Hacker101 CTF (2026) : des flags aux invitations bug bounty

Qu'est-ce que Hacker101 ?

Hacker101 est une formation en ligne gratuite à la sécurité web, proposée par HackerOne, la plateforme de bug bounty. Elle associe des leçons vidéo sur le hacking web au CTF Hacker101, un jeu de capture the flag que HackerOne présente comme les travaux pratiques officiels du cours. Vous vous connectez avec un compte HackerOne gratuit, et il n'existe aucune offre payante.

Le site a deux moitiés, et les débutants n'en remarquent souvent qu'une seule.

• Les vidéos. Le site Hacker101 organise ses leçons en parcours, dont Hacker101 for Newcomers, Burp Suite, Web Hacking, Mobile Hacking, Cryptography et une Pentest Series. Vous pouvez les regarder dans l'ordre que vous voulez.
• Le CTF. Un site séparé, ctf.hacker101.com, héberge les niveaux. Chacun est une petite application vulnérable que vous lancez à la demande et attaquez depuis votre navigateur. La plupart sont des applications web, avec quelques niveaux Android et binaires natifs pour plus tard.
• La communauté. Hacker101 anime un serveur Discord, et le guide de réussite des hackers de HackerOne y renvoie les débutants quand ils bloquent.

Le public visé saute aux yeux. Hacker101 a été conçu pour transformer des développeurs et des débutants curieux en chasseurs de bugs, donc presque tout ce qu'il enseigne relève de la sécurité des applications web. Cette spécialisation est sa plus grande force et, comme vous le verrez plus bas, sa principale limite.

Comment fonctionne le CTF Hacker101

Le CTF Hacker101 est un jeu de type jeopardy : une liste de niveaux, chacun cachant un ou plusieurs flags, et des points pour chaque flag soumis. Vous jouez seul, à votre rythme, sans chronomètre. C'est à peu près le format le moins stressant qui existe, et si le capture the flag est nouveau pour vous, notre guide du CTF pour débutants en explique d'abord les bases.

Pour commencer, il faut quatre étapes, selon la documentation de HackerOne :

1. Connectez-vous avec un compte HackerOne. Créez-en un sur HackerOne si vous n'en avez pas encore. C'est le même compte que vous utiliserez plus tard pour soumettre de vrais rapports de bugs.
2. Autorisez le CTF. Hacker101 demande l'accès à votre profil HackerOne public et à vos flags, pour que vos points suivent votre identité de hacker.
3. Choisissez un niveau. La liste des niveaux affiche pour chacun la difficulté, les points par flag, les compétences en jeu et le nombre de flags trouvés.
4. Cliquez sur Go. Le site démarre une instance privée de l'application pour vous. Redémarrer une instance lente ou cassée ne vous fait perdre aucun des flags déjà capturés.

Un flag est une longue chaîne aléatoire entourée de marqueurs : elle commence par ^FLAG^ et se termine par $FLAG$. Quand vous voyez ce motif sur une page, dans une réponse ou dans du code source, copiez le tout et soumettez-le. Les flags peuvent se cacher dans des pages, des fichiers, des bases de données ou du code source, c'est pourquoi les instructions du CTF vous demandent de vérifier chaque page, chaque bouton et chaque champ.

La difficulté va de Trivial à Expert, et les points par flag augmentent avec elle. Sur la liste des niveaux, l'échauffement Trivial rapporte 1 point, les niveaux Easy rapportent de 2 à 4 points par flag, les niveaux Moderate de 3 à 6, les niveaux Hard 7 ou 9, et les niveaux Expert 9 ou 13. Les points sont fixés niveau par niveau, donc deux niveaux Easy peuvent rapporter des montants différents.

Les indices sont intégrés. Cliquez sur le lien Hints à côté du bouton Go d'un niveau et vous obtenez une série de coups de pouce, en général trois à cinq par niveau. Chaque indice suivant est bloqué par un minuteur plus long, et c'est une bonne idée : vous êtes obligé de rester face au problème avant que l'indice suivant n'apparaisse.

La règle des 26 points : des flags du CTF aux invitations bug bounty privées

Dès que vous avez gagné 26 points dans le CTF Hacker101, vous devenez éligible aux invitations vers des programmes de bug bounty privés sur HackerOne. La page de démarrage de Hacker101 et la documentation de HackerOne indiquent toutes les deux ce seuil, et c'est la raison pour laquelle ce CTF vaut plus que la plupart des jeux d'entraînement gratuits.

Les programmes privés comptent à cause de la concurrence. Un programme public est ouvert à tous les chasseurs de la plateforme, donc les bugs faciles sont souvent signalés quelques heures après le lancement, et la première trouvaille valide d'un débutant finit souvent marquée comme doublon. Un programme privé fonctionne sur invitation, avec beaucoup moins de monde sur les mêmes cibles.

Quand HackerOne a lancé la version actuelle du CTF en 2018, son annonce précisait que chaque tranche supplémentaire de 26 points rapportait une nouvelle invitation. Considérez ce détail comme propre au lancement : la documentation actuelle promet seulement l'éligibilité à 26 points, pas un nombre fixe d'invitations.

Gardez des attentes réalistes sur ce qu'est une invitation :

• C'est une éligibilité, pas une garantie. Les invitations dépendent des programmes qui recrutent. Certains hackers en reçoivent une rapidement, d'autres attendent.
• Ce n'est pas du hacking plus facile. Un programme privé est un vrai système en production. Les bugs ne sont pas étiquetés et rien ne vous dit qu'un flag existe.
• Ce n'est pas une raison de se précipiter. Le guide de réussite des hackers de HackerOne recommande de terminer tout le CTF même après avoir reçu une invitation, car les niveaux que vous sautez sont des compétences qui vous manqueront sur de vraies cibles.

Lisez les règles de chaque programme que vous acceptez avant d'envoyer la moindre requête. Le périmètre, les types de tests interdits et les règles de divulgation figurent dans la politique du programme, et les enfreindre peut vous faire exclure du programme ou de la plateforme.

Vos premiers niveaux du CTF Hacker101, dans l'ordre

La liste des niveaux n'est pas triée du plus facile au plus difficile, et les niveaux durs côtoient les plus simples. Voici l'ordre que nous donnerions à un ami, avec les points rapportés par chacun. Nous donnons l'idée derrière chaque niveau, pas les réponses. C'est la liste des niveaux, et non ce guide, qui fait foi pour les valeurs de points actuelles.

1. A little something to get you started (Trivial, 1 point)

Un flag, une leçon : la page que vous voyez n'est pas toute la page. Ouvrez le code source (Ctrl+U dans la plupart des navigateurs) et regardez tout ce que la page charge, pas seulement le texte qu'elle affiche. Si un fichier est référencé, vous avez le droit de le demander directement.

2. Micro-CMS v1 (Easy, 4 flags à 2 points chacun)

Un minuscule système de gestion de contenu où vous pouvez créer et modifier des pages. C'est le meilleur niveau débutant du site, car chaque flag enseigne une classe de bug différente :

• Contrôle d'accès. Les pages ont des identifiants numériques. Repérez les numéros manquants, et la différence entre « not found » et « forbidden ». Demandez-vous ensuite quelles autres actions existent sur une page, en dehors de la consulter.
• Injection SQL. L'indice dit de manipuler chaque entrée. L'identifiant de page dans l'URL est aussi une entrée.
• XSS stocké, deux fois. L'application bloque les balises script. Demandez-vous où d'autre le titre de votre page apparaît sur le site, et quels autres éléments HTML peuvent exécuter du JavaScript grâce à un gestionnaire d'événement.

3. Petshop Pro (Easy, 3 flags à 3 points chacun)

Une boutique en ligne avec un panier et une page de paiement. Observez ce que le navigateur envoie au moment de payer, car les boutiques qui font confiance au client ont des problèmes de prix. Un autre flag se cache derrière une page que le menu ne mentionne jamais, protégée par une connexion dont les messages d'erreur en disent plus qu'ils ne devraient. Le dernier vous demande où les données que vous saisissez réapparaissent.

4. Postbook (Easy, 7 flags à 4 points chacun)

Un petit réseau social. Avec 28 points en jeu, Postbook peut à lui seul vous faire dépasser la barre des 26 points, et c'est un cours accéléré de contrôle d'accès : quels messages pouvez-vous lire, lesquels pouvez-vous modifier, et que se passe-t-il quand vous changez un identifiant que l'application pensait intouchable. Si vous ne devez jouer sérieusement qu'un seul niveau, choisissez celui-ci.

Faites le calcul : le niveau Trivial (1) plus Micro-CMS v1 (8) et Petshop Pro (9) vous donnent 18 points, et deux flags de Postbook vous font passer les 26. C'est un objectif réaliste pour votre première semaine, sans toucher à un seul niveau Moderate.

5. Après 26 points : Micro-CMS v2 et les niveaux Moderate

Micro-CMS v2 (Moderate, 3 flags à 3 points chacun) est la suite durcie de la v1 : les corrections évidentes sont en place, donc il faut creuser davantage, notamment autour d'un formulaire de connexion qui laisse fuiter plus qu'il ne devrait. Ensuite, Cody's First Blog, Photo Gallery et TempImage sont de bonnes étapes, tout comme les niveaux BugDB si vous voulez découvrir GraphQL. Gardez Encrypted Pastebin et les niveaux Model E1337 pour bien plus tard. Ils sont classés Hard ou Expert et demandent des connaissances en cryptographie ou en mathématiques que la plupart des débutants n'ont pas encore.

Les vidéos à regarder en premier

Vous pouvez attaquer le CTF à froid, et beaucoup le font. Vous irez pourtant plus loin, plus vite, avec quelques heures de vidéo avant. La page de démarrage de Hacker101 suggère cet ordre :

1. Hacker101 for Newcomers. Les bases des applications web, l'état d'esprit du hacker et la rédaction d'un rapport exploitable par une équipe de triage.
2. Burp Suite. Comment installer et utiliser le proxy dans lequel travaillent presque tous les chasseurs de bugs web.
3. Web Hacking. Les grandes classes de vulnérabilités, qui correspondent presque une à une aux premiers niveaux du CTF.
4. Rédaction de rapports et règles de la communauté. Le code de conduite, le calculateur de sévérité CVSS et quand demander de l'aide.

Burp Suite est l'outil qui change le plus votre expérience du CTF. Vous pouvez résoudre le niveau Trivial et l'essentiel de Micro-CMS v1 avec un navigateur et les DevTools, mais Petshop Pro et Postbook deviennent bien plus simples quand vous pouvez intercepter une requête, modifier une valeur et la renvoyer. Notre tutoriel Burp Suite pour débutants vous permet d'intercepter du trafic avec la Community Edition en une dizaine de minutes.

Une réserve : certaines vidéos ont plusieurs années. Les idées ont bien vieilli, puisque l'injection SQL et le XSS fonctionnent toujours de la même façon, mais les menus et les captures d'écran des démonstrations d'outils peuvent ne plus correspondre à ce que vous voyez aujourd'hui.

Quand vous bloquez : indices, writeups et Discord

Des centaines de personnes ont publié des writeups de Hacker101, donc chaque réponse se trouve à une recherche près. C'est justement le piège. Un flag copié depuis un article de blog vous donne des points et ne vous apprend rien, et l'invitation à 26 points ne vaut rien si vous êtes incapable de trouver le même bug sur un vrai programme.

Une règle qui fonctionne bien :

• 1Utilisez d'abord les indices intégrés. Ils sont écrits pour orienter, pas pour résoudre. Lisez-en un, puis retournez dans l'application.
• 2Notez trois choses que vous avez essayées. Avant d'ouvrir un writeup, listez trois tentatives et pourquoi chacune a échoué. Si vous n'en trouvez pas trois, vous n'avez pas encore vraiment essayé.
• 3Lisez un writeup pour un seul flag. Fermez-le dès que vous avez compris l'idée, puis trouvez le flag vous-même. Ne lisez jamais la suite pour le flag d'après.
• 4Posez vos questions sur Discord avec vos tentatives. « J'ai essayé X et Y sur la page d'édition et j'obtiens un 403 » reçoit des réponses utiles. « Un indice pour le flag 2 ? » en reçoit rarement.

En pratique, ceux qui calent sur Hacker101 manquent rarement de technique. Ils manquent de notes. Gardez un fichier texte par niveau avec chaque URL, paramètre, message d'erreur et comportement étrange que vous remarquez. Au troisième flag de Postbook, ce fichier fait la moitié du travail, et c'est la même habitude qui rendra vos futurs rapports de bug bounty faciles à rédiger.

Hacker101 face aux autres plateformes gratuites

Hacker101 n'est pas le seul endroit gratuit pour débuter, et il ne convient pas à tout le monde. Voici comment il se compare aux autres options que les débutants envisagent habituellement :

Notre avis : si votre objectif est le bug bounty, Hacker101 a sa place dans votre liste quoi que vous utilisiez d'autre, car aucune autre option de ce tableau ne vous ouvre une porte vers les programmes privés. Si votre objectif est de participer à des compétitions CTF, il est trop étroit à lui seul. Les CTF en direct incluent de la cryptographie, de la forensique, de la rétro-ingénierie et de l'exploitation de binaires, que Hacker101 effleure à peine.

Ce que Hacker101 ne vous apprendra pas

Les niveaux de Hacker101 sont de petites applications à but unique. Chacune est construite autour d'une poignée de bugs, et la liste des niveaux vous dit combien de flags existent. Les vraies cibles font l'inverse : des milliers d'endpoints, aucun nombre de flags, et la majeure partie de votre temps passée en reconnaissance et sur des fonctionnalités qui s'avèrent sûres.

Trois lacunes méritent d'être comblées volontairement :

• La profondeur sur une classe de bug. Chaque niveau de Hacker101 aborde un bug une seule fois. La vraie chasse récompense ceux qui connaissent une classe, comme le XSS ou le contrôle d'accès, assez bien pour en trouver les variantes inhabituelles.
• La reconnaissance. Le CTF vous fournit la cible. Le bug bounty commence par la recherche de sous-domaines, d'endpoints et de fonctionnalités oubliées, une compétence que les niveaux sollicitent à peine.
• Tout ce qui sort du web. Linux, les réseaux, l'élévation de privilèges et la forensique sont hors du périmètre de Hacker101. Ils comptent si vous visez un poste de pentesteur et pas seulement des primes.

La solution, c'est la répétition structurée sur des cibles nouvelles. Travaillez la même classe de bug sur plusieurs applications différentes jusqu'à la reconnaître au premier coup d'œil, puis apportez ce réflexe au CTF et à votre premier programme privé.

Considérations légales et éthiques

• N'attaquez que les instances des niveaux. Le CTF autorise les attaques contre les applications vulnérables qu'il lance pour vous, pas contre la plateforme qui les héberge.
• Lisez la politique de chaque programme. Une invitation privée vous autorise à tester les actifs inclus dans le périmètre, selon les règles écrites par l'entreprise. Tout ce qui est hors périmètre reste non autorisé.
• Ne réutilisez jamais les payloads du CTF sur des sites au hasard. Taper un payload d'injection SQL sur un site que vous n'avez pas le droit de tester constitue un accès frauduleux à un système informatique, puni en France par l'article 323-1 du Code pénal, quelle que soit votre intention.
• Signalez, n'exploitez pas. Sur un vrai programme, prouvez le bug avec le moins d'impact possible, arrêtez-vous et rédigez le rapport. N'accédez jamais à plus de données que nécessaire pour démontrer le problème.

Questions fréquentes