PortSwigger Web Security Academy: guia para iniciantes (2026)

O que é a PortSwigger Web Security Academy?

A PortSwigger Web Security Academy é uma plataforma gratuita de treinamento online em segurança de aplicações web, criada pela PortSwigger, a empresa que desenvolve o Burp Suite. Ela ensina classes de vulnerabilidade como SQL injection, XSS e SSRF com aulas escritas combinadas com labs interativos: aplicações web reais e propositalmente vulneráveis, que você explora para marcar o lab como resolvido.

O conteúdo é escrito pela equipe de pesquisa da PortSwigger, as mesmas pessoas que apresentam novas técnicas de ataque em conferências como a Black Hat. Por isso ele vai mais fundo do que a maioria do material gratuito. Só o tópico de SQL injection tem 16 labs, e o de cross-site scripting tem 30.

O que a Academy cobre

A lista de tópicos da Academy tem hoje 31 itens. Agrupados mais ou menos na ordem em que um iniciante deveria encontrá-los:

• Clássicos do lado do servidor: SQL injection, autenticação, path traversal, injeção de comandos do sistema operacional, falhas de lógica de negócio, vazamento de informações, controle de acesso, upload de arquivos, SSRF, XXE, NoSQL injection, testes de API e race conditions.
• Lado do cliente: cross-site scripting, CSRF, CORS, clickjacking, vulnerabilidades baseadas em DOM e WebSockets.
• Avançado: HTTP request smuggling, web cache poisoning e web cache deception, desserialização insegura, injeção de template no servidor, prototype pollution, OAuth, ataques a JWT, GraphQL, ataques ao cabeçalho Host e ataques a LLMs na web.
• Essential skills: um tópico curto sobre trabalhar mais rápido com o Burp, que vale a pena fazer depois de alguns labs.

Novos tópicos continuam aparecendo. Ataques a LLMs na web e web cache deception estão entre as adições mais recentes, então a Academy acompanha o que os atacantes fazem hoje, não o que faziam em 2015.

A PortSwigger Academy é mesmo gratuita?

Sim. A PortSwigger descreve a Academy como "100% gratuita", e isso se confirma: toda aula, todo lab e toda solução oficial estão disponíveis com uma conta grátis. Não existe paywall no meio de um tópico nem período de teste que expira.

O dinheiro só entra em três pontos:

• Burp Suite Professional (US$ 499): a maioria dos labs se resolve com a Community Edition gratuita. Alguns poucos exigem o Burp Collaborator, que vem com o Professional. O firewall da Academy bloqueia o tráfego dos labs para servidores externos quaisquer, então nenhuma alternativa gratuita funciona nesses labs out-of-band. Pule esses labs enquanto for iniciante.
• Velocidade do Burp Intruder: a Community Edition só traz uma versão de demonstração do Intruder, a ferramenta de força bruta e fuzzing. Labs que pedem para testar algumas centenas de senhas ficam lentos, mas continuam possíveis.
• A certificação BSCP (US$ 99): opcional, e exige também uma licença ativa do Burp Suite Professional. Falamos mais sobre ela abaixo.

Nossa opinião: não compre nada antes de resolver pelo menos 50 labs com a Community Edition. Até lá você vai saber se segurança web é a sua praia, e os labs exclusivos do Pro serão os únicos que ainda te bloqueiam.

Como os labs funcionam

Cada página de tópico parece um capítulo curto de livro, com links para os labs nos pontos certos. Quando você clica em "Access the lab", a Academy sobe uma cópia privada de uma aplicação web vulnerável só para você, normalmente uma loja virtual ou um blog falso, em um subdomínio próprio. A descrição do lab diz qual é o objetivo, e a faixa no topo muda para "Solved" no momento em que você chega lá.

Apprentice, Practitioner e Expert

Todo lab tem um destes três níveis de dificuldade:

• Apprentice: o exemplo clássico. A aula logo acima diz quase exatamente o que fazer. A maioria leva de 5 a 15 minutos.
• Practitioner: um degrau de verdade. Você conhece a classe da falha, mas precisa descobrir onde ela está, encadear duas ideias ou contornar um filtro. A PortSwigger espera que você domine esses labs antes de tentar a certificação.
• Expert: nível de pesquisa. Alguns são difíceis até para profissionais. Deixe esses de lado nos primeiros meses.

As convenções que você vai ver em todo lugar

Alguns detalhes recorrentes confundem quem está começando, então aqui vão logo de cara:

• wiener:peter é a sua própria conta de teste, nos labs que te dão uma. Entre com ela para ver o que um usuário comum vê.
• carlos é a vítima de sempre. Muitos labs são resolvidos apagando a conta dele ou roubando os dados dele.
• administrator é a conta que você quase sempre está tentando assumir.
• O exploit server é uma página que a PortSwigger hospeda para você nos labs do lado do cliente (XSS, CSRF, clickjacking). Você coloca seu HTML malicioso lá e "entrega" para uma vítima simulada.

Soluções, vídeos da comunidade e mystery labs

Embaixo de cada lab fica uma solução oficial recolhida, além de links para walkthroughs em vídeo de criadores como Rana Khalil, z3nsh3ll e Michael Sommer. Os vídeos da Rana Khalil são especialmente queridos pelos iniciantes porque ela explica por que cada passo funciona, não só o que digitar.

Depois que você domina um tópico, o mystery lab challenge te entrega um lab aleatório sem título nem descrição, e você precisa descobrir a falha sozinho. Isso é muito mais parecido com um teste real, e com a prova de certificação. A Academy também mantém um Hall of Fame: os primeiros a resolver cada lab novo têm o nome listado e ganham brindes do Burp.

Preparação: Burp Suite Community e o navegador embutido

Dá para resolver alguns labs Apprentice só com a barra de endereço, mas você vai precisar de um proxy de interceptação já na primeira hora. O Burp Suite Community Edition é gratuito, e a instalação leva uns cinco minutos:

1. Baixe e instale o Burp Suite Community Edition pelo site da PortSwigger. O instalador já traz o próprio Java.
2. Inicie um projeto temporário com as configurações padrão do Burp. A Community Edition não salva projetos, então não se preocupe com essa tela.
3. Abra o navegador do Burp pela aba Proxy ("Open browser"). É um Chromium que já confia no certificado do Burp, então você pula a configuração de proxy e certificado que trava a maioria dos iniciantes.
4. Entre na Academy por esse navegador, abra um lab e veja as requisições aparecerem em Proxy > HTTP history.

Se quiser antes um tour mais completo por Proxy, Repeater e Intruder, nosso tutorial de Burp Suite para iniciantes mostra cada ferramenta com capturas do que você deve ver.

Seu primeiro lab da PortSwigger, passo a passo

Comece pelo primeiríssimo lab de SQL injection: SQL injection vulnerability in WHERE clause allowing retrieval of hidden data. A descrição do lab diz que a aplicação roda uma consulta como esta quando você escolhe uma categoria de produto:

SELECT * FROM products WHERE category = 'Gifts' AND released = 1

Seu objetivo é fazer a loja mostrar os produtos não lançados, aqueles com released = 0.

1. Encontre a entrada: clique em qualquer categoria da loja. No HTTP history do Burp você vai ver uma requisição como GET /filter?category=Gifts.
2. Mande para o Repeater: clique com o botão direito na requisição e escolha "Send to Repeater". Assim você pode editar e reenviar quantas vezes quiser.
3. Quebre a consulta: troque o parâmetro por category=Gifts' e envie. Uma aspa simples que causa erro no servidor é o primeiro sinal clássico de SQL injection.
4. Injete o payload: troque por category=Gifts'+OR+1=1-- e envie. Os sinais + são espaços codificados para URL.
5. Carregue no navegador: cole a mesma URL no navegador do Burp. A página lista todos os produtos, e a faixa do lab muda para "Solved".

Por que funciona: a consulta vira WHERE category = 'Gifts' OR 1=1--' AND released = 1. Como 1=1 é sempre verdadeiro, todas as linhas batem, e o -- transforma a checagem released = 1 em comentário. Você não adivinhou nada. Você leu a consulta e reescreveu a lógica dela.

O lab seguinte, SQL injection vulnerability allowing login bypass, usa a mesma ideia em um formulário de login: o usuário administrator'-- transforma a verificação de senha em comentário. Em dois labs, você já aprendeu o ataque web mais famoso que existe. Para o quadro completo, incluindo as técnicas UNION e às cegas, nosso tutorial de SQL injection vai além dos primeiros labs da Academy.

Uma rota para iniciantes dentro da Academy

A PortSwigger agora oferece trilhas de aprendizado (learning paths), e elas são uma escolha padrão razoável. Mas o maior erro de iniciante é seguir a lista de tópicos de cima para baixo e dar de cara com request smuggling na segunda semana. Esta é a ordem que recomendamos, fazendo só os labs Apprentice de cada tópico antes de seguir:

1. SQL injection: a introdução mais clara à ideia de que "minha entrada mudou a lógica do servidor". Os labs Apprentice são curtos e recompensadores.
2. Autenticação: enumeração de usuários, 2FA quebrado e falhas de redefinição de senha. Você aprende a ler as respostas com atenção, incluindo diferenças mínimas nas mensagens de erro.
3. Path traversal: poucos labs, e a ideia (../../../etc/passwd) fica para sempre.
4. Controle de acesso: a classe de falha mais comum no mundo real. Trocar um ID, o valor de um cookie ou um campo oculto de formulário é tudo o que a maioria desses labs pede.
5. Injeção de comandos do sistema operacional e upload de arquivos: seu primeiro gostinho de executar código no servidor.
6. Cross-site scripting: faça os labs Apprentice de XSS refletido e armazenado. Deixe os labs de DOM e os Practitioner para a segunda passada, porque XSS tem 30 labs e é fácil se afogar neles.
7. SSRF: um tópico curto e moderno, que aparece o tempo todo em relatórios de bug bounty na nuvem.

Depois disso, volte ao início e faça os labs Practitioner desses mesmos sete tópicos. Só então avance para CSRF, XXE, lógica de negócio e a lista avançada. Request smuggling, web cache poisoning e prototype pollution são brilhantes, mas pressupõem que você já pensa em requisições HTTP cruas.

Um ritmo sensato: cinco labs Apprentice por semana para quem trabalha ou estuda em tempo integral. Na prática, um tópico por fim de semana é um ritmo que sobrevive a um mês corrido, e nesse ritmo o núcleo de sete tópicos leva uns dois meses. Tentar terminar a Academy inteira em um mês é o caminho mais curto para se esgotar no meio do XSS.

A PortSwigger Academy é boa para iniciantes?

Sim, com uma ressalva: ela pressupõe que você já entende como a web funciona. As aulas não explicam o que é uma requisição HTTP, como os cookies mantêm você logado nem o que faz um redirecionamento 302. Se esses termos parecem nebulosos, passe uma semana nos fundamentos da web antes, ou os labs Apprentice vão parecer truques de mágica em vez de lições.

O que ela faz muito bem:

• Precisão: o material é tecnicamente exato e atualizado, escrito por gente que vive de encontrar essas falhas.
• Ritmo aula seguida de lab: você lê sobre uma falha e a explora nos cinco minutos seguintes, e é assim que o conteúdo fixa.
• Ferramentas realistas: você aprende no Burp Suite, o mesmo proxy que testadores web profissionais usam todos os dias.

Onde os iniciantes travam:

• Nada entre "nenhuma ajuda" e "solução completa": a maioria dos labs te dá ou a descrição ou a resposta inteira. Raramente existe uma dica no meio do caminho.
• Texto denso: algumas páginas de tópico são paredões de explicação. Leia uma seção, faça o lab, volte. Não leia um tópico inteiro de uma vez.
• O salto para Practitioner: os labs Apprentice seguem a aula quase palavra por palavra. Os Practitioner esperam que você se adapte, e o degrau é alto.

Nossa regra para as soluções: dê 20 minutos honestos a cada lab antes de abrir a resposta. Se ainda precisar, leia só o primeiro passo, feche e tente de novo. Ler a solução inteira e copiar marca o lab como resolvido, mas você não vai conseguir repetir na semana seguinte.

Burp Suite Certified Practitioner (BSCP): vale a pena?

A Academy leva à certificação da própria PortSwigger, a Burp Suite Certified Practitioner. Segundo as páginas oficiais da certificação, o formato é este:

• Preço: US$ 99 por tentativa. Refazer a prova significa comprar outra.
• Formato: quatro horas, duas aplicações vulneráveis, cada uma concluída em três etapas. Você precisa explorar de verdade cada falha para avançar, não só detectá-la.
• Requisitos: uma licença ativa do Burp Suite Professional (a Community Edition não é aceita), além de webcam e microfone para a verificação de identidade automatizada.
• Simulado: grátis, tentativas ilimitadas, duas horas, uma aplicação.
• Validade: cinco anos depois da aprovação.

A própria PortSwigger recomenda concluir todos os labs de nível Practitioner ou inferior sem precisar das soluções antes de tentar a prova. Leve isso ao pé da letra. A prova não diz qual classe de vulnerabilidade você está procurando, e é por isso que os mystery labs são a melhor preparação.

Vale a pena? Para um iniciante, ainda não. O custo total é US$ 99 mais um ano de Burp Pro, e a prova é pensada para quem já testa aplicações web. Depois de vencer os labs Practitioner, porém, ela é uma das certificações práticas mais baratas com credibilidade real entre testadores web, e combina bem com um perfil de bug bounty. Até lá, o valor está na própria Academy gratuita.

PortSwigger Academy vs outras formas gratuitas de aprender hacking web

A Academy não é a única opção gratuita, e não é o melhor primeiro passo para todo mundo. Veja como ela se compara às alternativas que os iniciantes costumam considerar:

Essas opções funcionam melhor juntas. A Academy é o livro-texto: ensina cada falha isoladamente. O OWASP Juice Shop é a aplicação realista em que ninguém te diz qual é a falha. Labs estilo CTF obrigam você a encadear reconhecimento, exploração e escalação de privilégios em um ataque completo. A maioria dos bons testadores web passou pelos três.

Considerações legais e éticas

• Ataque o lab, não a plataforma: seu alvo é o subdomínio de lab que você recebeu. Não faça scan nem fuzzing no próprio portswigger.net ou nas instâncias de outros usuários.
• Mantenha os payloads dentro da Academy: o exploit server e o Burp Collaborator existem para que seus ataques fiquem contidos. Não aponte código de exploração para sites reais de terceiros.
• Não reutilize as técnicas em sites de verdade: colocar ' OR 1=1-- na URL de uma loja real "só para ver" é teste não autorizado na maioria dos países. Use programas de bug bounty, com escopo por escrito, quando quiser alvos reais.
• Respeite as regras da prova: a BSCP é com consulta liberada, mas compartilhar conteúdo ou soluções da prova viola os termos da PortSwigger e desvaloriza o certificado de todo mundo.

Perguntas frequentes