Os labs de cibersegurança da HackerDNA são ambientes práticos de hacking que rodam em máquinas virtuais reais e isoladas - não simulações. Cada lab coloca você diante de um alvo propositalmente vulnerável, onde você pratica exploração web, escalação de privilégios, quebra de senhas, ataques de rede e muito mais, até capturar uma flag para provar que resolveu.
Seja para se preparar para o OSCP, construir uma carreira em teste de intrusão ou aprender hacking ético do zero, os labs são classificados de Muito Fácil a Difícil, para você começar no seu nível e evoluir. Crie uma conta gratuita para iniciar sua primeira máquina, acompanhar seu progresso e subir no ranking global.
Lab
XP
Taxa de Sucesso
Jogadores
Muito Fácil
Capture the Flag 101: Encontre e Envie Sua Primeira flag
Encontre sua primeira flag, copie e envie para ganhar pontos.
Fundamentos de Segurança
Capture The Flag CTF CTF Basics
Muito Fácil
Secrets in Source: veja o código-fonte para encontrar a flag
Abra o código da página e ache o segredo deixado num comentário.
Segurança Web & API
View Source Code HTML Browser DevTools
Muito Fácil
Vitória rápida
Secrets in Source 2: contornar a segurança por obscuridade
Burle o bloqueio do clique direito e leia o código escondido.
Segurança Web & API
Client-Side Security Security Through Obscurity Browser DevTools
Muito Fácil
Hack the Login
Abra as ferramentas do navegador, veja o que a página confere e entre.
Segurança Web & API
Authentication Bypass Broken Authentication Client-Side Security
Muito Fácil
Hack the Cookie: Ataque de Envenenamento de Cookie
Decodifique o cookie de sessão, mude seu papel e vire administrador.
Segurança Web & API
Cookie Poisoning Session Tampering Base64 Encoding
Muito Fácil
Chefão
Lab de comandos Nmap: da varredura de portas à escalação de privilégios
Escaneie as portas, entre por um serviço fraco e vire root.
Redes & Infraestrutura
Nmap Nmap Commands Telnet
Fácil
Chefão
Infiltrator
Forje um token de login, entre e suba até o usuário root.
Segurança Web & API
JWT Manipulation SSH Exploitation Log Injection
Fácil
Include me
Engane o carregador de arquivos e leia o que era proibido.
Segurança Web & API
PHP LFI
Fácil
Vitória rápida
Anonymous
Entre como visitante no servidor de arquivos e pegue o que achar.
Redes & Infraestrutura
FTP
Fácil
Spoof!
Falsifique seu IP em um cabeçalho e passe pelo controle de acesso.
Redes & Infraestrutura
IP SPOOFING
Fácil
Cronpocalypse
Sequestre uma tarefa agendada e suba até o usuário root.
Escalonamento de Privilégios & Pós-Exploração
SSH
Fácil
Quebra de senhas - ataque com lista personalizada
Monte uma lista de palavras com o próprio site e quebre o arquivo.
Criptografia
Password Cracking Custom Wordlist Wordlist Generation
Fácil
Scheduled Sabotage
Entre por SSH, ache a tarefa que roda como root e sequestre-a.
Redes & Infraestrutura
Linux SSH File Enumeration
Fácil
Vitória rápida
Packet Pursuit
Abra uma captura de rede e siga os pacotes até o segredo.
Forense Digital & Resposta a Incidentes
Network Analysis Packet Capture Wireshark
Fácil
Anonymous 2
Acione o backdoor escondido num servidor FTP e abra um shell.
Redes & Infraestrutura
FTP Exploitation Backdoor Detection Network Services
Fácil
Chefão
FiPloit
Passe um web shell pelo filtro de upload e execute o código.
Forense Digital & Resposta a Incidentes
Local File Inclusion File Upload Bypass PHP Security
Médio
Chefão
Ataque SSRF: roube credenciais de metadados na nuvem
Faça o servidor buscar as chaves da nuvem e leia um segredo.
Segurança em Nuvem
SSRF Cloud Penetration Testing AWS IMDS
Médio
Engenharia Reversa: Crackme de Chave de Licença
Leia o assembly, quebre a verificação e escreva um keygen.
Engenharia Reversa & Exploração Binária
Reverse Engineering Binary Analysis Crackme
Médio
Chefão
Vazamento Mythos - Exposição de rascunhos de CMS headless
Recupere um rascunho apagado e roube o token para virar admin.
Segurança Web & API
Web Exploitation Headless CMS API Enumeration
Médio
Pickle Jar
Envie um arquivo pickle armadilhado, execute código e vire root.
Segurança Web & API
Python Pickle Deserialization RCE
Médio
Vitória rápida
ClearDesk
Troque um ID, leia arquivos proibidos e suba até virar administrador.
Segurança Web & API
IDOR API Security Path Traversal
Médio
Host Hijack
Falsifique um cabeçalho para envenenar um link e suba até root.
Segurança Web & API
Host Header Injection Password Reset Poisoning Command Injection
Médio
Hidden CMS Breach
Ache um CMS esquecido, entre, execute código e assuma o controle do servidor.
Segurança Web & API
Web Enumeration Web Security Authentication
Médio
TechNova Infiltration
Ache o erro exposto, quebre um acesso e vire root.
Segurança Web & API
Web Enumeration SSH Password Cracking
Médio
Alpwned
Burle o login com uma injeção e suba do shell até o root.
Segurança Web & API
SQL Injection Authentication Bypass SSH
Médio
Beyond Echo
Transforme uma página PHP simples em um jeito de rodar comandos no servidor.
Segurança Web & API
PHP RCE
Médio
Chefão
Query Quake
Injete uma consulta maliciosa no banco e execute seu código.
Segurança Web & API
MYSQLI RCE
Médio
Vitória rápida
Traversed
Explore o histórico de um repositório e recupere o arquivo apagado.
Forense Digital & Resposta a Incidentes
GIT
Médio
Vitória rápida
Compromised 1
Entre com a senha de fábrica, suba um web shell e use o sudo para virar root.
Segurança Web & API
Apache Tomcat Web Application Security WAR Deployment
Médio
Chefão
AlVault
Ache a ferramenta oculta, leia um arquivo bloqueado e chegue ao root.
Segurança Web & API
WEB
Médio
RCE Playground
Drible os filtros de entrada e rode comandos no servidor.
Segurança Web & API
Command Injection Input Validation Bypass Remote Code Execution
Médio
Vitória rápida
Matsudo
Escaneie o SSH, quebre uma senha fraca e use o sudo para virar root.
Redes & Infraestrutura
SSH Brute Force Privilege Escalation
Difícil
Prompt Injection: faça o jailbreak de um assistente de IA
Deslize um comando oculto no chat e sequestre as respostas dele.
Segurança de IA
Prompt Injection LLM Security AI Red Teaming
Difícil
Pwnify - Teste de Invasão de Aplicação Web
Invada o app, quebre os hashes e vire root no sistema.
Segurança Web & API
Web Application Security Mass Assignment Command Injection
Difícil
Chefão
Hack the Box
Entre pela app web e explore um estouro de buffer até o root.
Engenharia Reversa & Exploração Binária
Directory Fuzzing X-Forwarded-For Spoofing Bruteforce
Difícil
WP Ultimate
Encadeia uma falha de plugin para controlar o site todo.
Segurança Web & API
WP
Difícil
FortiPy
Explore um bug de template numa app Python e vire root.
Segurança Web & API
Web Application Security SSTI Flask Security
Difícil
Broken Chain
Encadeie várias falhas web para dominar o sistema inteiro.
Segurança Web & API
IDOR Exploitation Zip Slip Vulnerability Server-Side Template Injection
Difícil
Compromised 2
Decompile o app mobile e invada o sistema de controle industrial.
Segurança Mobile
Advanced Reconnaissance Android Reverse Engineering SCADA Exploitation
Difícil
Internal
Injete um comando, abra um shell e vire root por uma capability.
Segurança Web & API
Command Injection Linux Capabilities Privilege Escalation
Desafio
XOR Reuse
Adivinhe o início da mensagem e use isso para recuperar a chave XOR.
Criptografia
Cryptography XOR Known-Plaintext Attack
Desafio
Token Trust
Pegue chaves OAuth vazadas e emita seu próprio token admin.
Segurança Web & API
OAuth 2.0 API Security JWT
Desafio
Vitória rápida
Fine Print
Mude a forma como a página é exibida e leia o memorando oculto no CSS.
Forense Digital & Resposta a Incidentes
CSS Media Queries Web Forensics
Desafio
Phantom Text
Revele caracteres Unicode invisíveis escondidos num post comum de blog.
Forense Digital & Resposta a Incidentes
Unicode Steganography Web Forensics
Desafio
Vitória rápida
Prática de fundamentos Linux
Percorra os diretórios e use grep e find para achar arquivos ocultos.
Fundamentos de Segurança
Linux Command Line File System Navigation
Desafio
Shadow Cracker
Quebre hashes de senhas do Linux com uma wordlist e recupere os logins.
Criptografia
Password Cracking Linux Security John the Ripper
Desafio
Windows Password Cracker
Quebre um lote de hashes NTLM usando uma lista de palavras.
Criptografia
Password Cracking Windows Security NTLM
Desafio
Office Password Cracker
Extraia o hash de um documento protegido e quebre a senha offline.
Criptografia
Password Cracking Office Security Hash Extraction
Desafio
Regex Bypass to SQLi
Passe por um filtro de entrada fraco e extraia dados com uma consulta UNION.
Segurança Web & API
SQL Injection Regex Bypass Input Validation
Desafio
Git Exposed
Baixe o repositório exposto e traga de volta arquivos apagados.
Forense Digital & Resposta a Incidentes
Git Version Control Source Code Analysis
Desafio
Backup Hunter
Encontre o backup esquecido que um admin deixou no servidor web.
Segurança Web & API
Web Enumeration File Discovery Reconnaissance
Desafio
Vitória rápida
Type Juggling Bypass
Explore a comparação frouxa do PHP e entre sem senha.
Segurança Web & API
Web Security PHP Type Juggling
Desafio
Vitória rápida
Crack SHA1 Hash
Jogue uma wordlist no hash e recupere a senha por trás dele.
Criptografia
Cryptography Hash Cracking Password Analysis
Desafio
Grátis
Teste de injeção SQL
Injete SQL no formulário de login e entre sem saber a senha.
Segurança Web & API
SQL Injection Web Security Database Security
Desafio
Grátis
Hack This Site
Desembaralhe o JavaScript da página e encontre um jeito de passar pelo login.
Engenharia Reversa & Exploração Binária
JavaScript Deobfuscation Client-Side Security
Desafio
Vitória rápida
HTTP Smuggling
Analise o tráfego capturado e ache a requisição escondida em outra.
Forense Digital & Resposta a Incidentes
HTTP Protocol Request Smuggling Network Forensics
Desafio
Email Header Forensics
Leia os cabeçalhos do e-mail e descubra a origem do golpe.
Forense Digital & Resposta a Incidentes
Email Forensics Header Analysis Phishing Detection
Desafio
Vitória rápida
SSRF Validator
Burle o filtro de URL e faça o servidor buscar páginas internas.
Segurança Web & API
SSRF Web Security URL Manipulation
Desafio
Vigenère Stego Hunt
Ache a chave escondida na imagem e quebre a cifra clássica.
Forense Digital & Resposta a Incidentes
Cryptography Steganography Classical Ciphers
Desafio
Vitória rápida
Simple Directory Traversal
Saia da pasta web com ../ e leia arquivos que deveriam ficar ocultos.
Segurança Web & API
Directory Traversal Path Injection File System Security
Desafio
YAML Bomb
Envie uma configuração YAML maliciosa e faça o parser executar seu código.
Segurança Web & API
YAML Deserialization PyYAML Exploitation Configuration Injection
Desafio
Vitória rápida
WebDAV Explorer
Suba seu próprio arquivo em um servidor aberto e domine tudo.
Segurança Web & API
WebDAV Exploitation File Upload Directory Traversal
Desafio
Prototype Pollution Hunter
Polua o protótipo de um objeto JavaScript e ganhe novos privilégios.
Segurança Web & API
Prototype Pollution Node.js Security API Security
Desafio
Race Condition Hunter
Dispare requisições em paralelo e gaste o mesmo dinheiro duas vezes.
Segurança Web & API
Race Conditions Timing Attacks Concurrent Exploitation
Desafio
Vitória rápida
IDOR Explorer
Troque um número no link e abra arquivos que não são seus.
Segurança Web & API
IDOR Parameter Manipulation Web Application Security
Desafio
Vitória rápida
Header Hijacker
Reescreva os cabeçalhos da requisição e passe pelo controle de acesso.
Segurança Web & API
HTTP Headers Security Bypass Web Application Security
Desafio
Vitória rápida
Corporate Directory Hunt
Vasculhe as pastas ocultas e ache o painel de administração.
Segurança Web & API
Directory Enumeration Web Reconnaissance Administrative Panel Discovery
Desafio
File Include Bypass
Burle o filtro com LFI e leia o que está trancado.
Segurança Web & API
Local File Inclusion Filter Bypass Apache Authentication
Desafio
Cookie Forge
Altere seu token de sessão e entre como administrador.
Segurança Web & API
JWT Cookie Manipulation Authentication Bypass
Desafio
Button Activator
Abra o DevTools, reative o botão desativado e pegue a flag.
Segurança Web & API
JavaScript Browser DevTools DOM Manipulation
Desafio
GraphQL Gateway
Peça para a API se descrever e consulte o que deveria estar fechado.
Segurança Web & API
GraphQL API Security Schema Introspection
Desafio
DNS Tunneling Detective
Ache o canal oculto no tráfego e reconstrua os dados roubados.
Forense Digital & Resposta a Incidentes
Network Forensics DNS Analysis Data Exfiltration
Desafio
Caesar Shift Decoder
Desloque o alfabeto até o texto embaralhado voltar a fazer sentido.
Criptografia
Cryptography Classical Ciphers Frequency Analysis
Desafio
Vitória rápida
Registry Hijacker
Burle o login de um registro de contêineres e assuma suas imagens.
Segurança em Nuvem
Docker Registry API Authentication Bypass Container Security
Desafio
SUID Privilege Hunter
Ache um programa com poderes extras e suba até o root.
Escalonamento de Privilégios & Pós-Exploração
SUID Binaries Privilege Escalation Command Injection
Desafio
Vitória rápida
MongoDB Injector
Insira um operador no formulário de login e entre sem saber a senha.
Segurança Web & API
NoSQL Injection MongoDB Authentication Bypass
Desafio
Redis Cache Poisoner
Injete quebras de linha numa nota e envie seus próprios comandos ao cache.
Segurança Web & API
CRLF Injection Redis Command Injection Cache Poisoning
Desafio
Vitória rápida
LDAP Injector
Injete um filtro LDAP para entrar como admin sem senha.
Segurança Web & API
LDAP Injection Authentication Bypass Directory Services
Desafio
Template Injector
Quebre uma busca e transforme o motor de modelos em shell.
Segurança Web & API
Server-Side Template Injection Flask Security Jinja2 Exploitation
Desafio
IP Spoofing Admin
Faça o portal achar que você está na rede interna e vire admin.
Segurança Web & API
Web Security HTTP Headers IP Spoofing
Desafio
WEP Cracker
Junte pacotes de rede sem fio e deixe a estatística achar a chave.
Forense Digital & Resposta a Incidentes
Wireless Security WEP Cracking RC4 Analysis
Desafio
Vitória rápida
Registry Hunter
Descubra como o malware resiste ao reinício e decodifique o que esconde.
Engenharia Reversa & Exploração Binária
Digital Forensics Windows Registry Persistence Analysis
Desafio
WiFi Password Cracker
Capture o handshake e rode uma lista de palavras na senha do WiFi.
Forense Digital & Resposta a Incidentes
WiFi Security WPA Cracking Dictionary Attacks
Desafio
Book Cipher Challenge
Ligue cada número a uma palavra do texto e leia a mensagem oculta.
Criptografia
Cryptography Classical Ciphers Pattern Recognition
Desafio
Vitória rápida
Admin Portal Breach
Vasculhe o código-fonte, quebre um hash MD5 e entre como administrador.
Segurança Web & API
Client-Side Security MD5 Cracking Source Code Analysis
Desafio
Git Secrets Hunter
Vasculhe commits antigos até encontrar um segredo vazado.
Forense Digital & Resposta a Incidentes
Git Forensics Version Control Security Repository Analysis
Desafio
Corporate Backup Deserializer
Monte um pickle malicioso e rode seu código num import de backup.
Segurança Web & API
Python Pickle Enterprise Deserialization Corporate Backup Systems
Desafio
ZIP Cracker
Teste uma lista de senhas contra um arquivo ZIP até ele abrir.
Criptografia
ZIP Password Cracking John the Ripper fcrackzip
Desafio
KeePass Breaker
Force a entrada num cofre de senhas quando as ferramentas comuns falham.
Criptografia
KeePass 4.x Security Direct Brute Force Password Manager Assessment
Desafio
Template Injection
Injete código em um modelo e faça o servidor executá-lo.
Segurança Web & API
Server-Side Template Injection Jinja2 Flask Security
Desafio
PDF Password Cracker
Teste uma lista de senhas num PDF trancado até ele abrir.
Criptografia
PDF Security Password Cracking Dictionary Attacks
Desafio
Shell Command Scanner
Injete seu próprio comando shell numa ferramenta de scan e leia o servidor.
Segurança Web & API
Command Injection Web Security Shell Commands
Desafio
LFI Log Poison
Esconda um código no seu user-agent e inclua o log para executá-lo.
Forense Digital & Resposta a Incidentes
Local File Inclusion User-Agent Log Poisoning Remote Code Execution
Desafio
NoSQL Injection
Manipule um filtro do banco com operadores e revele registros ocultos.
Segurança Web & API
NoSQL Injection MongoDB Visibility Controls
Desafio
File Upload Bypass
Disfarce um web shell de imagem e rode comandos no servidor.
Segurança Web & API
File Upload Web Security Bypass Techniques
Desafio
Vitória rápida
URL Scanner
Engane um leitor de URL e receba credenciais da nuvem.
Segurança em Nuvem
SSRF Server-Side Request Forgery AWS Metadata
Desafio
CSRF Bank Transfer
Monte um formulário oculto e faça a vítima transferir dinheiro.
Segurança Web & API
CSRF Cross-Site Request Forgery Session Security
Desafio
XSS Playground
Injete um script na página e roube a sessão de outro usuário.
Segurança Web & API
XSS Cross-Site Scripting Stored XSS
Desafio
JWT Claims Manipulation
Quebre o segredo do token, reescreva seu papel e validade e assine de novo.
Segurança Web & API
JWT Claims Manipulation Privilege Escalation
Desafio
SQL Injection
Faça perguntas de sim ou não ao banco e reconstrua seus segredos aos poucos.
Segurança Web & API
SQL Injection Database Security Web Security
Desafio
XXE Exposed
Monte uma entidade XML que faz o servidor revelar os próprios arquivos.
Segurança Web & API
XXE XML Security File Disclosure
Desafio
JWT Algo Confusion
Troque o algoritmo do token e assine com a chave pública do servidor.
Segurança Web & API
JWT Algorithm Confusion RS256
Desafio
JWT Bypass
Altere um token de login e seja aceito sem uma assinatura válida.
Segurança Web & API
JWT Web Security Token Authentication
Desafio
Grátis
Auth Bypass
Injete SQL no formulário de login e entre sem saber a senha.
Segurança Web & API
SQL Injection Authentication Bypass Web Security
Desafio
Grátis
Ping Pwn
Insira um comando shell numa ferramenta de ping e faça o servidor rodá-lo.
Segurança Web & API
Command Injection Web Exploitation Service Discovery
Desafio
Grátis
Log Hunter
Investigue os registros HTTP até achar a requisição que denuncia o invasor.
Forense Digital & Resposta a Incidentes
Log Analysis Web Security Incident Response
Desafio
API Logic Flaw
Altere um valor na requisição e passe pela checagem de login da API.
Segurança Web & API
API Security Logic Flaw Authentication Bypass
Desafio
Grátis
Path Traversal
Saia da pasta web e leia arquivos que deveriam ficar escondidos.
Segurança Web & API
Path Traversal CGI Web Security
Desafio
Vitória rápida
Flask Error
Force um erro e use a página de debug para achar o segredo.
Segurança Web & API
Flask Debug Mode Python
Desafio
Vitória rápida
Rail Fence
Desfaça uma cifra de transposição em zigue-zague e leia a mensagem.
Criptografia
Cryptography Transposition Cipher Rail Fence
Desafio
Sonic Cipher
Extraia a mensagem escondida nos bits mais baixos de um áudio.
Forense Digital & Resposta a Incidentes
Steganography Audio Analysis LSB
Desafio
Pixel Puzzler
Extraia uma mensagem oculta dos bits menos significativos de uma imagem.
Forense Digital & Resposta a Incidentes
Steganography Image Analysis LSB
Desafio
Vitória rápida
PDF Trap
Vasculhe metadados e camadas ocultas de um PDF para achar o segredo.
Forense Digital & Resposta a Incidentes
PDF Forensics File Analysis Metadata
Desafio
Vitória rápida
Blockchain Secrets
Rastreie uma transação Bitcoin e decodifique a mensagem guardada nela.
Forense Digital & Resposta a Incidentes
Blockchain Analysis Bitcoin OP_RETURN
Desafio
Corporate Breach 2
Manipule o caminho do arquivo e leia o que está bloqueado.
Segurança Web & API
Web Security PHP LFI
Desafio
Corporate Breach
Leia um arquivo oculto com LFI, quebre a senha e faça login.
Segurança Web & API
Web Security PHP LFI
Desafio
Vitória rápida
DNS Exfil
Leia as consultas de nomes na captura e decodifique os dados roubados.
Forense Digital & Resposta a Incidentes
Network Analysis DNS Packet Analysis
Desafio
Crypto Cipher
Quebre o código antigo e leia a mensagem escondida.
Criptografia
Cryptanalysis Classical Crypto Pattern Recognition
Desafio
Session Switch
Altere sua sessão e faça o app tratar você como administrador.
Segurança Web & API
Web Security Session Management Authentication
Desafio
Snapchat Exposed
Ache um servidor de build aberto e faça-o executar seus comandos.
Segurança Web & API
Jenkins CI/CD DevOps
Desafio
Red is Dead
Encontre um servidor Redis exposto e decodifique os dados deixados nele.
Forense Digital & Resposta a Incidentes
Network Reconnaissance Service Discovery Database Forensics
Desafio
Memory Forensics
Vasculhe um dump de memória e decodifique o texto escondido em ROT13.
Engenharia Reversa & Exploração Binária
Memory Forensics Binary Analysis Digital Forensics
Desafio
API Breaker
Decodifique seu token Base64, troque seu papel e use a API como admin.
Segurança Web & API
API Security Web Hacking Logic Flaws
Desafio
QR Code Quest
Decodifique QR codes escondidos em imagens e extraia os dados secretos.
Forense Digital & Resposta a Incidentes
QR Code Analysis Image Analysis Data Extraction
Desafio
Base64 Detective
Vasculhe o código da página e decodifique o Base64 escondido à vista.
Segurança Web & API
Base64 Web Inspection Browser DevTools
Desafio
Vitória rápida
Binary Secrets
Abra o arquivo num editor hexadecimal e leia o que os bytes escondem.
Engenharia Reversa & Exploração Binária
Binary Analysis Hex Editors Data Structures
Desafio
Get the Password
Ache o hash no script da página e quebre-o até chegar à senha.
Criptografia
JavaScript MD5 Rainbow Tables
Desafio
Vitória rápida
Stego Hunt
Extraia uma mensagem escondida dentro de uma imagem comum.
Forense Digital & Resposta a Incidentes
Steganography Image Analysis Web
Desafio
Vitória rápida
Hex Hunt
Encontre a sequência hexadecimal no código e decodifique a flag.
Segurança Web & API
JavaScript Web Development Hexadecimal
Nenhum lab corresponde a esses filtros.
Limpar filtros
Mostrar mais
