VulnHub para iniciantes: faça root na sua primeira VM (2026)

O que é o VulnHub?

O VulnHub é um catálogo gratuito de máquinas virtuais intencionalmente vulneráveis, criadas pela comunidade de segurança e espelhadas no vulnhub.com para continuarem disponíveis. Cada máquina é um alvo independente: você importa no VirtualBox ou no VMware, ataca a partir de outra VM e captura as flags ou o acesso root que o autor escondeu lá dentro.

A página "About" do projeto resume o objetivo sem rodeios: oferecer material que permita a qualquer pessoa ganhar experiência prática em segurança digital. A maioria das máquinas segue o formato boot-to-root. Você começa só com acesso de rede, encontra uma entrada como usuário com poucos privilégios e depois escala até root.

Três fatos definem como você deve usá-lo hoje:

• A OffSec é a dona. A Offensive Security, empresa por trás da OSCP, anunciou a aquisição em 29 de julho de 2020 e prometeu que todo o conteúdo do VulnHub continuaria gratuito (cobertura da Help Net Security).
• Hoje ele é um acervo. A entrada mais recente da linha do tempo é a Matrix-Breakout: 2 Morpheus, de Jay Beale, lançada em 11 de julho de 2022. Nada foi adicionado desde então.
• O acervo continua funcionando. Mirrors, checksums e links para walkthroughs continuam no ar no vulnhub.com em outubro de 2026.

O VulnHub ainda vale a pena em 2026?

Sim, com uma ressalva. O software da maioria das máquinas está desatualizado há anos, então você vai explorar plugins antigos do WordPress, versões antigas do Samba e kernels antigos. Isso basta para aprender metodologia: enumerar, achar uma entrada, escalar. É menos útil se você quer treinar contra tecnologias modernas como autenticação JWT, metadados de nuvem ou fuga de contêineres.

Onde o VulnHub ainda ganha de quase tudo é no controle. A VM está no seu disco. Você pode tirar snapshot, quebrar, restaurar e atacar às 2 da manhã dentro de um avião sem Wi-Fi. Montar esse lab também ensina redes virtuais, de que você vai precisar mais cedo ou mais tarde.

O que você precisa antes de baixar qualquer coisa

Um lab do VulnHub são duas máquinas virtuais conversando em uma rede privada: sua máquina de ataque (normalmente o Kali Linux) e o alvo. Antes de começar, confira se o seu computador aguenta as duas.

• Um hipervisor: o VirtualBox é gratuito e é nele que a maioria dos autores do VulnHub testa as máquinas. O VMware Workstation e o Fusion também funcionam, mas algumas máquinas (a The Planets: Earth, por exemplo) avisam que só foram testadas no VirtualBox.
• Uma VM de ataque: a imagem oficial do Kali Linux para VirtualBox poupa uma instalação. O Parrot Security também serve.
• Memória para duas VMs ao mesmo tempo: o seu sistema, o Kali e o alvo precisam de RAM simultaneamente. Se o seu notebook já sofre com um navegador e uma VM, um lab no navegador vai ser menos sofrido.
• Espaço em disco: os alvos vão de 186 MB (Kioptrix: Level 1) a 2,6 GB (Basic Pentesting: 1), e o próprio Kali é bem maior que qualquer um deles.

Como configurar o VulnHub no VirtualBox: passo a passo

Esta é a configuração que evita os dois problemas clássicos de iniciante: "não acho o IP do alvo" e "coloquei sem querer uma máquina vulnerável na rede de casa".

1. Baixe e verifique. Pegue a máquina na página dela no VulnHub (use o link Mirror se o link original do autor estiver fora do ar). Cada página mostra um checksum MD5 e SHA1. Rode sha1sum file.ova no Linux ou shasum file.ova no macOS e compare.
2. Extraia se precisar. Um arquivo .ova é importado direto. Um .zip ou .rar (é o caso da DC-1 e da Kioptrix) precisa ser extraído antes e pode conter arquivos do VMware em vez de um .ova.
3. Importe. No VirtualBox, use Arquivo > Importar Appliance e selecione o .ova ou o .ovf.
4. Mude a rede para host-only. Abra Configurações > Rede no alvo e defina o Adaptador 1 como Placa de rede exclusiva de hospedeiro (Host-only Adapter). Algumas máquinas vêm configuradas em modo bridge (o autor da DC-1 avisa isso na página dela), o que colocaria uma box vulnerável na sua rede real. Mude antes do primeiro boot.
5. Coloque o Kali na mesma rede. Dê à sua VM Kali um adaptador host-only na mesma rede. Mantenha um segundo adaptador NAT no Kali só se você precisar de internet para atualizações. O alvo nunca recebe um.
6. Tire snapshot das duas VMs. Faça um snapshot do alvo antes de mexer nele. Se um exploit malfeito derrubar um serviço, restaure e tente de novo em segundos.
7. Ligue o alvo e deixe a máquina na tela de login. Você não deve entrar pelo console. Para a pergunta "qual é a senha?", o FAQ do VulnHub responde que esse é justamente o objetivo do exercício.

Por padrão, a rede host-only do VirtualBox usa a faixa 192.168.56.0/24, com o seu computador em 192.168.56.1. A maioria das máquinas do VulnHub usa DHCP, então o alvo recebe um endereço nessa faixa automaticamente. Cada página de máquina tem uma seção Networking que diz se ela espera DHCP ou IP estático.

Encontrando o alvo e rodando o primeiro scan

Sua primeira tarefa de verdade em qualquer box do VulnHub é encontrá-la. O alvo não informa o IP, então você descobre do mesmo jeito que faria em uma rede interna real.

No Kali, veja em qual rede você está e depois faça a varredura:

ip a                                   # note your eth interface on 192.168.56.x
sudo netdiscover -r 192.168.56.0/24    # ARP sweep of the host-only network
nmap -sn 192.168.56.0/24               # or a ping sweep with Nmap

Em uma rede host-only, normalmente aparecem o host (.1), o servidor DHCP do VirtualBox, o endereço do seu Kali e um host novo: o alvo. Uma dica rápida: as placas de rede do VirtualBox usam endereços MAC que começam com 08:00:27, que o netdiscover mostra com o nome de fabricante "PCS Systemtechnik GmbH". Qualquer outra coisa na lista não é uma das suas VMs.

Depois, faça o scan do alvo direito:

nmap -sC -sV -p- -oN target.nmap 192.168.56.103

Esse comando verifica as 65.535 portas TCP (-p-), identifica as versões dos serviços (-sV), roda os scripts padrão (-sC) e salva o resultado em um arquivo que você vai reler dez vezes. Em uma rede host-only local, ele costuma terminar em um ou dois minutos, uma vantagem discreta do VulnHub sobre labs remotos. Se essas opções são novidade para você, deixe nosso guia rápido de Nmap aberto em outra aba.

As 5 melhores máquinas do VulnHub para iniciantes

Com centenas de entradas e níveis de dificuldade definidos por autores que nem sempre concordam entre si, escolher a primeira box é mais difícil do que deveria. Estas cinco têm descrições claras, foram pensadas para iniciantes e contam com muitos write-ups da comunidade para quando você travar de verdade.

1. Basic Pentesting: 1

Josiah Pierce criou esta máquina para o clube de segurança da sua universidade, e a descrição diz que ela é feita especificamente para quem está começando em testes de invasão. Ela tem várias vulnerabilidades remotas e vários vetores de escalação de privilégios, então depois de virar root, volte e encontre um segundo caminho. Esse hábito vale mais que a própria box. Ela foi testada no VirtualBox, o que faz dela a primeira importação mais segura.

2. DC-1

A DC-1 é uma máquina Debian de 32 bits com cinco flags, e o autor colocou pistas nas primeiras pensando especificamente nos iniciantes. Jogadores experientes vão direto para o root. Você não: leia cada flag, porque cada uma aponta para a próxima técnica. Lembre de trocar o modo bridge para host-only antes de ligar.

3. The Planets: Earth

Uma das últimas máquinas adicionadas ao VulnHub (novembro de 2021). O autor a descreve como fácil, mas no lado mais difícil do "fácil", com uma flag de user e uma de root. É uma boa segunda ou terceira box porque recompensa a enumeração web cuidadosa em vez de disparar exploits, e ela só promete compatibilidade com o VirtualBox.

4. Mr-Robot: 1

Inspirada na série de TV, com três chaves cada vez mais difíceis de achar. O autor a classifica como iniciante a intermediário e promete que não há exploração avançada nem engenharia reversa. É a box mais popular desta lista, o que significa spoilers por todo lado. Evite pesquisar o nome dela até terminar.

5. Kioptrix: Level 1

A máquina mais antiga da lista (2010) e um rito de passagem. O objetivo é simplesmente virar root por qualquer meio possível. Nossa opinião sincera: não faça dela a sua primeira importação. Ela vem como .rar em vez de um .ova pronto, e fazer uma VM de 16 anos inicializar direito é mais uma aula de redes do que de hacking. Volte a ela quando o seu lab estiver funcionando.

Como resolver uma box do VulnHub sem ler o walkthrough

Toda página do VulnHub tem links para walkthroughs da comunidade, e isso é ao mesmo tempo o melhor e o pior da plataforma. Leia um cedo demais e você aprende a resposta daquela box, não como encontrar respostas.

Na prática, os iniciantes que evoluem mais rápido seguem uma rotina simples:

1. Enumere tudo antes de explorar qualquer coisa. Scan completo de portas, depois cada diretório web, cada compartilhamento, cada string de versão. Anote tudo em um único arquivo de notas por box.
2. Pesquise versões, não nomes de box. Procure "Drupal 7 exploit" ou a versão exata do serviço que o Nmap mostrou, nunca "DC-1 walkthrough".
3. Use um cronômetro. Dê a si mesmo 45 minutos por ideia. Se nada andar, releia suas notas do passo 1, porque a resposta quase sempre é algo que você já tinha encontrado e deixou passar.
4. Espie, não leia. Quando abrir um walkthrough, leia só o próximo título, feche e continue sozinho.
5. Escale com método. Depois de conseguir um shell, verifique permissões sudo, binários SUID, tarefas cron e arquivos graváveis antes de tentar exploits de kernel. O capítulo de enumeração manual do curso de escalação de privilégios no Linux da HackerDNA passa por cada uma dessas verificações em ordem.
6. Escreva o seu próprio write-up curto. Três parágrafos: como você entrou, como escalou, o que deixou passar. O autor da Basic Pentesting pede exatamente isso, e é o que transforma uma box resolvida em uma habilidade reutilizável.

Se a parte de scan e enumeração ainda está fraca, o capítulo de reconhecimento ativo do curso de pentest de redes da HackerDNA cobre a descoberta de hosts e o scan que você vai repetir em todas as máquinas do VulnHub.

Alternativas ao VulnHub quando a configuração atrapalha

O VulnHub é a ferramenta certa quando você quer treinar offline em um lab que controla totalmente. Quando você quer conteúdo novo, orientação ou zero configuração, estas opções servem melhor:

O OffSec PG Play é o substituto mais próximo. A página do Proving Grounds anuncia mais de 50 labs com máquinas dedicadas criadas pela comunidade do VulnHub, jogados em um Kali no navegador com limite de 3 horas. Muitas das boxes que você baixaria do VulnHub estão lá, já rodando.

O Vulhub é um projeto diferente que todo mundo confunde com o VulnHub. É uma coleção open source de ambientes Docker vulneráveis prontos para uso, cada um montado em torno de uma vulnerabilidade real. Ótimo para estudar uma CVE específica, mas não há box para fazer root nem flag para capturar.

A HackerDNA mantém o formato que o VulnHub popularizou (achar uma entrada, pegar a flag de user, escalar, pegar a flag de root) e elimina a configuração. Os labs rodam no navegador com um terminal de ataque incluído, e muitos têm perguntas guiadas que conferem o seu progresso pelo caminho. Quando o lab de Comandos Nmap ficar fácil, o Infiltrator é um bom próximo passo: forje um token de login, ganhe acesso inicial e vá subindo até root.

Para uma comparação mais ampla entre plataformas pagas e gratuitas, veja nossa seleção de alternativas ao Hack The Box.

Considerações legais e éticas

• Trate cada download como código não confiável. O FAQ do VulnHub é direto: o site não consegue verificar as máquinas enviadas, e uma VM desconhecida pode tentar atacar o seu computador ou a sua rede. Confira os checksums e mantenha os alvos isolados.
• Nunca coloque uma VM vulnerável em modo bridge. O FAQ recomenda não rodar essas máquinas em uma rede doméstica, em uma rede de produção ou em qualquer rede com acesso à internet. A rede host-only existe por isso.
• Fique de olho no IP do alvo. Um erro de digitação na sub-rede pode apontar o seu scanner para um dispositivo real. Confirme o alvo antes de cada exploit, principalmente se o Kali também tiver um adaptador NAT.
• Publique write-ups só de máquinas de lab. Publicar um walkthrough do VulnHub é bem-vindo. Publicar técnicas usadas contra sistemas que você não tinha permissão para testar, não.

Perguntas frequentes