pwn.college pour débutants : le dojo gratuit de l'ASU (2026)

Qu'est-ce que pwn.college ?

pwn.college est une plateforme éducative gratuite où l'on apprend la cybersécurité en résolvant des challenges pratiques dans un environnement Linux qui tourne dans le navigateur. Elle a été créée à Arizona State University, alimente une grande partie du cursus sécurité de l'ASU, et sa page d'accueil indique qu'elle est ouverte gratuitement à toute personne intéressée, partout dans le monde.

Le projet a été fondé par Yan Shoshitaishvili, professeur à l'ASU, et c'est le doctorant Connor Nelson qui a transformé ce cursus en site de dojo. Il a commencé comme infrastructure du cours de sécurité des systèmes informatiques de l'ASU (CSE 466) avant de grandir. En 2024, l'ASU indiquait que la plateforme était utilisée dans 145 pays et que les étudiants y avaient passé plus de 1,5 million d'heures d'entraînement en 2023.

Trois choses la distinguent de la plupart des plateformes gratuites :

• C'est un vrai cours universitaire. Chaque module associe des vidéos de cours et des slides à une série de challenges. Ces mêmes challenges servent à noter les étudiants de l'ASU, d'où la demande de ne pas publier de solutions.
• Elle va en profondeur, pas en largeur. Le parcours principal va des bases de Linux à l'assembleur, au reverse engineering, à l'exploitation de binaires, au sandboxing et à la sécurité du noyau. Il y a un peu de web et de cryptographie, mais le cœur du sujet, c'est le hacking système bas niveau.
• Tout se passe dans le navigateur. Pas de VPN, pas de VM, rien à installer. Vous cliquez sur Start et vous obtenez un terminal, un éditeur VS Code ou un bureau Linux complet. SSH est disponible si vous préférez.

L'infrastructure est open source sur GitHub, et les établissements peuvent créer leurs propres dojos privés pour y faire cours.

pwn.college est-il adapté aux débutants ?

Oui pour la première partie, et honnêtement non pour la suite, sauf si vous êtes patient. Les dojos Getting Started ne supposent aucune connaissance de Linux. Le Core Material suppose que vous les avez terminés et grimpe vite vers des contenus que l'ASU enseigne aussi dans ses cours de sécurité de fin de licence et de master.

Chaque page de dojo affiche un compteur « Unique Hackers ». Nous les avons relevés fin octobre 2026, et la chute en dit plus long que n'importe quel avis :

Ces compteurs recensent les personnes distinctes qui ont résolu des challenges dans chaque dojo, pas celles qui l'ont terminé. La tendance reste nette. Environ 71 000 personnes ont résolu quelque chose dans Start Here. Moins de 3 000 ont résolu quoi que ce soit dans Software Exploitation.

Notre avis : pwn.college est la meilleure ressource gratuite que nous connaissions pour comprendre comment les programmes fonctionnent en mémoire, et un mauvais premier arrêt pour quelqu'un qui veut hacker des sites web d'ici vendredi. Si la sécurité web est votre objectif, commencez par une plateforme orientée web et revenez à pwn.college quand vous voudrez comprendre ce qui se passe en dessous.

Comment fonctionne le dojo pwn.college

Le contenu est organisé en trois niveaux. Un dojo couvre un grand thème. Chaque dojo contient des modules, et chaque module contient des challenges. Résolvez un challenge et vous obtenez un flag, un jeton que vous collez dans le champ prévu sur la page du challenge pour marquer les points.

L'espace de travail

Quand vous cliquez sur Start, pwn.college lance un conteneur pour vous et vous donne quatre façons d'y accéder :

• Terminal : un shell simple dans le navigateur. C'est là que vous passerez l'essentiel de votre temps.
• Code : VS Code dans le navigateur, pratique dès que vous commencez à écrire des scripts.
• Desktop : une interface graphique Linux complète, utile plus tard pour les débogueurs et autres outils graphiques.
• SSH : associez une clé publique dans vos paramètres et connectez-vous depuis votre propre terminal.

Votre répertoire personnel est conservé d'un challenge à l'autre, donc vos scripts et vos notes vous suivent. Si vous cassez l'environnement, cliquez de nouveau sur Start pour en obtenir un propre.

Où se trouve le flag

Sur chaque challenge, le vrai flag se trouve dans /flag, un fichier que seul root peut lire. Les fichiers du challenge sont dans /challenge. Votre travail consiste à trouver comment le challenge permet à un utilisateur sans privilèges (nommé hacker) d'atteindre ce flag. Parfois il suffit d'exécuter correctement un programme de /challenge, et plus tard il faudra faire faire à un programme quelque chose que son auteur n'avait jamais prévu.

Le mode entraînement

Chaque challenge propose aussi un bouton Privileged. Il lance le même environnement avec un accès sudo pour déboguer et expérimenter librement, mais /flag est remplacé par un flag d'entraînement qui ne rapporte rien. Dans la pratique, c'est la fonctionnalité la plus sous-utilisée de la plateforme. Quand un exploit échoue sans que vous compreniez pourquoi, une instance privilégiée vous permet d'attacher un débogueur en root et de voir exactement ce qui se passe.

Dans quel ordre faire les dojos pwn.college

La page des dojos précise que le contenu est conçu pour être suivi dans l'ordre et que chaque dojo suppose que vous maîtrisez tout ce qu'enseignent les précédents. Prenez-le au sérieux. Voici le parcours officiel et ce que chaque étape enseigne réellement.

Getting Started

1. Start Here. Dix challenges qui enseignent la plateforme elle-même : lancer le terminal, VS Code et le bureau, coller des flags, redémarrer des challenges. Le module comprend aussi des vidéos d'introduction, dont une sur l'éthique en cybersécurité.
2. Linux Luminarium. Dix-sept modules, de « Hello Hackers » aux chemins, commandes, globbing, pipes, variables du shell, processus, utilisateurs, permissions et variable PATH. Le dojo se décrit comme très introductif et indique que vous pouvez le passer si vous êtes déjà à l'aise sous Linux. Si vous avez hésité en lisant cette liste, ne le passez pas.
3. Computing 101. C'est là que ça devient sérieux. Le dojo part du code machine que les ordinateurs exécutent directement et de votre premier programme, puis couvre la mémoire, la pile, la représentation des nombres, le flux de contrôle, l'endianness et le débogage, pour finir par un module où vous construisez un serveur web.
4. Playing With Programs. Parler aux logiciels de façon inattendue : manipuler des formats de données, parler HTTP à la main avec curl et netcat, détourner des programmes ordinaires, et un bac à sable SQL. Le dojo lui-même dit que vous pouvez passer à la suite une fois à l'aise, sans finir chaque challenge.

Core Material : gagner vos ceintures

1. Intro to Cybersecurity. Sept modules : sécurité web, interception de communications, cryptographie, contrôle d'accès, reverse engineering, exploitation de binaires, et un module intégré qui combine le tout.
2. Program Security. Cinq modules : sécurité des programmes, reverse engineering, return-oriented programming, mauvais usage de l'allocateur dynamique (le tas) et exploitation de programmes. C'est le dojo où le compteur de hackers est divisé par plus de deux.
3. System Security. Sandboxing, conditions de course, sécurité du noyau et exploitation de la microarchitecture.
4. Software Exploitation. Format strings, exploits de structures FILE, exploitation du tas et exploitation du noyau face aux protections modernes.

Vous recevez la ceinture blanche dès votre inscription. La page des ceintures liste les titulaires des ceintures orange, jaune, verte et bleue, et la page des dojos précise que les ceintures se gagnent dans l'ordre, en terminant les dojos Core Material. Terminez les quatre et pwn.college vous enverra une vraie ceinture bleue brodée, même si pour l'instant les ceintures ne sont expédiées qu'au niveau bleu. Les ceintures marron et noire, selon la page d'accueil, viennent plus tard et hors du dojo, une fois que vous pouvez contribuer à l'industrie de la sécurité et à la recherche académique.

Si la moitié bas niveau de cette liste vous intimide, lire sur le sujet avant aide beaucoup. Le cours d'exploitation de binaires de HackerDNA explique simplement les débordements de pile, les protections comme ASLR et NX, et les chaînes ROP, ce qui rend les cours de Program Security bien plus faciles à suivre.

Votre première heure sur pwn.college

Voici une première session réaliste, du début à la fin.

1. Inscrivez-vous et lisez les règles. Avant de voir le moindre contenu, la plateforme vous demande d'accepter de ne pas publier de writeups, de vidéos de résolution ou de livestreams de solutions. Elle ne peut pas l'imposer, alors elle compte sur vous.
2. Ouvrez Start Here et regardez la première vidéo. « What is pwn.college? » pose le cadre pour toute la suite. Cliquez ensuite sur Start dans « Using the Terminal ». Le terminal s'ouvre sous le texte du challenge et votre premier flag apparaît.
3. Soumettez-le. Sélectionner du texte à la souris dans le terminal le copie. Collez-le dans le champ Flag et validez. Cette boucle (lancer, résoudre, copier, soumettre), c'est toute la plateforme.
4. Essayez chaque espace de travail. La suite de Start Here vous fait passer par VS Code, le bureau et le redémarrage. Faites tout maintenant, car vous aurez besoin du bureau bien plus tard et c'est plus facile à apprendre quand rien n'est en jeu.
5. Rejoignez le Discord. Start Here a un module rien que pour ça. C'est là que vous demanderez de l'aide plus tard.
6. Commencez Linux Luminarium. Le premier module, Hello Hackers, explique l'invite du shell. Vous verrez quelque chose comme ceci :

hacker@dojo:~$ whoami
hacker
hacker@dojo:~$

Le tutoriel détaille chaque élément. hacker est votre nom d'utilisateur, la partie après le @ est le nom d'hôte de la machine (sur pwn.college, il est dérivé du nom du challenge), et le $ signifie que vous n'êtes pas administrateur. Bien plus tard, quand vous deviendrez root grâce à un exploit, ce $ se transformera en #. C'est un petit détail, et il dit exactement où cette plateforme vous emmène.

Comment se débloquer sans enfreindre les règles

Comme les writeups sont déconseillés, vous ne trouverez pas de solution détaillée pour la plupart des challenges. C'est voulu. La plateforme vous donne d'autres moyens de repartir :

• 🎥Revoyez la vidéo du module. Les challenges sont construits pour faire pratiquer ce que montre le cours. Si vous bloquez sur le challenge 7, la réponse remonte souvent à un passage de la vidéo que vous avez survolé.
• 🤖Demandez à SENSAI. pwn.college dispose d'un tuteur IA appelé SENSAI, accessible via le lien Help une fois un challenge lancé. L'ASU l'a conçu précisément pour les étudiants bloqués dans le dojo.
• 💬Posez votre question sur Discord, correctement. Indiquez quel challenge, ce que vous avez essayé et ce qui s'est passé. Attendez-vous à des indices qui vous font réfléchir, pas à des solutions, et n'en demandez pas.
• 🔧Utilisez une instance Privileged. Quand le problème est « mon exploit ne marche pas et je ne vois pas pourquoi », lancez-le avec sudo en mode entraînement et observez-le dans un débogueur.

Le conseil honnête pour les débutants : rester bloqué une heure sur pwn.college est normal. Les challenges sont courts, mais chacun retire un peu plus d'échafaudage que le précédent. Si vous bloquez des jours sur les débuts de Luminarium, le manque vient généralement des fondamentaux Linux, et un cours structuré le comblera plus vite que la force brute.

pwn.college vs OverTheWire, picoCTF et HackerDNA

Les quatre sont bons, et chacun dans un domaine différent.

OverTheWire est le plus proche dans l'esprit : gratuit, uniquement en terminal, sans assistance. Bandit couvre un terrain proche de Linux Luminarium avec moins d'explications, et ses jeux suivants (Narnia, Behemoth) abordent les mêmes thèmes d'exploitation de binaires que Program Security. Notre guide des wargames OverTheWire détaille l'ordre dans lequel les jouer. Beaucoup de gens font Bandit et Luminarium en parallèle.

picoCTF est plus large et moins profond. Si vous voulez goûter à la cryptographie, à la forensique et au web en une semaine, c'est le meilleur choix. Si vous voulez comprendre pourquoi un buffer overflow fonctionne au lieu de simplement en déclencher un, c'est pwn.college.

HackerDNA comble un autre manque. Les challenges pwn.college isolent un concept à la fois, ce qui est idéal pour apprendre et très différent d'une vraie cible. Les labs HackerDNA vous donnent une machine ou une application vulnérable complète, souvent avec des questions guidées en chemin, pour que vous appreniez à enchaîner ce que vous savez. Une bonne passerelle depuis Computing 101 est le lab License Key Crackme, où vous démontez un binaire Linux avec objdump et GDB, le type de débogage que pwn.college fait pratiquer dès Computing 101.

Après les ceintures : CTF Archive et compétitions en direct

pwn.college vous indique lui-même la suite. Sa page d'accueil recommande les compétitions capture the flag et les wargames une fois le dojo dépassé, et il héberge quelques dojos communautaires qui font le lien :

• CTF Archive : 834 challenges conservés de compétitions passées, dont CSAW et 0CTF, tous jouables dans le même espace de travail. Le dojo précise que son classement sert à suivre votre propre progression, pas à vous mesurer aux autres.
• Advent of Pwn : un dojo de fêtes de fin d'année en 12 challenges. L'édition 2025 est toujours jouable si vous voulez une petite série thématique après Intro to Cybersecurity.
• Dojos communautaires : la page des dojos en liste des dizaines d'autres, de Windows et ARM à la sécurité web et l'élévation de privilèges, créés par la communauté pwn.college.

Quand vous serez prêt pour une épreuve chronométrée, la page d'accueil vous renvoie vers CTFtime, le calendrier qu'utilise la majeure partie du monde CTF. Notre guide pour participer à votre première compétition CTF explique les formats, les équipes et les événements débutants qui valent votre week-end.

Considérations légales et éthiques

• Respectez la règle « pas de writeups ». Des universités notent leurs étudiants avec exactement ces challenges. Publier une solution rend la plateforme moins utile pour tout le monde, y compris le prochain débutant.
• Gardez vos exploits dans le dojo. Le shellcode et les exploits que vous écrivez pour pwn.college visent ses programmes de challenge. Les lancer contre un logiciel qui ne vous appartient pas ou que vous n'êtes pas autorisé à tester est illégal dans la plupart des pays.
• N'attaquez pas la plateforme. Les conteneurs sont le challenge, pas l'infrastructure derrière. Si vous trouvez un vrai bug dans pwn.college lui-même, signalez-le sur Discord ou par e-mail au lieu de l'exploiter.
• Regardez la vidéo sur l'éthique. Start Here comprend un cours sur l'éthique en cybersécurité. Il mérite votre temps avant d'apprendre quoi que ce soit d'offensif.

Questions fréquentes