Hacker101 CTF (2026): Guia das Flags aos Convites Privados

O que é o Hacker101?

O Hacker101 é um curso online e gratuito de segurança web mantido pela HackerOne, a plataforma de bug bounty. Ele junta videoaulas sobre hacking web com o CTF do Hacker101, um jogo de capture the flag que a HackerOne descreve como a atividade prática oficial do curso. Você entra com uma conta gratuita da HackerOne, e não existe plano pago.

O site tem duas metades, e os iniciantes costumam notar só uma delas.

• Os vídeos. O site do Hacker101 organiza as aulas em trilhas, entre elas Hacker101 for Newcomers, Burp Suite, Web Hacking, Mobile Hacking, Cryptography e uma Pentest Series. Dá para assistir na ordem que você quiser.
• O CTF. Um site separado, o ctf.hacker101.com, hospeda os níveis. Cada um é uma pequena aplicação vulnerável que você inicia sob demanda e ataca pelo navegador. A maioria é web, com alguns níveis de Android e de binários nativos para mais tarde.
• A comunidade. O Hacker101 mantém um servidor no Discord, e o guia de sucesso para hackers da própria HackerOne manda os iniciantes para lá quando travam.

O público fica claro pelo material. O Hacker101 foi criado para transformar programadores e iniciantes curiosos em caçadores de bugs, então quase tudo o que ele ensina é segurança de aplicações web. Esse foco é a maior força dele e, como você vai ver mais abaixo, também o principal limite.

Como funciona o CTF do Hacker101

O CTF do Hacker101 é um jogo no estilo jeopardy: uma lista de níveis, cada um escondendo uma ou mais flags, e pontos para cada flag enviada. Você joga sozinho, no seu ritmo, sem relógio correndo. É o formato com menos pressão que existe, e se capture the flag é novidade para você, o nosso guia de CTF para iniciantes explica o básico primeiro.

Para começar são quatro passos, segundo a documentação da HackerOne:

1. Entre com uma conta da HackerOne. Crie uma na HackerOne se ainda não tiver. É a mesma conta que você vai usar depois para enviar relatórios de bugs reais.
2. Autorize o CTF. O Hacker101 pede acesso ao seu perfil público na HackerOne e às suas flags, para que os pontos acompanhem a sua identidade de hacker.
3. Escolha um nível. A lista de níveis mostra a dificuldade de cada um, os pontos por flag, as habilidades envolvidas e quantas flags você já encontrou.
4. Clique em Go. O site sobe uma instância privada daquela aplicação para você. Reiniciar uma instância lenta ou quebrada não faz você perder nenhuma flag já capturada.

Uma flag é uma longa string aleatória cercada por marcadores: ela começa com ^FLAG^ e termina com $FLAG$. Quando você vir esse padrão em uma página, em uma resposta ou no código-fonte, copie tudo e envie. As flags podem estar escondidas em páginas, arquivos, bancos de dados ou código-fonte, e é por isso que as instruções do próprio CTF mandam verificar cada página, cada botão e cada campo.

A dificuldade vai de Trivial a Expert, e os pontos por flag sobem junto. Na lista de níveis, o aquecimento Trivial vale 1 ponto, os níveis Easy valem de 2 a 4 pontos por flag, os Moderate de 3 a 6, os Hard 7 ou 9, e os Expert 9 ou 13. Os pontos são definidos nível a nível, então dois níveis Easy podem valer quantias diferentes.

As dicas já vêm embutidas. Clique no link Hints ao lado do botão Go de um nível e você recebe uma série de empurrões, normalmente de três a cinco por nível. Cada dica seguinte fica atrás de um cronômetro mais longo, o que é uma boa sacada: você é obrigado a ficar com o problema antes de a próxima pista aparecer.

A regra dos 26 pontos: das flags do CTF aos convites privados de bug bounty

Assim que você soma 26 pontos no CTF do Hacker101, você fica elegível para receber convites de programas privados de bug bounty na HackerOne. Tanto a página de primeiros passos do Hacker101 quanto a documentação da HackerOne informam esse limite, e é por causa dele que esse CTF vale mais do que a maioria dos jogos gratuitos de prática.

Os programas privados importam por causa da concorrência. Um programa público fica aberto para todos os caçadores da plataforma, então os bugs fáceis costumam ser reportados poucas horas depois do lançamento, e a primeira descoberta válida de um iniciante muitas vezes é marcada como duplicada. Um programa privado funciona só com convite, com muito menos gente olhando para os mesmos alvos.

Quando a HackerOne lançou a versão atual do CTF em 2018, o anúncio dizia que cada 26 pontos a mais rendia outro convite. Trate isso como um detalhe da época do lançamento: a documentação de hoje só promete a elegibilidade aos 26 pontos, não um número fixo de convites.

Mantenha expectativas honestas sobre o que é um convite:

• É elegibilidade, não garantia. Os convites dependem de quais programas estão recrutando. Algumas pessoas recebem um rápido, outras esperam.
• Não é um hacking mais fácil. Um programa privado é um sistema real em produção. Os bugs não vêm com etiqueta e nada te diz que existe uma flag.
• Não é motivo para correr. O guia de sucesso para hackers da HackerOne recomenda fazer o CTF inteiro mesmo depois de receber um convite, porque os níveis que você pula são habilidades que vão faltar nos alvos reais.

Leia as regras de qualquer programa que você aceitar antes de enviar uma única requisição. Escopo, tipos de teste proibidos e regras de divulgação ficam na política do programa, e desrespeitá-las pode te tirar do programa ou da plataforma.

Seus primeiros níveis no CTF do Hacker101, em ordem

A lista de níveis não vem ordenada do mais fácil para o mais difícil, e os níveis difíceis aparecem misturados com os fáceis. Esta é a ordem que daríamos a um amigo, com os pontos que cada um vale. Damos a ideia por trás de cada nível, não as respostas. Quem manda nos valores de pontos atuais é a lista de níveis, não este guia.

1. A little something to get you started (Trivial, 1 ponto)

Uma flag, uma lição: a página que você vê não é a página inteira. Abra o código-fonte (Ctrl+U na maioria dos navegadores) e olhe tudo o que a página carrega, não só o texto que ela mostra. Se um arquivo é referenciado, você pode pedir esse arquivo diretamente.

2. Micro-CMS v1 (Easy, 4 flags de 2 pontos cada)

Um sistema de gerenciamento de conteúdo minúsculo, em que você cria e edita páginas. É o melhor nível para iniciantes do site, porque cada flag ensina uma classe de bug diferente:

• Controle de acesso. As páginas têm IDs numéricos. Repare quais números estão faltando e a diferença entre "not found" e "forbidden". Depois pense em que outras ações existem para uma página além de visualizá-la.
• Injeção de SQL. A dica diz para mexer em todas as entradas. O ID da página na URL também é uma entrada.
• XSS armazenado, duas vezes. A aplicação bloqueia tags script. Pergunte-se em que outro lugar o título da sua página aparece no site, e quais outros elementos HTML conseguem rodar JavaScript por meio de um manipulador de eventos.

3. Petshop Pro (Easy, 3 flags de 3 pontos cada)

Uma loja online com carrinho e checkout. Observe o que o navegador envia na hora de pagar, porque lojas que confiam no cliente têm problemas de preço. Outra flag fica atrás de uma página que o menu nunca mostra, protegida por um login cujas mensagens de erro falam mais do que deveriam. A última te faz pensar em onde os dados que você digita aparecem de novo.

4. Postbook (Easy, 7 flags de 4 pontos cada)

Uma pequena rede social. Com 28 pontos em jogo, o Postbook sozinho pode te levar além da marca de 26 pontos, e ele é um curso intensivo de controle de acesso: os posts de quem você consegue ler, os posts de quem você consegue editar, e o que acontece quando você muda um ID que a aplicação esperava que você deixasse quieto. Se for jogar direito um único nível, jogue este.

Faça a conta: o nível Trivial (1) mais o Micro-CMS v1 (8) e o Petshop Pro (9) somam 18 pontos, e duas flags do Postbook te levam além dos 26. É uma meta realista para a sua primeira semana, sem tocar em nenhum nível Moderate.

5. Depois dos 26: Micro-CMS v2 e os níveis Moderate

O Micro-CMS v2 (Moderate, 3 flags de 3 pontos cada) é a continuação reforçada do v1: as correções óbvias já estão lá, então você precisa cavar mais fundo, incluindo um formulário de login que vaza mais do que deveria. Depois disso, Cody's First Blog, Photo Gallery e TempImage são bons próximos passos, assim como os níveis BugDB se você quiser uma introdução ao GraphQL. Deixe o Encrypted Pastebin e os níveis Model E1337 para bem mais tarde. Eles são classificados como Hard ou Expert e exigem conhecimentos de criptografia ou matemática que a maioria dos iniciantes ainda não tem.

Os vídeos que valem a pena assistir primeiro

Dá para começar o CTF a frio, e muita gente faz isso. Mesmo assim, você vai mais longe e mais rápido com algumas horas de vídeo antes. A página de primeiros passos do Hacker101 sugere esta ordem:

1. Hacker101 for Newcomers. Fundamentos de aplicações web, a mentalidade hacker e como escrever um relatório que a equipe de triagem consiga usar.
2. Burp Suite. Como configurar e usar o proxy em que praticamente todo caçador de bugs web trabalha.
3. Web Hacking. As principais classes de vulnerabilidade, que correspondem quase uma a uma aos primeiros níveis do CTF.
4. Escrita de relatórios e regras da comunidade. O código de conduta, a calculadora de severidade CVSS e quando pedir ajuda.

O Burp Suite é a ferramenta que mais muda a sua experiência no CTF. Dá para resolver o nível Trivial e quase todo o Micro-CMS v1 com o navegador e o DevTools, mas Petshop Pro e Postbook ficam bem mais fáceis quando você consegue segurar uma requisição, mudar um valor e reenviar. O nosso tutorial de Burp Suite para iniciantes deixa a Community Edition interceptando tráfego em uns dez minutos.

Uma ressalva: alguns vídeos têm vários anos. As ideias envelheceram bem, já que injeção de SQL e XSS funcionam do mesmo jeito, mas menus e capturas de tela nas demonstrações de ferramentas podem não bater com o que você vê hoje.

Quando você travar: dicas, writeups e Discord

Centenas de pessoas já publicaram writeups do Hacker101, então toda resposta está a uma busca de distância. Essa é a armadilha. Uma flag copiada de um post de blog te dá pontos e não te ensina nada, e o convite dos 26 pontos não vale nada se você não consegue achar o mesmo bug em um programa real.

Uma regra que funciona bem:

• 1Use primeiro as dicas embutidas. Elas foram escritas para orientar, não para resolver. Leia uma e volte para a aplicação.
• 2Anote três coisas que você tentou. Antes de abrir qualquer writeup, liste três tentativas e por que cada uma falhou. Se não conseguir listar três, você ainda não tentou de verdade.
• 3Leia o writeup de uma flag só. Feche assim que entender a ideia e encontre a flag por conta própria. Nunca leia adiante a próxima flag.
• 4Pergunte no Discord mostrando suas tentativas. "Tentei X e Y na página de edição e recebi um 403" ganha respostas úteis. "Alguma dica para a flag 2?" geralmente não.

Na prática, quem empaca no Hacker101 raramente está sem técnica. Está sem anotações. Mantenha um arquivo de texto por nível com cada URL, parâmetro, mensagem de erro e comportamento estranho que você notar. Na terceira flag do Postbook, esse arquivo faz metade do trabalho, e é o mesmo hábito que deixa um relatório de bug bounty fácil de escrever mais tarde.

Hacker101 x outras opções gratuitas de prática

O Hacker101 não é o único lugar gratuito para começar, e não é a melhor escolha para todo mundo. Veja como ele se compara às outras opções que os iniciantes costumam considerar:

Nossa opinião: se o seu objetivo é bug bounty, o Hacker101 deve estar na sua lista independentemente do que mais você usar, porque nenhuma outra opção desta tabela te dá um caminho para programas privados. Se o seu objetivo é competir em eventos de CTF, ele é estreito demais sozinho. CTFs ao vivo incluem criptografia, forense, engenharia reversa e exploração de binários, e o Hacker101 mal toca nesses assuntos.

O que o Hacker101 não vai te ensinar

Os níveis do Hacker101 são aplicações pequenas, com um único propósito. Cada uma é construída em torno de um punhado de bugs, e a lista de níveis diz quantas flags existem. Alvos reais fazem o contrário: milhares de endpoints, nenhuma contagem de flags, e a maior parte do seu tempo gasta em reconhecimento e em funcionalidades que acabam se mostrando seguras.

Vale a pena preencher três lacunas de propósito:

• Profundidade em uma classe de bug. Cada nível do Hacker101 toca em um bug uma única vez. A caça real recompensa quem conhece uma classe, como XSS ou controle de acesso, bem o bastante para achar as variações incomuns.
• Reconhecimento. O CTF te entrega o alvo. O bug bounty começa pela busca de subdomínios, endpoints e funcionalidades esquecidas, uma habilidade que os níveis quase não exercitam.
• Tudo o que está fora da web. Linux, redes, escalação de privilégios e forense ficam fora do escopo do Hacker101. Eles importam se você quer um emprego em pentest, e não só recompensas.

A solução é repetição estruturada em alvos novos. Pratique a mesma classe de bug em várias aplicações diferentes até reconhecê-la de cara, e depois leve esse instinto para o CTF e para o seu primeiro programa privado.

Considerações legais e éticas

• Ataque só as instâncias dos níveis. O CTF autoriza ataques às aplicações vulneráveis que ele sobe para você, não à plataforma que as hospeda.
• Leia a política de cada programa. Um convite privado é permissão para testar os ativos dentro do escopo, sob as regras que a empresa escreveu. O que está fora do escopo continua não autorizado.
• Nunca reutilize payloads do CTF em sites aleatórios. Digitar um payload de injeção de SQL em um site que você não tem permissão para testar é invasão de dispositivo informático, crime previsto no artigo 154-A do Código Penal (Lei 12.737/2012), seja qual for a sua intenção.
• Reporte, não explore. Em um programa real, prove o bug com o menor impacto possível, pare e escreva o relatório. Nunca acesse mais dados do que o necessário para demonstrar o problema.

Perguntas frequentes