VulnHub pour débutants : rooter votre première VM (2026)

Qu'est-ce que VulnHub ?

VulnHub est un catalogue gratuit de machines virtuelles volontairement vulnérables, créées par la communauté sécurité et hébergées en miroir sur vulnhub.com pour rester téléchargeables. Chaque machine est une cible autonome : vous l'importez dans VirtualBox ou VMware, vous l'attaquez depuis une autre VM, et vous récupérez les flags ou l'accès root que son auteur a cachés à l'intérieur.

La page « About » du projet résume l'objectif simplement : fournir du matériel qui permet à chacun d'acquérir une expérience pratique en sécurité informatique. La plupart des machines suivent le format boot-to-root. Vous partez avec un simple accès réseau, vous trouvez une porte d'entrée en tant qu'utilisateur peu privilégié, puis vous montez jusqu'à root.

Trois faits déterminent la bonne façon de l'utiliser aujourd'hui :

• OffSec en est propriétaire. Offensive Security, l'entreprise derrière l'OSCP, a annoncé le rachat le 29 juillet 2020 et a promis que tout le contenu VulnHub resterait gratuit (article de Help Net Security).
• C'est désormais une archive. L'entrée la plus récente de la chronologie est Matrix-Breakout: 2 Morpheus de Jay Beale, publiée le 11 juillet 2022. Rien n'a été ajouté depuis.
• L'archive fonctionne toujours. Les miroirs, les sommes de contrôle et les liens vers les walkthroughs sont toujours en ligne sur vulnhub.com en octobre 2026.

VulnHub vaut-il encore le coup en 2026 ?

Oui, avec une réserve. Les logiciels de la plupart des machines ont des années de retard, donc vous exploiterez de vieux plugins WordPress, de vieilles versions de Samba et de vieux noyaux. Pour apprendre la méthodologie, ça suffit : énumérer, trouver un point d'entrée, élever ses privilèges. C'est moins utile si vous voulez vous entraîner sur des technologies modernes comme l'authentification JWT, les métadonnées cloud ou les évasions de conteneurs.

Là où VulnHub bat encore presque tout, c'est la maîtrise totale. La VM est sur votre disque. Vous pouvez en prendre un instantané, la casser, la restaurer et l'attaquer à 2 h du matin dans un avion sans Wi-Fi. Monter ce lab vous apprend aussi le réseau virtuel, dont vous aurez besoin plus tard de toute façon.

Ce qu'il vous faut avant de télécharger quoi que ce soit

Un lab VulnHub, ce sont deux machines virtuelles qui communiquent sur un réseau privé : votre machine d'attaque (en général Kali Linux) et la cible. Avant de commencer, vérifiez que votre configuration supporte les deux.

• Un hyperviseur : VirtualBox est gratuit et c'est avec lui que la plupart des auteurs VulnHub testent leurs machines. VMware Workstation et Fusion fonctionnent aussi, mais certaines machines (The Planets: Earth, par exemple) précisent qu'elles n'ont été testées que sur VirtualBox.
• Une VM d'attaque : l'image officielle Kali Linux pour VirtualBox vous évite une installation. Parrot Security convient également.
• Assez de mémoire pour deux VM en même temps : votre système hôte, Kali et la cible ont tous besoin de RAM simultanément. Si votre portable peine déjà avec un navigateur et une VM, un lab dans le navigateur sera moins pénible.
• De l'espace disque : les cibles vont de 186 Mo (Kioptrix: Level 1) à 2,6 Go (Basic Pentesting: 1), et Kali est bien plus lourd que n'importe laquelle d'entre elles.

Comment installer VulnHub dans VirtualBox, étape par étape

Voici la configuration qui évite les deux problèmes classiques des débutants : « je ne trouve pas l'IP de la cible » et « j'ai mis par erreur une machine vulnérable sur mon réseau domestique ».

1. Téléchargez et vérifiez. Récupérez la machine depuis sa page VulnHub (utilisez le lien Mirror si le lien d'origine de l'auteur est mort). Chaque page indique une somme de contrôle MD5 et SHA1. Lancez sha1sum file.ova sous Linux ou shasum file.ova sous macOS et comparez.
2. Décompressez si besoin. Un fichier .ova s'importe directement. Un .zip ou un .rar (c'est le cas de DC-1 et de Kioptrix) doit d'abord être extrait, et peut contenir des fichiers VMware plutôt qu'un .ova.
3. Importez. Dans VirtualBox, utilisez Fichier > Importer un appareil virtuel et sélectionnez le .ova ou le .ovf.
4. Passez le réseau en privé hôte. Ouvrez Configuration > Réseau sur la cible et réglez la carte 1 sur Réseau privé hôte (Host-only Adapter). Certaines machines sont livrées en accès par pont (l'auteur de DC-1 le précise sur sa page), ce qui placerait une box vulnérable sur votre vrai réseau. Changez-le avant le premier démarrage.
5. Mettez Kali sur le même réseau. Donnez à votre VM Kali une carte en réseau privé hôte sur le même réseau. Gardez une seconde carte NAT sur Kali seulement si vous avez besoin d'Internet pour les mises à jour. La cible n'en a jamais.
6. Prenez un instantané des deux VM. Faites un snapshot de la cible avant d'y toucher. Si un exploit raté casse un service, restaurez et recommencez en quelques secondes.
7. Démarrez la cible et laissez-la sur l'écran de connexion. Vous n'êtes pas censé vous connecter depuis la console. À la question « quel est le mot de passe ? », la FAQ de VulnHub répond que c'est justement le but de l'exercice.

Par défaut, le réseau privé hôte de VirtualBox utilise la plage 192.168.56.0/24, avec votre hôte en 192.168.56.1. La plupart des machines VulnHub utilisent DHCP, donc la cible récupère automatiquement une adresse dans cette plage. Chaque page de machine comporte une section Networking qui indique si elle attend du DHCP ou une IP statique.

Trouver la cible et lancer votre premier scan

Votre première vraie tâche sur une box VulnHub, c'est de la trouver. La cible ne vous donne pas son IP, vous la découvrez donc comme sur un vrai réseau interne.

Depuis Kali, vérifiez sur quel réseau vous êtes, puis balayez-le :

ip a                                   # note your eth interface on 192.168.56.x
sudo netdiscover -r 192.168.56.0/24    # ARP sweep of the host-only network
nmap -sn 192.168.56.0/24               # or a ping sweep with Nmap

Sur un réseau privé hôte, vous verrez en général l'hôte (.1), le serveur DHCP de VirtualBox, votre propre adresse Kali et un nouvel hôte : la cible. Petite astuce : les cartes réseau VirtualBox ont des adresses MAC qui commencent par 08:00:27, que netdiscover affiche avec le nom de fabricant « PCS Systemtechnik GmbH ». Tout le reste de la liste n'est donc pas l'une de vos VM.

Ensuite, scannez la cible correctement :

nmap -sC -sV -p- -oN target.nmap 192.168.56.103

Cette commande teste les 65 535 ports TCP (-p-), identifie les versions des services (-sV), lance les scripts par défaut (-sC) et enregistre le résultat dans un fichier que vous relirez dix fois. Sur un réseau privé hôte local, elle se termine généralement en une ou deux minutes, un avantage discret de VulnHub sur les labs distants. Si ces options sont nouvelles pour vous, gardez notre aide-mémoire Nmap ouvert dans un autre onglet.

Les 5 meilleures machines VulnHub pour débutants

Avec des centaines d'entrées et des niveaux de difficulté attribués par des auteurs qui ne s'accordent pas toujours entre eux, choisir sa première box est plus difficile qu'il ne devrait l'être. Ces cinq-là ont des descriptions claires, une conception adaptée aux débutants et beaucoup de write-ups communautaires pour les moments où vous êtes vraiment bloqué.

1. Basic Pentesting: 1

Josiah Pierce l'a conçue pour le club de sécurité de son université, et la description indique qu'elle est spécialement pensée pour les nouveaux venus en test d'intrusion. Elle compte plusieurs vulnérabilités à distance et plusieurs vecteurs d'élévation de privilèges, donc une fois root, revenez en arrière et trouvez un second chemin. Cette habitude vaut plus que la box elle-même. Elle a été testée sur VirtualBox, ce qui en fait la première importation la plus sûre.

2. DC-1

DC-1 est une machine Debian 32 bits avec cinq flags, et son auteur a glissé des indices dans les premiers, spécialement pour les débutants. Les joueurs expérimentés vont directement à root. Pas vous : lisez chaque flag, car chacun vous oriente vers la technique suivante. Pensez à la passer de l'accès par pont au réseau privé hôte avant de la démarrer.

3. The Planets: Earth

L'une des dernières machines ajoutées à VulnHub (novembre 2021). L'auteur la décrit comme facile, mais du côté difficile de « facile », avec un flag user et un flag root. C'est une bonne deuxième ou troisième box, car elle récompense une énumération web soigneuse plutôt que les exploits lancés à l'aveugle, et elle n'annonce que la compatibilité VirtualBox.

4. Mr-Robot: 1

Inspirée de la série télévisée, avec trois clés de plus en plus difficiles à trouver. L'auteur la classe débutant à intermédiaire et précise qu'elle ne demande ni exploitation avancée ni rétro-ingénierie. C'est la box la plus populaire de cette liste, ce qui veut dire que les spoilers sont partout. Évitez de chercher son nom avant d'avoir fini.

5. Kioptrix: Level 1

La plus ancienne machine de la liste (2010) et un passage obligé. Son objectif : devenir root par tous les moyens possibles. Notre avis franc : n'en faites pas votre première importation. Elle est fournie en .rar plutôt qu'en .ova prêt à l'emploi, et faire démarrer proprement une VM de 16 ans relève plus de la leçon de réseau que de la leçon de hacking. Revenez-y quand votre lab fonctionne.

Comment attaquer une box VulnHub sans lire le walkthrough

Chaque page VulnHub renvoie vers des walkthroughs de la communauté, et c'est à la fois le meilleur et le pire de la plateforme. Lisez-en un trop tôt et vous apprenez la solution de cette box, pas comment trouver des réponses.

En pratique, les débutants qui progressent le plus vite suivent une routine simple :

1. Énumérez tout avant d'exploiter quoi que ce soit. Scan complet des ports, puis chaque répertoire web, chaque partage, chaque chaîne de version. Notez tout dans un seul fichier de notes par box.
2. Cherchez des versions, pas des noms de box. Tapez « Drupal 7 exploit » ou la version exacte du service remontée par Nmap, jamais « DC-1 walkthrough ».
3. Lancez un minuteur. Accordez-vous 45 minutes par idée. Si rien ne bouge, relisez vos notes de l'étape 1 : la réponse est presque toujours quelque chose que vous aviez déjà trouvé et ignoré.
4. Jetez un œil, ne lisez pas. Quand vous ouvrez un walkthrough, lisez seulement le titre suivant, puis fermez-le et continuez seul.
5. Élevez vos privilèges avec méthode. Une fois un shell obtenu, vérifiez les droits sudo, les binaires SUID, les tâches cron et les fichiers modifiables avant de tenter des exploits noyau. Le chapitre sur l'énumération manuelle du cours HackerDNA sur l'élévation de privilèges Linux passe en revue chacune de ces vérifications dans l'ordre.
6. Rédigez votre propre write-up court. Trois paragraphes : comment vous êtes entré, comment vous êtes monté en privilèges, ce que vous avez raté. L'auteur de Basic Pentesting le demande explicitement, et c'est ce qui transforme une box résolue en compétence réutilisable.

Si vous n'êtes pas encore à l'aise avec le scan et l'énumération, le chapitre sur la reconnaissance active du cours HackerDNA de test d'intrusion réseau couvre la découverte d'hôtes et le scan que vous répéterez sur chaque machine VulnHub.

Les alternatives à VulnHub quand l'installation vous bloque

VulnHub est le bon outil quand vous voulez vous entraîner hors ligne avec un lab que vous contrôlez entièrement. Quand vous voulez du contenu neuf, de l'accompagnement ou zéro installation, ces options conviennent mieux :

OffSec PG Play est le substitut le plus proche. Sa page Proving Grounds annonce plus de 50 labs avec des machines dédiées conçues par la communauté VulnHub, jouables depuis une VM Kali dans le navigateur avec une limite de 3 heures. Beaucoup des box que vous téléchargeriez sur VulnHub y sont, déjà lancées.

Vulhub est un projet différent que l'on confond sans arrêt avec VulnHub. C'est une collection open source d'environnements Docker vulnérables prêts à l'emploi, chacun construit autour d'une vraie vulnérabilité. Idéal pour étudier une CVE précise, mais il n'y a ni box à rooter ni flag à capturer.

HackerDNA garde le format que VulnHub a popularisé (trouver une entrée, récupérer le flag user, élever ses privilèges, récupérer le flag root) et supprime l'installation. Les labs tournent dans le navigateur avec un terminal d'attaque inclus, et beaucoup proposent des questions guidées qui valident votre progression en chemin. Quand le lab Commandes Nmap vous paraît facile, Infiltrator est une bonne étape suivante : forgez un jeton de connexion, prenez pied sur le serveur et montez jusqu'à root.

Pour une comparaison plus large des plateformes payantes et gratuites, consultez notre sélection d'alternatives à Hack The Box.

Considérations légales et éthiques

• Traitez chaque téléchargement comme du code non fiable. La FAQ de VulnHub est claire : le site ne peut pas vérifier les machines qui lui sont soumises, et une VM inconnue pourrait tenter d'attaquer votre hôte ou votre réseau. Vérifiez les sommes de contrôle et gardez les cibles isolées.
• Ne mettez jamais une VM vulnérable en accès par pont. La FAQ recommande de ne pas lancer ces machines sur un réseau domestique, un réseau de production ou tout réseau avec accès à Internet. Le réseau privé hôte existe pour ça.
• Surveillez l'IP de votre cible. Une faute de frappe dans un sous-réseau peut diriger votre scanner vers un vrai appareil. Confirmez la cible avant chaque exploit, surtout si Kali a aussi une carte NAT.
• Limitez vos write-ups aux machines de lab. Publier un walkthrough VulnHub est bienvenu. Publier des techniques utilisées contre des systèmes que vous n'aviez pas le droit de tester ne l'est pas.

Questions fréquentes