Les labs de cybersécurité HackerDNA sont des environnements de hacking pratiques qui tournent sur de vraies machines virtuelles isolées - pas des simulations. Chaque lab vous place face à une cible volontairement vulnérable où vous pratiquez l'exploitation web, l'élévation de privilèges, le cassage de mots de passe, les attaques réseau et bien plus, avant de capturer un flag pour prouver que vous l'avez résolu.
Que vous prépariez l'OSCP, construisiez une carrière dans le test d'intrusion ou appreniez le hacking éthique depuis zéro, les labs sont classés de Très facile à Difficile pour que vous commenciez à votre niveau et progressiez. Créez un compte gratuit pour lancer votre première machine, suivre votre progression et grimper dans le classement mondial.
Lab
XP
Taux de Réussite
Joueurs
Très Facile
Capture the Flag 101 : trouver et soumettre votre premier flag
Trouvez votre premier flag, copiez-le et soumettez-le pour marquer des points.
Fondamentaux de la Sécurité
Capture The Flag CTF CTF Basics
Très Facile
Secrets in Source : voir le code source pour trouver le flag
Affichez le code de la page et trouvez le secret en commentaire.
Sécurité Web & API
View Source Code HTML Browser DevTools
Très Facile
Victoire rapide
Secrets in Source 2 : contourner la sécurité par l'obscurité
Déjouez le blocage du clic droit et des outils pour lire le code.
Sécurité Web & API
Client-Side Security Security Through Obscurity Browser DevTools
Très Facile
Hack the Login
Ouvrez les outils du navigateur, voyez ce que la page vérifie et entrez.
Sécurité Web & API
Authentication Bypass Broken Authentication Client-Side Security
Très Facile
Hack the Cookie : Attaque par Empoisonnement de Cookie
Décodez votre cookie de session, changez de rôle et devenez admin.
Sécurité Web & API
Cookie Poisoning Session Tampering Base64 Encoding
Très Facile
Boss
Lab de commandes Nmap : du scan de ports à l'escalade de privilèges
Scannez les ports, entrez par un service faible, passez root.
Réseau & Infrastructure
Nmap Nmap Commands Telnet
Facile
Boss
Infiltrator
Forgez un jeton de connexion, entrez, puis grimpez jusqu'à root.
Sécurité Web & API
JWT Manipulation SSH Exploitation Log Injection
Facile
Include me
Détournez le chargeur de fichiers pour lire ce qui est interdit.
Sécurité Web & API
PHP LFI
Facile
Victoire rapide
Anonymous
Connectez-vous en invité au serveur de fichiers et fouillez.
Réseau & Infrastructure
FTP
Facile
Spoof!
Falsifiez votre IP dans un en-tête et passez le contrôle d'accès.
Réseau & Infrastructure
IP SPOOFING
Facile
Cronpocalypse
Détournez une tâche planifiée et grimpez jusqu'à root.
Élévation de Privilèges & Post-Exploitation
SSH
Facile
Cassage de mots de passe - attaque par dictionnaire personnalisé
Construisez une liste de mots à partir du site et cassez le fichier.
Cryptographie
Password Cracking Custom Wordlist Wordlist Generation
Facile
Scheduled Sabotage
Connectez-vous en SSH, trouvez la tâche lancée en root et détournez-la.
Réseau & Infrastructure
Linux SSH File Enumeration
Facile
Victoire rapide
Packet Pursuit
Ouvrez une capture réseau et suivez les paquets jusqu'au secret.
Investigation Numérique & Réponse à Incident
Network Analysis Packet Capture Wireshark
Facile
Anonymous 2
Déclenchez la porte dérobée d'un serveur FTP et ouvrez un shell.
Réseau & Infrastructure
FTP Exploitation Backdoor Detection Network Services
Facile
Boss
FiPloit
Glissez un web shell au-delà du filtre d'upload et exécutez-le.
Investigation Numérique & Réponse à Incident
Local File Inclusion File Upload Bypass PHP Security
Moyen
Boss
Attaque SSRF : voler les identifiants des métadonnées cloud
Forcez le serveur à récupérer les clés cloud et lisez un secret.
Sécurité Cloud
SSRF Cloud Penetration Testing AWS IMDS
Moyen
Rétro-ingénierie : crackme de clé de licence
Lisez l'assembleur, cassez la vérification et codez un keygen.
Rétro-ingénierie & Exploitation Binaire
Reverse Engineering Binary Analysis Crackme
Moyen
Boss
Fuite Mythos - Exposition des brouillons d'un CMS headless
Récupérez un brouillon supprimé, puis volez son jeton pour devenir admin.
Sécurité Web & API
Web Exploitation Headless CMS API Enumeration
Moyen
Pickle Jar
Déposez un fichier pickle piégé, exécutez du code, puis devenez root.
Sécurité Web & API
Python Pickle Deserialization RCE
Moyen
Victoire rapide
ClearDesk
Changez un identifiant, lisez des fichiers interdits et devenez admin.
Sécurité Web & API
IDOR API Security Path Traversal
Moyen
Host Hijack
Falsifiez un en-tête pour empoisonner un lien, puis grimpez à root.
Sécurité Web & API
Host Header Injection Password Reset Poisoning Command Injection
Moyen
Hidden CMS Breach
Dénichez un CMS oublié, connectez-vous, exécutez du code, prenez le serveur.
Sécurité Web & API
Web Enumeration Web Security Authentication
Moyen
TechNova Infiltration
Repérez l'erreur exposée, cassez un accès et passez root.
Sécurité Web & API
Web Enumeration SSH Password Cracking
Moyen
Alpwned
Contournez la connexion par injection, puis montez du shell au root.
Sécurité Web & API
SQL Injection Authentication Bypass SSH
Moyen
Beyond Echo
Détournez une simple page PHP pour exécuter vos commandes sur le serveur.
Sécurité Web & API
PHP RCE
Moyen
Boss
Query Quake
Injectez une requête piégée dans la base et exécutez votre code.
Sécurité Web & API
MYSQLI RCE
Moyen
Victoire rapide
Traversed
Explorez l'historique d'un dépôt et récupérez le fichier perdu.
Investigation Numérique & Réponse à Incident
GIT
Moyen
Victoire rapide
Compromised 1
Entrez avec les identifiants d'usine, déployez un web shell, puis passez root.
Sécurité Web & API
Apache Tomcat Web Application Security WAR Deployment
Moyen
Boss
AlVault
Trouvez l'outil caché, lisez un fichier bloqué et montez jusqu'au root.
Sécurité Web & API
WEB
Moyen
RCE Playground
Contournez les filtres et lancez vos commandes sur le serveur.
Sécurité Web & API
Command Injection Input Validation Bypass Remote Code Execution
Moyen
Victoire rapide
Matsudo
Scannez le SSH, cassez un mot de passe faible, puis détournez sudo vers root.
Réseau & Infrastructure
SSH Brute Force Privilege Escalation
Difficile
Prompt Injection : jailbreaker un assistant IA
Glissez une commande cachée dans le chat pour détourner ses réponses.
Sécurité de l'IA
Prompt Injection LLM Security AI Red Teaming
Difficile
Pwnify - Test d'intrusion d'application web
Entrez dans l'appli, cassez les hachages et devenez root.
Sécurité Web & API
Web Application Security Mass Assignment Command Injection
Difficile
Boss
Hack the Box
Entrez par l'appli web puis exploitez un débordement pour root.
Rétro-ingénierie & Exploitation Binaire
Directory Fuzzing X-Forwarded-For Spoofing Bruteforce
Difficile
WP Ultimate
Enchaînez les failles d'une extension pour prendre tout le site.
Sécurité Web & API
WP
Difficile
FortiPy
Exploitez un bug de template dans une appli Python et passez root.
Sécurité Web & API
Web Application Security SSTI Flask Security
Difficile
Broken Chain
Enchaînez plusieurs failles web pour prendre tout le système.
Sécurité Web & API
IDOR Exploitation Zip Slip Vulnerability Server-Side Template Injection
Difficile
Compromised 2
Décompilez l'appli mobile pour entrer dans le système industriel.
Sécurité Mobile
Advanced Reconnaissance Android Reverse Engineering SCADA Exploitation
Difficile
Internal
Injectez une commande, ouvrez un shell et passez root via une capacité.
Sécurité Web & API
Command Injection Linux Capabilities Privilege Escalation
Défi
XOR Reuse
Devinez le début du message et servez-vous-en pour retrouver la clé XOR.
Cryptographie
Cryptography XOR Known-Plaintext Attack
Défi
Token Trust
Récupérez des clés OAuth fuitées et forgez-vous un jeton admin.
Sécurité Web & API
OAuth 2.0 API Security JWT
Défi
Victoire rapide
Fine Print
Changez le rendu de la page et lisez la note cachée dans le CSS.
Investigation Numérique & Réponse à Incident
CSS Media Queries Web Forensics
Défi
Phantom Text
Révélez les caractères Unicode invisibles cachés dans un simple article.
Investigation Numérique & Réponse à Incident
Unicode Steganography Web Forensics
Défi
Victoire rapide
Pratique des fondamentaux Linux
Parcourez l'arborescence et traquez les fichiers cachés avec grep et find.
Fondamentaux de la Sécurité
Linux Command Line File System Navigation
Défi
Shadow Cracker
Cassez des hachages de mots de passe Linux avec un dictionnaire.
Cryptographie
Password Cracking Linux Security John the Ripper
Défi
Windows Password Cracker
Cassez un lot de hachages NTLM à l'aide d'une liste de mots.
Cryptographie
Password Cracking Windows Security NTLM
Défi
Office Password Cracker
Extrayez le hash d'un document verrouillé et cassez-le hors ligne.
Cryptographie
Password Cracking Office Security Hash Extraction
Défi
Regex Bypass to SQLi
Contournez un filtre d'entrée fragile et extrayez les données par UNION.
Sécurité Web & API
SQL Injection Regex Bypass Input Validation
Défi
Git Exposed
Récupérez le dépôt oublié en ligne et ressuscitez les fichiers supprimés.
Investigation Numérique & Réponse à Incident
Git Version Control Source Code Analysis
Défi
Backup Hunter
Trouvez la sauvegarde oubliée qu'un admin a laissée sur le serveur web.
Sécurité Web & API
Web Enumeration File Discovery Reconnaissance
Défi
Victoire rapide
Type Juggling Bypass
Exploitez la comparaison laxiste de PHP pour entrer sans mot de passe.
Sécurité Web & API
Web Security PHP Type Juggling
Défi
Victoire rapide
Crack SHA1 Hash
Lancez une wordlist sur le hash et retrouvez le mot de passe.
Cryptographie
Cryptography Hash Cracking Password Analysis
Défi
Gratuit
Test d'injection SQL
Glissez du SQL dans un formulaire de connexion et entrez sans mot de passe.
Sécurité Web & API
SQL Injection Web Security Database Security
Défi
Gratuit
Hack This Site
Démêlez le JavaScript brouillé et trouvez comment passer le login.
Rétro-ingénierie & Exploitation Binaire
JavaScript Deobfuscation Client-Side Security
Défi
Victoire rapide
HTTP Smuggling
Analysez le trafic capturé et repérez la requête cachée dans une autre.
Investigation Numérique & Réponse à Incident
HTTP Protocol Request Smuggling Network Forensics
Défi
Email Header Forensics
Lisez les en-têtes du mail et retrouvez l'origine du hameçonnage.
Investigation Numérique & Réponse à Incident
Email Forensics Header Analysis Phishing Detection
Défi
Victoire rapide
SSRF Validator
Contournez le filtre d'URL et forcez le serveur à lire ses pages internes.
Sécurité Web & API
SSRF Web Security URL Manipulation
Défi
Vigenère Stego Hunt
Trouvez la clé cachée dans une image et cassez le chiffre classique.
Investigation Numérique & Réponse à Incident
Cryptography Steganography Classical Ciphers
Défi
Victoire rapide
Simple Directory Traversal
Sortez du dossier web avec ../ et lisez des fichiers normalement interdits.
Sécurité Web & API
Directory Traversal Path Injection File System Security
Défi
YAML Bomb
Envoyez une config YAML piégée et faites exécuter votre code par le parseur.
Sécurité Web & API
YAML Deserialization PyYAML Exploitation Configuration Injection
Défi
Victoire rapide
WebDAV Explorer
Téléversez votre fichier sur un serveur ouvert et prenez la main.
Sécurité Web & API
WebDAV Exploitation File Upload Directory Traversal
Défi
Prototype Pollution Hunter
Polluez le prototype d'un objet JavaScript et donnez-vous plus de droits.
Sécurité Web & API
Prototype Pollution Node.js Security API Security
Défi
Race Condition Hunter
Envoyez des requêtes en parallèle et dépensez deux fois le même argent.
Sécurité Web & API
Race Conditions Timing Attacks Concurrent Exploitation
Défi
Victoire rapide
IDOR Explorer
Changez un numéro dans le lien et ouvrez des fichiers qui ne sont pas à vous.
Sécurité Web & API
IDOR Parameter Manipulation Web Application Security
Défi
Victoire rapide
Header Hijacker
Réécrivez les en-têtes de votre requête et passez le contrôle d'accès.
Sécurité Web & API
HTTP Headers Security Bypass Web Application Security
Défi
Victoire rapide
Corporate Directory Hunt
Fouillez les dossiers cachés pour trouver le panneau admin.
Sécurité Web & API
Directory Enumeration Web Reconnaissance Administrative Panel Discovery
Défi
File Include Bypass
Contournez le filtre avec LFI et lisez ce qui est verrouillé.
Sécurité Web & API
Local File Inclusion Filter Bypass Apache Authentication
Défi
Cookie Forge
Modifiez votre jeton de session et connectez-vous en tant qu'admin.
Sécurité Web & API
JWT Cookie Manipulation Authentication Bypass
Défi
Button Activator
Ouvrez les DevTools, réactivez le bouton désactivé et récupérez le flag.
Sécurité Web & API
JavaScript Browser DevTools DOM Manipulation
Défi
GraphQL Gateway
Demandez à l'API de se décrire, puis interrogez ce qui vous est interdit.
Sécurité Web & API
GraphQL API Security Schema Introspection
Défi
DNS Tunneling Detective
Repérez le canal caché dans le trafic et reconstituez les données.
Investigation Numérique & Réponse à Incident
Network Forensics DNS Analysis Data Exfiltration
Défi
Caesar Shift Decoder
Décalez l'alphabet jusqu'à ce que le texte brouillé redevienne lisible.
Cryptographie
Cryptography Classical Ciphers Frequency Analysis
Défi
Victoire rapide
Registry Hijacker
Passez outre la connexion d'un registre Docker et prenez ses images.
Sécurité Cloud
Docker Registry API Authentication Bypass Container Security
Défi
SUID Privilege Hunter
Repérez un programme aux droits élevés et grimpez jusqu'à root.
Élévation de Privilèges & Post-Exploitation
SUID Binaries Privilege Escalation Command Injection
Défi
Victoire rapide
MongoDB Injector
Glissez un opérateur dans la connexion et entrez sans mot de passe.
Sécurité Web & API
NoSQL Injection MongoDB Authentication Bypass
Défi
Redis Cache Poisoner
Injectez des retours à la ligne dans une note pour piloter le cache.
Sécurité Web & API
CRLF Injection Redis Command Injection Cache Poisoning
Défi
Victoire rapide
LDAP Injector
Injectez un filtre LDAP pour vous connecter en admin sans mot de passe.
Sécurité Web & API
LDAP Injection Authentication Bypass Directory Services
Défi
Template Injector
Détournez une recherche et transformez son moteur en shell.
Sécurité Web & API
Server-Side Template Injection Flask Security Jinja2 Exploitation
Défi
IP Spoofing Admin
Faites croire au portail que vous venez de l'interne et entrez en admin.
Sécurité Web & API
Web Security HTTP Headers IP Spoofing
Défi
WEP Cracker
Collectez assez de paquets sans fil et les stats révèlent la clé.
Investigation Numérique & Réponse à Incident
Wireless Security WEP Cracking RC4 Analysis
Défi
Victoire rapide
Registry Hunter
Trouvez comment un malware survit aux redémarrages et décodez ce qu'il cache.
Rétro-ingénierie & Exploitation Binaire
Digital Forensics Windows Registry Persistence Analysis
Défi
WiFi Password Cracker
Capturez la poignée de main et testez une liste de mots sur le WiFi.
Investigation Numérique & Réponse à Incident
WiFi Security WPA Cracking Dictionary Attacks
Défi
Book Cipher Challenge
Associez chaque nombre à un mot du texte et lisez le message caché.
Cryptographie
Cryptography Classical Ciphers Pattern Recognition
Défi
Victoire rapide
Admin Portal Breach
Fouillez le code source, cassez un hash MD5 et connectez-vous en admin.
Sécurité Web & API
Client-Side Security MD5 Cracking Source Code Analysis
Défi
Git Secrets Hunter
Remontez les anciens commits jusqu'à tomber sur un secret oublié.
Investigation Numérique & Réponse à Incident
Git Forensics Version Control Security Repository Analysis
Défi
Corporate Backup Deserializer
Forgez un pickle piégé et exécutez votre code via un import de sauvegarde.
Sécurité Web & API
Python Pickle Enterprise Deserialization Corporate Backup Systems
Défi
ZIP Cracker
Lancez une liste de mots contre une archive verrouillée jusqu'à l'ouvrir.
Cryptographie
ZIP Password Cracking John the Ripper fcrackzip
Défi
KeePass Breaker
Forcez un coffre de mots de passe quand les outils habituels échouent.
Cryptographie
KeePass 4.x Security Direct Brute Force Password Manager Assessment
Défi
Template Injection
Glissez du code dans un modèle et faites-le exécuter au serveur.
Sécurité Web & API
Server-Side Template Injection Jinja2 Flask Security
Défi
PDF Password Cracker
Lancez une liste de mots contre un PDF verrouillé jusqu'à l'ouvrir.
Cryptographie
PDF Security Password Cracking Dictionary Attacks
Défi
Shell Command Scanner
Glissez votre commande shell dans un outil de scan et lisez le serveur.
Sécurité Web & API
Command Injection Web Security Shell Commands
Défi
LFI Log Poison
Cachez un code dans votre user-agent, puis incluez le journal pour l'exécuter.
Investigation Numérique & Réponse à Incident
Local File Inclusion User-Agent Log Poisoning Remote Code Execution
Défi
NoSQL Injection
Détournez un filtre de base de données pour afficher les fiches masquées.
Sécurité Web & API
NoSQL Injection MongoDB Visibility Controls
Défi
File Upload Bypass
Déguisez un web shell en image et exécutez des commandes serveur.
Sécurité Web & API
File Upload Web Security Bypass Techniques
Défi
Victoire rapide
URL Scanner
Poussez un lecteur d'URL à vous livrer des accès au cloud.
Sécurité Cloud
SSRF Server-Side Request Forgery AWS Metadata
Défi
CSRF Bank Transfer
Créez un formulaire piégé et faites transférer de l'argent.
Sécurité Web & API
CSRF Cross-Site Request Forgery Session Security
Défi
XSS Playground
Glissez un script dans la page et volez la session d'un autre utilisateur.
Sécurité Web & API
XSS Cross-Site Scripting Stored XSS
Défi
JWT Claims Manipulation
Cassez le secret du jeton, réécrivez votre rôle et sa durée, puis signez-le.
Sécurité Web & API
JWT Claims Manipulation Privilege Escalation
Défi
SQL Injection
Posez des questions par oui ou non à la base et reconstituez ses secrets.
Sécurité Web & API
SQL Injection Database Security Web Security
Défi
XXE Exposed
Forgez une entité XML qui pousse le serveur à vous livrer ses fichiers.
Sécurité Web & API
XXE XML Security File Disclosure
Défi
JWT Algo Confusion
Changez l'algorithme du jeton et signez-le avec la clé publique du serveur.
Sécurité Web & API
JWT Algorithm Confusion RS256
Défi
JWT Bypass
Modifiez un jeton de connexion et faites-vous accepter sans signature valide.
Sécurité Web & API
JWT Web Security Token Authentication
Défi
Gratuit
Auth Bypass
Glissez une injection SQL dans le formulaire et entrez sans mot de passe.
Sécurité Web & API
SQL Injection Authentication Bypass Web Security
Défi
Gratuit
Ping Pwn
Glissez une commande shell dans un outil de ping et faites-la exécuter.
Sécurité Web & API
Command Injection Web Exploitation Service Discovery
Défi
Gratuit
Log Hunter
Fouillez les journaux HTTP pour repérer la requête qui trahit l'attaquant.
Investigation Numérique & Réponse à Incident
Log Analysis Web Security Incident Response
Défi
API Logic Flaw
Changez une valeur dans la requête et contournez la connexion de l'API.
Sécurité Web & API
API Security Logic Flaw Authentication Bypass
Défi
Gratuit
Path Traversal
Sortez du dossier web et lisez des fichiers qui devraient rester cachés.
Sécurité Web & API
Path Traversal CGI Web Security
Défi
Victoire rapide
Flask Error
Provoquez une erreur et fouillez la page de debug pour trouver le secret.
Sécurité Web & API
Flask Debug Mode Python
Défi
Victoire rapide
Rail Fence
Défaites un chiffrement en zigzag et lisez le message brouillé.
Cryptographie
Cryptography Transposition Cipher Rail Fence
Défi
Sonic Cipher
Extrayez un message caché des bits de poids faible d'un fichier audio.
Investigation Numérique & Réponse à Incident
Steganography Audio Analysis LSB
Défi
Pixel Puzzler
Extrayez un message caché dans les bits de poids faible d'une image.
Investigation Numérique & Réponse à Incident
Steganography Image Analysis LSB
Défi
Victoire rapide
PDF Trap
Fouillez les métadonnées et couches cachées d'un PDF pour trouver son secret.
Investigation Numérique & Réponse à Incident
PDF Forensics File Analysis Metadata
Défi
Victoire rapide
Blockchain Secrets
Remontez une transaction Bitcoin et décodez le message caché dedans.
Investigation Numérique & Réponse à Incident
Blockchain Analysis Bitcoin OP_RETURN
Défi
Corporate Breach 2
Détournez le chemin du fichier pour lire ce qui est bloqué.
Sécurité Web & API
Web Security PHP LFI
Défi
Corporate Breach
Lisez un fichier caché via LFI, cassez le mot de passe et connectez-vous.
Sécurité Web & API
Web Security PHP LFI
Défi
Victoire rapide
DNS Exfil
Lisez les requêtes de noms dans la capture et décodez les données volées.
Investigation Numérique & Réponse à Incident
Network Analysis DNS Packet Analysis
Défi
Crypto Cipher
Cassez le vieux code secret et lisez le message caché.
Cryptographie
Cryptanalysis Classical Crypto Pattern Recognition
Défi
Session Switch
Modifiez votre session et faites-vous passer pour un administrateur.
Sécurité Web & API
Web Security Session Management Authentication
Défi
Snapchat Exposed
Trouvez un serveur de build ouvert et faites-lui exécuter vos commandes.
Sécurité Web & API
Jenkins CI/CD DevOps
Défi
Red is Dead
Trouvez un serveur Redis exposé et décodez les données oubliées dedans.
Investigation Numérique & Réponse à Incident
Network Reconnaissance Service Discovery Database Forensics
Défi
Memory Forensics
Fouillez un dump mémoire et décodez la chaîne cachée en ROT13.
Rétro-ingénierie & Exploitation Binaire
Memory Forensics Binary Analysis Digital Forensics
Défi
API Breaker
Décodez votre jeton Base64, changez votre rôle et appelez l'API en admin.
Sécurité Web & API
API Security Web Hacking Logic Flaws
Défi
QR Code Quest
Décodez les QR codes cachés dans des images et récupérez les données.
Investigation Numérique & Réponse à Incident
QR Code Analysis Image Analysis Data Extraction
Défi
Base64 Detective
Fouillez le code de la page et décodez le Base64 caché sous vos yeux.
Sécurité Web & API
Base64 Web Inspection Browser DevTools
Défi
Victoire rapide
Binary Secrets
Ouvrez le fichier dans un éditeur hexa et lisez ce que cachent les octets.
Rétro-ingénierie & Exploitation Binaire
Binary Analysis Hex Editors Data Structures
Défi
Get the Password
Trouvez le hash dans le script de la page et retrouvez le mot de passe.
Cryptographie
JavaScript MD5 Rainbow Tables
Défi
Victoire rapide
Stego Hunt
Extrayez un message caché dans une image tout à fait banale.
Investigation Numérique & Réponse à Incident
Steganography Image Analysis Web
Défi
Victoire rapide
Hex Hunt
Repérez la chaîne hexadécimale dans le code et décodez-la en flag.
Sécurité Web & API
JavaScript Web Development Hexadecimal
Aucun lab ne correspond à ces filtres.
Effacer les filtres
Afficher plus
