RETRIEVED][HISTORY] 上下文、生成的输出、检测到的注入技术以及每个缓解措施的开关。
• 集中事件存储 —— 每个请求和标志都被记录；防御者视图基于攻击者生成的相同事件构建。
• 引导式攻击链 —— 侦察 → 信息泄露 → 令牌滥用 → 权限提升 → 数据访问 → 证据报告，并实时显示进度。
• 蓝队模式 —— 在一个仪表板中查看失败的登录、可疑的 API 访问、SSRF、提权、文件上传、标志捕获和链式进度。
• GRC 证据模式 —— 生成 Markdown / JSON / CSV 报告，将每个发现映射到严重性、端点、证据、业务影响、修复措施、控制域和检测机会。（宽泛的控制域映射——并非合规认证。）
• 通过利用获得，而非直接显示 —— 标志字段被锁定，直到您捕获它才会解锁。弹窗显示状态，而非具体标志，因此您确实需要利用端点（通过 UI 内的 API 测试器或您自己的客户端）。
• 推荐下一个 + 加权进度 —— 解决每个挑战后，系统会推荐一个合理的后续挑战，并根据难度加权（4 > 3 > 2 > 1）计算进度分数，而非简单的计数。
• 可导出进度 —— 将您捕获的标志和进度导出为 Markdown 作品集文件，即使在靶场消失后仍可保留。
• 默认安全 —— 绑定到 127.0.0.1，在 0.0.0.0 上大声警告，所有秘密均为伪造并明确标记，SSRF 目标为本地进程内模拟（无真实出站），无外部目标。
• 易于运行 —— 单个 Python 脚本、Makefile 和 docker-compose。
• 自我检查 —— make verify-registry 验证挑战注册表（唯一 ID/标志、必填字段、资源、提示数量），确保目录保持一致。

快速开始

# 1. 单行命令（安装依赖、初始化数据库、启动服务器）
python start_lab.py
# 或： make start

在浏览器中打开 **http://localhost:3000**。

# 仅后端
cd backend && npm install && npm start

# Docker（仅发布到 127.0.0.1）
docker compose up --build

# 重置已捕获的标志 / 事件 / 链式进度
make reset

# 刷新演示种子数据
make seed

# 冒烟测试核心路由（先启动靶场）
make test

# 验证挑战注册表（唯一 ID/标志、字段、资源）
make verify-registry

# 安全的本机漏洞利用演示（5个挑战）
python demo_exploit.py

挑战方向

每个挑战包含：ID、标题、方向、类别、难度、目标、漏洞端点、利用概念、3个递进式提示（模糊 → 具体 → 答案）、标志、修复措施、检测/证据说明、映射的控制域，以及解决前学习资源列表。

挑战弹窗

点击任何挑战卡片打开弹窗。它提供：

• 目标、端点和利用概念，让您知道攻击目标。
• 解决前学习 - 权威链接（OWASP、PortSwigger、MITRE、NIST）供您先学习。
• 3个递进式提示 - 如果卡住了可以逐一显示；系统会追踪每个挑战使用了多少个提示。
• 在 API 测试器中打开 - 直接跳转到预先加载好的请求，针对漏洞端点，或从您自己的客户端发送请求。
• 推荐下一个 - 解决后，系统会建议一个合理的后续挑战，保持学习路径的连续性。
• 上一个 / 下一个导航 - 无需关闭弹窗即可浏览挑战。
• 锁定标志 - 具体标志隐藏，直到您通过利用端点捕获它。弹窗显示已捕获/未捕获状态。

攻击链模式

一个逼真的、完全本地的六步检测链：

侦察 → 信息泄露 → 凭证/令牌滥用 →
权限提升 → 敏感数据访问 → 证据报告

B=http://127.0.0.1:3000
curl -s $B/api/attack-chain/recon    # 1. 调试端点泄露路由
curl -s $B/api/attack-chain/leak     # 2. 泄露的假 JWT 密钥（weak123）
# 3. 伪造管理员令牌 -> 4. 提权 -> 5. 读取假客户记录 -> 6. 生成报告
curl -s $B/api/attack-chain/progress

在攻击链标签页中实时追踪进度。

蓝队模式

防御者标签页显示攻击者刚刚执行的相同活动：最近的事件、失败的登录、可疑的 API 访问、文件上传、SSRF 尝试、提权尝试、捕获的标志以及攻击链进度——每个事件按严重性着色，捕获的标志用 🚩 标记。

curl -s http://localhost:3000/api/blue-team/dashboard

证据报告模式

根据您捕获的标志生成报告，将每个标志映射到一个发现，包含严重性、受影响的端点、证据、业务影响、修复措施、控制域和检测机会。

# Markdown（默认）
curl -s -X POST http://localhost:3000/api/evidence/report \
  -H 'Content-Type: application/json' -d '{"format":"markdown"}'

# JSON 或 CSV
curl -s -X POST http://localhost:3000/api/evidence/report -d '{"format":"csv"}'

# 映射的控制域：访问控制、日志与监控、
# 安全开发、秘密管理、变更管理、
# 配置管理、数据保护、事件响应。

⚠️ 这是用于检测/GRC 学习的宽泛控制域映射。它并未断言符合任何标准。

截图/演示

🎬 演示 GIF： docs/demo.gif - 请参阅 docs/DEMO_WALKTHROUGH.md 获取约6分钟的讲解脚本。（将您自己的截图放入 docs/screenshots/ 和 docs/demo.gif 以替换占位符。）

安全通知

此靶场故意存在漏洞。请仅在隔离环境中运行，切勿暴露到互联网。

• 默认绑定到 127.0.0.1（backend/.env 中的 HOST=127.0.0.1）。
• 设置 HOST=0.0.0.0 会打印响亮警告；UI 显示危险横幅。
• 所有秘密/令牌均为伪造并明确标记。无真实凭证。
• SSRF/元数据端点是本地进程内模拟——无真实网络出站。
• 无破坏性命令，无持久化，无对外部系统的目标。

项目结构

├── start_lab.py              # 一键启动器（依赖 + 种子 + 运行）
├── demo_exploit.py           # 安全的本机漏洞利用演示（5个挑战）
├── docker-compose.yml        # 仅 localhost 发布
├── Makefile                  # install / start / reset / test / demo / docker
├── CHALLENGES.md             # 完整挑战目录
├── frontend/                 # 仪表板 UI（方向、链、防御者、证据）
├── backend/
│   ├── server.js             # Express 应用，localhost 绑定，路由接线
│   ├── challenges/registry.js # 集中式挑战注册表（50个挑战）
│   ├── ai/                   # 透明的 AI 模拟器 + RAG 存储（无外部 LLM）
│   ├── utils/events.js       # 集中式事件存储 + 蓝队反馈
│   ├── routes/               # 漏洞 + 模式路由（api, cloud, ai, shop, ...）
│   ├── scripts/              # init-db, seed, reset, test_routes
│   └── middleware/           # auth（安全）、auth.vulnerable、waf、security
├── solutions/                # Python 漏洞利用解决方案
└── docs/                     # SECURITY_REPORT, SETUP, DEMO_WALKTHROUGH

贡献

发现 bug 或想添加挑战？欢迎提交 PR。

1. 确保仅在本地且用于教育目的——无真实秘密，无外部目标。
2. 向 backend/challenges/registry.js 添加新挑战（单一数据源）。
3. 在漏洞路由中通过 events.captureFlag({ flag, req }) 发射标志。
4. 将挑战映射到控制域，并添加检测说明。
5. 添加解决前学习资源列表（OWASP / PortSwigger / MITRE / NIST）。
6. 提交前运行 make test 和 make verify-registry。

路线图

• 从注册表生成每个标志的解题页面
• 难度评分 + 计时挑战模式
• GraphQL 解析器字段级授权修复作为“安全”开关
• 更多 AI 挑战（越狱阶梯、RAG 投毒）
• 蓝队检测规则库（类 Sigma）
• 可选的 OIDC/SAML 模拟用于认证方向
• 多用户 CTF 排行榜模式（仍为本地）

许可证

仅限教育用途。如存在 LICENSE 文件，请参阅。仅对您拥有或明确授权测试的系统使用——此处指本本地靶场。

帮助项目成长

如果这个靶场帮助您学到了新东西：

1. 给这个仓库点个星标——只需一秒钟，帮助其他人发现它。
2. 分享——在推特上发帖、在领英上发布、告诉您的同事。
3. 报告问题——帮助改进靶场，惠及所有人。