Hacksplaining: aulas de hacking grátis (guia 2026)

O que é o Hacksplaining?

O Hacksplaining é um site de treinamento gratuito que ensina segurança web por meio de aulas interativas curtas. Em cada aula você faz o papel do atacante contra um site falso, vê a vulnerabilidade acontecer em animações e depois aprende como os desenvolvedores a evitam, com exemplos de código seguro em linguagens como Python, JavaScript, Java e Go.

O site é escrito por Malcolm McDonald, fundador e editor-chefe, que também escreveu o livro Grokking Web Application Security, da Manning. Ele existe há cerca de uma década: um artigo do i-programmer de 2016 já o descrevia como um site onde você "hackeia" um site de teste e vê a vulnerabilidade em gráficos animados. Hoje, a página inicial afirma ter mais de 500.000 alunos cadastrados (em julho de 2026).

Um detalhe importante desde já: o público real do Hacksplaining são desenvolvedores de software. O slogan é "Learn the attacks. Defend your code." (aprenda os ataques, defenda seu código), e empresas pagam por ele como treinamento de código seguro. Isso não o torna menos útil para quem quer ser hacker. Entender por que um código quebra é exatamente o que faz um bom pentester. Isso só explica o tom: cada aula termina mostrando como corrigir a falha, não como ir mais longe com ela.

O que as aulas cobrem

O catálogo de aulas tem 45 aulas, que podem ser filtradas por OWASP Top 10, PCI DSS e LLM. Agrupadas do jeito que um iniciante deveria enxergá-las:

• Clássicos de injeção: injeção de SQL, execução de comandos, execução remota de código, XML external entities, bombas XML e injeção de regex.
• Ataques no navegador: XSS armazenado, refletido e baseado em DOM, cross-site script inclusion, CSRF, clickjacking, injeção de CSS, CORS e redirecionamentos abertos.
• Falhas de login e de acesso: controle de acesso quebrado, escalação de privilégios, enumeração de usuários, fixação de sessão, IDs de sessão fracos, má gestão de senhas e mass assignment.
• Infraestrutura e rede: SSRF, directory traversal, falhas de upload de arquivos, envenenamento de DNS, SSL stripping, ataques de downgrade, subdomain squatting, falsificação de e-mail e negação de serviço.
• LLM e IA: prompt injection, divulgação de informações sensíveis, envenenamento de modelo e slopsquatting, o ataque recente em que hackers registram nomes de pacotes que as ferramentas de código com IA inventam.

O Hacksplaining é gratuito?

Sim, para uso individual. O FAQ do próprio Hacksplaining diz que ele "é gratuito para uso pessoal" e que só os recursos para equipes (painéis, acompanhamento de progresso da equipe e relatórios de conformidade) são pagos. Você pode ver a prévia de qualquer aula sem conta, mas precisa de uma conta gratuita para iniciar o lab interativo. O cadastro pede um e-mail, ou login com Google, GitHub ou Microsoft.

Veja o que você recebe em cada nível, conferido no site em outubro de 2026:

• Sem conta: prévias das aulas, a explicação escrita de cada vulnerabilidade e o glossário.
• Conta gratuita: os 45 labs interativos, os guias de prevenção, os quizzes e o acompanhamento de progresso entre as aulas.
• Plano Team (US$ 50 por usuário por ano): painéis de administração, currículo personalizado, SSO, acesso à API, além de certificados e relatórios de conformidade para PCI DSS e ISO 27001. Há um teste gratuito de 14 dias, sem cartão de crédito.
• Auto-hospedado: aulas em formato SCORM para a plataforma de treinamento da própria empresa, com preço sob consulta.

Como aluno, você nunca vai precisar dos planos pagos. Eles existem para empresas que precisam provar a um auditor que seus desenvolvedores fizeram treinamento de segurança.

Como funciona uma aula do Hacksplaining

Toda página de aula começa com três pequenas notas (quão comum é a falha, quão fácil é explorá-la e quão grave é o impacto), uma definição curta e os requisitos do OWASP Top 10 e do PCI DSS aos quais ela se relaciona. Depois vêm as três partes que importam:

1. O lab interativo: um site simulado onde você executa o ataque passo a passo. A aula diz o que fazer em cada etapa e anima o que acontece no servidor.
2. O guia de prevenção: a mesma falha vista pelo lado do desenvolvedor, com o código vulnerável e o corrigido lado a lado.
3. O quiz: duas ou três perguntas. Ser aprovado no quiz marca a aula como concluída no seu acompanhamento de progresso.

As aulas também usam um elenco fixo de personagens, como o Savant, o Cowboy e o Hacker, que representam diferentes tipos de atacantes. Parece firula. Na prática, é o que torna as aulas memoráveis: você lembra da aula de XSS armazenado como "aquela em que o Mal, o atacante da aula, estraga um fórum de padeiros", e os detalhes voltam junto.

Passo a passo: a aula de injeção de SQL

A aula de injeção de SQL é por onde quase todo mundo começa, e mostra bem o estilo do Hacksplaining. Você ataca um formulário de login ligado a um banco de dados real rodando no seu navegador:

1. Quebre: você digita uma aspa simples ' no campo de senha. A aplicação dá erro.
2. Leia o erro: a aula mostra o log do servidor, onde um erro de sintaxe SQL revela que a sua entrada foi parar dentro de uma consulta.
3. Veja o código: você olha o código vulnerável que monta a consulta concatenando strings.
4. Explore: você digita ' or 1=1-- como senha e entra sem conhecê-la.

Por que funciona: a consulta vira algo como ... WHERE password = '' or 1=1--'. Como 1=1 é sempre verdadeiro, o banco devolve um usuário, e o -- transforma o resto da linha em comentário. O guia de prevenção mostra então a correção, as consultas parametrizadas, que o Hacksplaining chama de "a defesa mais confiável". Em Python, é a diferença entre montar uma consulta com uma f-string e passar o valor separadamente para cursor.execute().

Essa única aula ensina os três hábitos que todo hacker usa diariamente: cutucar um campo com um caractere especial, ler o erro com atenção e deduzir como deve ser o código por trás. Para as técnicas seguintes, como consultas UNION e injeção cega, nosso guia da PortSwigger Web Security Academy apresenta a plataforma gratuita que vai muito mais fundo.

Por quais aulas do Hacksplaining começar

O catálogo não foi organizado para iniciantes. Ele está em ordem alfabética, com as novidades no topo, então é fácil cair primeiro em buffer overflow ou envenenamento de DNS e se perder. Esta é a ordem que recomendamos para quem quer aprender hacking ético. Leva de três a quatro horas no total, ou seja, mais ou menos uma semana de horários de almoço:

1. SQL Injection: o exemplo mais claro de "minha entrada mudou o que o servidor faz". Comece aqui.
2. Cross-Site Scripting: a aula de XSS armazenado. Você vê um script escondido em um comentário de fórum rodar no navegador de outro usuário e entregar os cookies dele.
3. Reflected XSS: a mesma ideia, entregue por um link em vez de um comentário salvo.
4. Cross-Site Request Forgery: como uma página maliciosa faz o seu navegador executar ações em um site em que você está logado.
5. Directory Traversal: ler arquivos que o servidor nunca quis compartilhar, usando ../. É curta, e você nunca mais esquece.
6. Command Execution: seu primeiro contato com a execução de comandos do sistema operacional por um formulário web.
7. Broken Access Control: a categoria em primeiro lugar no OWASP Top 10:2025. Muitas vezes basta trocar um ID na URL.
8. User Enumeration: como uma página de login revela quais nomes de usuário existem, por diferenças mínimas nas mensagens de erro.

Depois dessas oito, siga a curiosidade. SSRF e upload de arquivos são as mais úteis para CTF. Prompt injection vale 20 minutos se você se interessa por segurança de IA. Deixe as aulas de infraestrutura (envenenamento de DNS, SSL stripping, ataques de downgrade) para depois: são um contexto interessante, mas você ainda não consegue praticá-las em um lab para iniciantes.

O Hacksplaining é bom para aprender hacking ético?

Sim, como primeiro passo. Nenhum outro recurso gratuito explica ataques web com tanta clareza em tão pouco tempo. Mas é um primeiro passo, não uma trilha completa, e vale conhecer os limites antes de passar semanas nele.

O que ele faz muito bem:

• Modelos mentais: as animações mostram a requisição, o servidor e o banco de dados ao mesmo tempo, justamente o que iniciantes não conseguem imaginar sozinhos.
• Zero instalação: sem máquina virtual, sem proxy, sem VPN. Um navegador e 20 minutos bastam.
• Os dois lados da falha: você vê o ataque e a correção. Isso faz de você um hacker melhor, e um candidato muito melhor em entrevista de emprego.
• Precisão: as aulas são escritas por um especialista humano e atualizadas com frequência. As aulas de injeção de SQL e de XSS mostravam "Updated Sep 2026" quando conferimos.

Onde ele não basta para hackers:

• Os labs andam nos trilhos: a aula diz onde está a falha e muitas vezes o que digitar. Você nunca precisa encontrar nada, e encontrar é justamente o trabalho.
• Sem ferramentas reais: você nunca usa Burp Suite, terminal nem as DevTools do navegador, de que você vai precisar desde o primeiro CTF.
• Sem curva de dificuldade: todas as aulas ficam mais ou menos no mesmo nível iniciante. Não existe "agora tente uma versão mais difícil".
• Sem flags nem pontos: nada recompensa você por sair do roteiro, e não há nenhum elemento de competição.

Nossa opinião: use o Hacksplaining naquilo em que ele é ótimo, entender um ataque em 20 minutos, e logo em seguida vá explorar a mesma falha em algum lugar que não leve você pela mão. Leia a aula de injeção de SQL e encontre você mesmo uma injeção de SQL na mesma noite. Essa dupla é muito mais eficaz do que terminar as 45 aulas antes de tocar em um alvo de verdade.

Hacksplaining vs outras formas gratuitas de aprender hacking web

O Hacksplaining costuma ser citado ao lado de algumas outras plataformas. Elas fazem trabalhos diferentes, e saber qual é qual economiza seu tempo:

Elas se encaixam em uma ordem natural. O Hacksplaining explica a ideia. A PortSwigger Academy ensina a técnica direito, com o Burp Suite. O OWASP Juice Shop joga você dentro de uma aplicação grande onde nada tem rótulo. Os labs estilo CTF então obrigam você a encadear tudo: reconhecimento, exploração e às vezes escalação de privilégios, até capturar uma flag.

Quando se testam aplicações reais, são as duas últimas que mais importam. Falhas reais nunca se anunciam. Quanto antes você treinar em alvos que não dizem o que está errado, mais cedo as aulas viram habilidade.

Do Hacksplaining ao seu primeiro CTF

Aqui vai um plano concreto de quatro semanas para transformar as aulas do Hacksplaining em habilidade prática, com três a quatro horas por semana:

1. Semana 1, entender: faça as oito aulas acima, incluindo todos os quizzes. Escreva uma frase por aula, com suas palavras, explicando por que o ataque funciona.
2. Semana 2, reproduzir: para injeção de SQL e XSS, explore a mesma falha em um lab que não roteiriza os passos. Nosso lab XSS Playground é um mural de mensagens com uma falha de XSS armazenado, o mesmo cenário da aula do fórum no Hacksplaining, só que é você quem escreve o payload e rouba a sessão do administrador.
3. Semana 3, aprender as ferramentas: instale o Burp Suite Community Edition e refaça a semana 2 com todas as requisições passando pelo proxy. É a etapa que o Hacksplaining não consegue ensinar.
4. Semana 4, jogar: escolha um desafio web de CTF para iniciantes e resolva sem olhar a solução durante a primeira hora. Travar faz parte do treino.

No fim do mês, você terá ido de assistir a uma animação de ' or 1=1-- a encontrar injeções por conta própria. Esse salto, de entender para fazer, todo jogador de CTF e todo pentester teve que dar.

Considerações legais e éticas

• Simulado não é permissão: digitar ' or 1=1-- em uma página de login real "só para ver se a aula funciona" é acesso não autorizado na maioria dos países, mesmo que nada aconteça.
• Pratique onde você é convidado: use plataformas feitas para serem atacadas (Hacksplaining, PortSwigger, Juice Shop, labs de CTF) ou programas de bug bounty com escopo por escrito.
• Respeite a plataforma: o ataque acontece dentro da aula. Não escaneie, não faça fuzzing e não ataque o próprio hacksplaining.com.
• Use a metade defensiva: se encontrar uma dessas falhas em um software que você usa, reporte a falha ao dono do software de forma ética em vez de continuar testando.

Perguntas frequentes