pwn.college para iniciantes: o dojo gratuito da ASU (2026)

O que é o pwn.college?

pwn.college é uma plataforma educacional gratuita em que você aprende cibersegurança resolvendo desafios práticos em um ambiente Linux que roda no navegador. Ela foi criada na Arizona State University, sustenta boa parte do currículo de segurança da ASU, e a página inicial diz que ela é aberta, de graça, a qualquer pessoa interessada no mundo todo.

O projeto foi fundado pelo professor Yan Shoshitaishvili, da ASU, e o doutorando Connor Nelson transformou o currículo no site do dojo. Ele começou como a infraestrutura do curso de segurança de sistemas computacionais da ASU (CSE 466) e cresceu a partir daí. Em 2024, a ASU informou que a plataforma era usada em 145 países e que os estudantes passaram mais de 1,5 milhão de horas treinando no dojo em 2023.

Três coisas a diferenciam da maioria das plataformas gratuitas:

• É um curso universitário de verdade. Cada módulo combina videoaulas e slides com uma série de desafios. Esses mesmos desafios avaliam os alunos da ASU, e por isso a plataforma pede que você não publique soluções.
• Vai fundo, não largo. A trilha principal vai do básico de Linux até assembly, engenharia reversa, exploração de binários, sandboxing e segurança do kernel. Tem um pouco de web e criptografia, mas o coração é o hacking de sistemas de baixo nível.
• Tudo acontece no navegador. Sem VPN, sem VM, sem instalação. Você clica em Start e recebe um terminal, um editor VS Code ou um desktop Linux completo. SSH também está disponível, se preferir.

A infraestrutura é open source no GitHub, e escolas podem criar dojos privados próprios para dar aula nela.

O pwn.college é bom para iniciantes?

Sim na primeira parte, e sinceramente não no resto, a menos que você tenha paciência. Os dojos Getting Started não pressupõem nenhum conhecimento de Linux. O Core Material pressupõe que você terminou esses dojos e sobe rápido para conteúdos que a ASU também ensina em seus cursos de segurança do fim da graduação e da pós.

Cada página de dojo mostra um contador "Unique Hackers". Conferimos todos no fim de outubro de 2026, e a queda diz mais do que qualquer avaliação:

Esses contadores registram pessoas distintas que resolveram desafios em cada dojo, não quem terminou o dojo. Mesmo assim, o desenho é claro. Cerca de 71.000 pessoas resolveram algo no Start Here. Menos de 3.000 resolveram qualquer coisa no Software Exploitation.

Nossa opinião: o pwn.college é o melhor recurso gratuito que conhecemos para aprender como os programas funcionam na memória, e uma má primeira parada para quem quer hackear sites até sexta-feira. Se segurança web é o seu objetivo, comece por algo focado em web e volte ao pwn.college quando quiser entender o que acontece por baixo.

Como funciona o dojo do pwn.college

O conteúdo é organizado em três camadas. Um dojo cobre um tema amplo. Cada dojo contém módulos, e cada módulo contém desafios. Resolva um desafio e você recebe uma flag, um token que você cola no campo da página do desafio para pontuar.

O ambiente de trabalho

Quando você clica em Start em um desafio, o pwn.college sobe um contêiner para você e oferece quatro formas de acesso:

• Terminal: um shell simples no navegador. É onde você vai passar a maior parte do tempo.
• Code: VS Code no navegador, útil quando você começar a escrever scripts.
• Desktop: uma interface gráfica Linux completa, que você vai querer mais tarde para depuradores e outras ferramentas gráficas.
• SSH: vincule uma chave pública nas configurações e conecte a partir do seu próprio terminal.

Seu diretório home é mantido entre desafios, então scripts e anotações que você salvar continuam com você. Se você estragar o ambiente, clique em Start de novo para receber um limpo.

Onde fica a flag

Em todo desafio, a flag real fica em /flag, um arquivo que só o root pode ler. Os arquivos do desafio ficam em /challenge. Seu trabalho é descobrir como o desafio permite que um usuário sem privilégios (chamado hacker) chegue a essa flag. Às vezes isso significa executar corretamente um programa em /challenge, e mais adiante significa fazer um programa fazer algo que o autor nunca imaginou.

Modo de prática

Cada desafio também tem um botão Privileged. Ele inicia o mesmo ambiente com acesso sudo para você depurar e experimentar à vontade, mas /flag é trocado por uma flag de prática que não vale pontos. Na prática, esse é o recurso mais subutilizado da plataforma. Quando um exploit falha e você não entende por quê, uma instância privilegiada permite anexar um depurador como root e ver exatamente o que dá errado.

Em que ordem fazer os dojos do pwn.college

A página de dojos diz que o conteúdo foi pensado para ser feito em ordem e que cada dojo espera que você saiba tudo o que os anteriores ensinaram. Leve isso a sério. Esta é a trilha oficial e o que cada etapa realmente ensina.

Getting Started

1. Start Here. Dez desafios que ensinam a própria plataforma: abrir o terminal, o VS Code e o desktop, colar flags, reiniciar desafios. O módulo também traz videoaulas de introdução, uma delas sobre ética em cibersegurança.
2. Linux Luminarium. Dezessete módulos, de "Hello Hackers" a caminhos, comandos, globbing, pipes, variáveis do shell, processos, usuários, permissões e a variável PATH. O dojo se diz muito introdutório e afirma que você pode pulá-lo se já estiver à vontade no Linux. Se você hesitou ao ler essa lista, não pule.
3. Computing 101. Aqui a coisa fica séria. O dojo começa pelo código de máquina que os computadores executam diretamente e pelo seu primeiro programa, depois cobre memória, pilha, representação de números, fluxo de controle, endianness e depuração, terminando com um módulo em que você constrói um servidor web.
4. Playing With Programs. Conversar com software de formas inesperadas: lidar com formatos de dados, falar HTTP na mão com curl e netcat, usar programas comuns de maneira indevida e um playground de SQL. O próprio dojo diz que você pode seguir em frente quando estiver confortável, sem terminar todos os desafios.

Core Material: conquistando suas faixas

1. Intro to Cybersecurity. Sete módulos: segurança web, interceptação de comunicações, criptografia, controle de acesso, engenharia reversa, exploração de binários e um módulo integrado que junta tudo.
2. Program Security. Cinco módulos: segurança de programas, engenharia reversa, return-oriented programming, uso indevido do alocador dinâmico (heap) e exploração de programas. É o dojo em que o contador de hackers cai para menos da metade.
3. System Security. Sandboxing, condições de corrida, segurança do kernel e exploração de microarquitetura.
4. Software Exploitation. Format strings, exploits de estruturas FILE, exploração de heap e exploração do kernel contra proteções modernas.

Você ganha a faixa branca no momento em que se cadastra. A página de faixas lista quem tem as faixas laranja, amarela, verde e azul, e a página de dojos diz que as faixas são conquistadas em sequência, ao concluir os dojos Core Material. Termine os quatro e o pwn.college envia para você uma faixa azul bordada de verdade, embora por enquanto só despache faixas no nível azul. As faixas marrom e preta, segundo a página inicial, vêm depois e fora do dojo, quando você já consegue contribuir com a indústria de segurança e com a academia.

Se a metade de baixo nível dessa lista parece assustadora, ler sobre o assunto antes ajuda. O curso de exploração de binários da HackerDNA explica em linguagem simples estouros de pilha, proteções como ASLR e NX e cadeias ROP, o que deixa as aulas do Program Security muito mais fáceis de acompanhar.

Sua primeira hora no pwn.college

Esta é uma primeira sessão realista, do começo ao fim.

1. Cadastre-se e leia as regras. Antes de ver qualquer conteúdo, a plataforma pede que você concorde em não publicar writeups, vídeos de resolução ou lives com soluções. Ela não tem como fiscalizar, então conta com você.
2. Abra o Start Here e assista à primeira aula. "What is pwn.college?" define as expectativas para tudo o que vem depois. Em seguida, clique em Start em "Using the Terminal". O terminal abre abaixo do texto do desafio e sua primeira flag aparece.
3. Envie a flag. Selecionar texto com o mouse no terminal já copia. Cole no campo Flag e envie. Esse ciclo (iniciar, resolver, copiar, enviar) é a plataforma inteira.
4. Teste todos os ambientes. O resto do Start Here passa pelo VS Code, pelo desktop e pelo reinício. Faça tudo agora, porque você vai precisar do desktop bem mais tarde e é mais fácil aprender quando nada está em jogo.
5. Entre no Discord. O Start Here tem um módulo só para isso. É lá que você vai pedir ajuda depois.
6. Comece o Linux Luminarium. O primeiro módulo, Hello Hackers, explica o prompt do shell. Você vai ver algo assim:

hacker@dojo:~$ whoami
hacker
hacker@dojo:~$

O tutorial explica cada parte. hacker é o seu nome de usuário, o que vem depois do @ é o hostname da máquina (no pwn.college ele vem do nome do desafio), e o $ indica que você não é administrador. Bem mais tarde, quando você chegar ao root com um exploit, esse $ vira um #. É um detalhe pequeno, e mostra exatamente para onde esta plataforma está indo.

Como destravar sem quebrar as regras

Como writeups são desencorajados, você não vai encontrar solução pronta para a maioria dos desafios. Isso é proposital. A plataforma oferece outras formas de voltar a andar:

• 🎥Reveja a aula do módulo. Os desafios são feitos para exercitar o que a aula mostra. Se você travou no desafio 7, a resposta costuma voltar a algo dito no vídeo que você passou rápido demais.
• 🤖Pergunte ao SENSAI. O pwn.college tem um tutor de IA chamado SENSAI, acessível pelo link Help depois que um desafio está rodando. A ASU o criou especificamente para alunos que travam no dojo.
• 💬Pergunte no Discord do jeito certo. Diga qual desafio, o que você tentou e o que aconteceu. Espere dicas que ajudam a pensar, não soluções, e não peça uma.
• 🔧Use uma instância Privileged. Quando o problema é "meu exploit não funciona e não consigo ver por quê", rode-o com sudo no modo de prática e observe tudo em um depurador.

O conselho sincero para iniciantes: ficar travado uma hora no pwn.college é normal. Os desafios são curtos, mas cada um tira um pouco mais de apoio que o anterior. Se você está travado há dias no começo do Luminarium, a lacuna costuma ser de fundamentos de Linux, e um curso estruturado vai fechá-la mais rápido do que a força bruta.

pwn.college vs OverTheWire, picoCTF e HackerDNA

Os quatro são bons, e cada um é bom em uma coisa diferente.

OverTheWire é o mais parecido em espírito: gratuito, só terminal, sem ninguém segurando sua mão. O Bandit cobre um terreno parecido com o Linux Luminarium com menos explicação, e os jogos seguintes (Narnia, Behemoth) tocam nos mesmos temas de exploração de binários do Program Security. Nosso guia dos wargames do OverTheWire mostra a ordem para jogá-los. Muita gente faz Bandit e Luminarium lado a lado.

picoCTF é mais amplo e mais raso. Se você quer provar criptografia, forense e web em uma semana, ele é a melhor escolha. Se você quer entender por que um buffer overflow funciona, e não só disparar um, a escolha é o pwn.college.

HackerDNA preenche outra lacuna. Os desafios do pwn.college isolam um conceito por vez, o que é ótimo para aprender e bem diferente de um alvo real. Os labs da HackerDNA entregam uma máquina ou aplicação vulnerável inteira, muitas vezes com perguntas guiadas pelo caminho, para você treinar a encadear o que aprendeu. Uma boa ponte a partir do Computing 101 é o lab License Key Crackme, em que você desmonta um binário Linux com objdump e GDB, o tipo de depuração que o pwn.college treina desde o Computing 101.

Depois das faixas: CTF Archive e competições ao vivo

O próprio pwn.college aponta o próximo passo. A página inicial recomenda competições capture the flag e wargames quando você superar o dojo, e a plataforma hospeda alguns dojos da comunidade que fazem essa ponte:

• CTF Archive: 834 desafios preservados de competições passadas, incluindo CSAW e 0CTF, todos jogáveis no mesmo ambiente. O dojo avisa que o placar serve para acompanhar seu próprio progresso, não para competir.
• Advent of Pwn: um dojo de fim de ano com 12 desafios. A edição de 2025 ainda pode ser jogada, se você quiser uma série curta e temática depois do Intro to Cybersecurity.
• Dojos da comunidade: a página de dojos lista dezenas de outros, de Windows e ARM a segurança web e escalação de privilégios, criados pela comunidade do pwn.college.

Quando estiver pronto para um evento cronometrado, a página inicial indica o CTFtime, o calendário que a maior parte do mundo CTF usa. Nosso guia para entrar na sua primeira competição CTF explica formatos, times e quais eventos para iniciantes valem o seu fim de semana.

Considerações legais e éticas

• Respeite a regra de não publicar writeups. Universidades avaliam alunos com exatamente esses desafios. Publicar uma solução torna a plataforma menos útil para todos, inclusive para o próximo iniciante.
• Mantenha os exploits dentro do dojo. O shellcode e os exploits que você escreve para o pwn.college miram os programas dos desafios. Usá-los contra software que não é seu ou que você não tem permissão para testar é crime na maioria dos países.
• Não ataque a plataforma. Os contêineres são o desafio, não a infraestrutura por trás deles. Se você encontrar um bug real no próprio pwn.college, reporte pelo Discord ou por e-mail em vez de explorá-lo.
• Assista à aula de ética. O Start Here inclui uma aula sobre ética em cibersegurança. Ela vale o seu tempo antes de você aprender qualquer coisa ofensiva.

Perguntas frequentes