Сайты, которые помогут тебе стать хакером

Задумывался ли ты когда-нибудь с чего начать, где получить больше знаний и даже проверить и улучшить свои хакерские навыки? Вот подборка лучших сайтов, которые тебе помогут. Перечисленные ниже сайты, помогут понять каждый аспект безопасной (или, скорее, небезопасной) стороны программного обеспечения, сетей, серверов и каждого отдельного элемента, который может быть представлен в мире информационной безопасности.

Hack The Box – это онлайн-платформа, позволяющая вам проверить свои навыки тестирования на проникновение и обменяться идеями и методологиями с тысячами людей в области безопасности. Что бы начать пользоваться этой платформой вам нужно пройти регистрацию в стиле CTF.

Hack The Box предоставляет множество задач – в виде виртуальных машин – имитирующих реальные проблемы безопасности, которые постоянно обновляются, также у вас есть возможность проходить разные задачи, такие как стеганография, реверсинг и т. д. На момент написания статьи доступно 182 CTF задания.

Vulnhub – это сайт, на котором можно найти образы уязвимых виртуальных машин, на которых вы можете попрактиковаться в своей локальной сети. Обычно они отмечены уровнем сложности, в большинстве из них есть пошаговые инструкции, если вы застряли, и они полностью легальны. Платформа также используется школами, университетами и правительствами для обучения, а также организациями при проведении собеседований.

Smash The Stack проводит несколько варгеймов. Варгейм можно описать как этическую хакерскую среду, которая моделирует реальные уязвимости программного обеспечения и допускает легальное применение методов эксплуатации. Программное обеспечение может быть операционной системой, сетевым протоколом или любым пользовательским приложением. Каждый варгейм содержит множество задач, начиная от стандартных уязвимостей и заканчивая задачами на реверс-инжиниринг.

OverTheWire подойдёт всем желающим изучить теорию информационной безопасности и применить её на практике независимо от своего опыта. Варгеймы, предлагаемые сообществом OverTheWire, могут помочь вам изучить и отработать концепции безопасности в форме игр. Чтобы узнать больше об определенном варгейме, просто посетите его страницу, указанную в меню слева. Новичкам следует начать с задач уровня Bandit, поскольку они необходимы для дальнейшего решения других задач.

Root Me быстрый, простой и доступный способ отточить свои хакерские навыки. У Root-me есть множество видов задач. CTF, взлом, криптоанализ, криминалистика, программирование, стенография. Это определённо один из лучших сайтов в нашем списке.

Defend the Web – интерактивная платформа, где вы можете учиться и проверять свои навыки. За решение задач вы получаете определённое количество очков в зависимости от уровня сложности. Подобно Hack This Site, у Defend the Web также есть живое сообщество, многочисленные статьи и новости о хакинге и форум, на котором вы можете обсудить задачи и вопросы, связанные с безопасностью.

TryHackMeявляется одной из лучших платформ, где вы можете улучшить свои навыки в области кибербезопасности. Платформа разрабатывает виртуальные классы, которые не только позволяют пользователям развертывать учебные среды одним нажатием кнопки, но и добавляют новый подход – вопрос-ответ. Это удобный тип обучения с использованием предварительно разработанных курсов, которые используют виртуальные машины, размещенные в облаке.

Хотя использование модели вопрос-ответ действительно облегчает обучение, TryHackMe позволяет пользователям создавать свои собственные виртуальные классы для преподавания определенных тем. Это не только предоставляет другим пользователям богатый и разнообразный контент, но также помогает укрепить понимание фундаментальных концепций. Некоторые частные организации используют платформу для оценки способностей интервьюируемых.

CRYPTOHACK – это интересный способ изучить криптографию, а также приобрести ценные навыки CTF. С помощью серии головоломок вам предстоит взломать плохие реализации «современной» криптографии, такие как AES, RSA и Elliptic-Curve. Хотя CryptoHack черпал вдохновение в соревнованиях Capture the Flag, он фокусируется исключительно на их криптографических аспектах, то есть на взломе шифров, дешифровании, кодировании и преобразовании между форматами.

Reversing Hero это набор из 15 задач, предназначенных для обучения обратному инжинирингу, начинается с основ и продолжается более сложными темами. Особых правил прохождения уровней нет: разрешено все.

CrackMes простое место, с удобным интерфейсом, где вы можете улучшить свои навыки реверс-инжиниринга.

Hacking-Lab это онлайн-платформа для этического взлома, компьютерных сетей, предназначенная для обучения кибербезопасности. Цель Hacking-Labs – повысить осведомленность о повышении уровня образования в области информационной безопасности с помощью серии кибер-соревнований, которые включают судебную экспертизу, криптографию, реверсинг, захват флага, этический взлом и защиту. Ее цели – развитие молодых кибер-талантов, а одна из ключевых инициатив Hacking-Lab – создание среды, которая создает киберзащиту через образование.

Lin.security privilege escalation – образ виртуальной машины Linux (1.7 GB), которая страдает рядом уязвимостей, позволяющих пользователю получить root-доступ на компьютере. Основная цель – помочь понять, как определенные встроенные приложения и службы, если они неправильно настроены, могут быть использованы злоумышленником. Это поможет вам усовершенствовать свои навыки, методы и наборы инструментов для повышения локальных привилегий.

PWNABLE – это классика, один из фаворитов всех времен. Некоммерческий сайт с варгеймами, который предлагает различные задачи, касающиеся эксплуатации системы. Основная цель pwnable – “развлечься”. Играя, вы можете изучить/улучшить навыки взлома системы. Единственное, что вам нужно сделать, это нажать “играть” в верхней левой зоне, выбрать игру и запустить ее. В них предусмотрена система подсчета очков: чем сложнее задача, тем больше очков вы выиграете.

picoCTF – это бесплатная игра с оригинальным образовательным контентом, предназначенная для учащихся средних и старших классов, построена на платформе захвата флага, созданной экспертами по безопасности и конфиденциальности из Университета Карнеги-Меллона. Игра состоит из серии задач, сосредоточенных вокруг уникальной сюжетной линии. Все задачи созданы с намерением быть взломанными, что делает его отличным легальным способом получить практический опыт. Весь код вы сможете найти на GitHub (https://github.com/picoCTF).

Exploit Education предоставляет разнообразные виртуальные машины, документацию и задачи, которые можно использовать для изучения различных проблем компьютерной безопасности, таких как повышение привилегий, анализ уязвимостей, разработка эксплойтов, отладка, реверсинг и общие проблемы кибербезопасности.

Enigma Group содержит более 300 задач, эти задачи охватывают эксплойты, перечисленные в списке 10 лучших эксплойтов OWASP, компания так же обучает участников многим другим типам эксплойтов, которые встречаются в современных приложениях; таким образом, помогая им в то же время стать лучшими программистами. Сайт имеет почти 48000 активных участников и проводит еженедельные CTF-соревнования, а также еженедельные и ежемесячные конкурсы.

HellBound Hackers – это полностью легальная веб-площадка для обучения безопасности. Тут можно найти традиционные задачи с эксплойтами и такие форматы задач, которых нет на других ресурсах. Например, патчинг приложений и задачи, ограниченные по времени. В задачах с патчингом вам даётся уязвимый фрагмент кода и вам нужно предложить исправление этой уязвимости.HBH также предоставляет обширную библиотеку статей и полезных сообщений на форуме.

Try2Hack – этот сайт предлагает несколько задач, связанных с безопасностью, для вашего развлечения. Каждая задача требует разного подхода для решения и по мере продвижения становится всё сложнее. Это один из старейших сайтов в нашем списке.

IO – варгейм от создателей netgarage.org, который предполагает решение задач по уровням. Игра, постоянно обновляется по мере развития технологий.

Exploit Exercises несмотря на небольшое количество виртуалок, и их относительно давнюю публикацию, почерпнуть что-то новое можно и тут. Здесь вы сможете изучить повышение привилегий, разработку эксплойтов, реверс-инжиниринг и это далеко не всё.

Game of Hacks – эта игра была разработана для проверки ваших навыков взлома приложений. Вам будут представлены фрагменты кода, и ваша миссия – как можно быстрее найти уязвимость.

Cryptopals представляет собой серию задач криптографии, созданных бывшей командой Matasano Security. Это сборник из 48 упражнений, разделенных на 8 частей. Когда вы решите все задания, вы не только узнаете много нового о том, как построены криптосистемы, но также поймете, как они атакуются.

Typhoon – это виртуальная машина с несколькими уязвимостями, которая обеспечивает лабораторную среду для исследователей, желающих повысить свои навыки в области кибербезопасности. Typhoon был разработан командой Prisma CSI, чтобы обеспечить небольшую среду для практического обучения тестированию на проникновение. Вы можете загрузить виртуальную машину и установить ее в своей системе, что даст вам возможность получить практические навыки.

Command Challenge – это интересный сайт, на котором эмулируется bash терминал внутри браузера, все команды выполняются удаленно в контейнере Docker. У вас есть конкретные задания, которые необходимо решить, используя только командную строку. Все начинается с простых задач, но они постепенно усложняются.

Hack.me – это бесплатный проект eLearnSecurity. Сообщество может создавать, размещать и публиковать уязвимый код веб-приложений в образовательных и исследовательских целях. Он нацелен на то, чтобы стать самой большой коллекцией “работающих” уязвимых веб-приложений в интернете.

Hacksplaining представляет каталогизированный и наглядный онлайн-туториал по основным веб-уязвимостям. По каждой уязвимости представлено подробное описание, насколько часто встречается, как сложно ее эксплуатировать и уровень ее критичности. К каждой уязвимости приложено подробное описание, вектор эксплуатации, уязвимый код и рекомендации по устранению и защите.

Practical Pentest Labs благодаря широкому спектру хостов с уязвимостями, которые постоянно обновляются, чтобы поддерживать ваши навыки в актуальном состоянии, виртуальные лаборатории ориентированы на всех, кто интересуется искусством обнаружения, эксплуатации и разработки уязвимостей. Шаг за шагом вас проведут через все аспекты взлома от А до Я, охватывая десятки техник и множество инструментов.

SQLZoo – это хорошо зарекомендовавшая себя онлайн-платформа (с 1999 года) для написания и выполнения SQL-запросов к действующей базе данных. Онлайн-курс создан специально для людей, которые никогда не сталкивались с программированием, он чрезвычайно прост в использовании и, более того, совершенно бесплатный. Вы можете видеть фактический результат своего запроса, не проверяя, соответствует ли он решению – важен результат. Это не обычная онлайн-книга обучающих статей, а платформа с тестами, ссылками и учебными пособиями, которые помогут вам в изучении SQL.

XSS game состоит из нескольких уровней, напоминающих реальные приложения, уязвимые для XSS – ваша задача будет заключаться в том, чтобы найти проблему и атаковать приложения.

alert(1) to win – это место для практики XSS, в частности обхода фильтров. Для прохождения требуется знание javascript и HTML.

XSSEducation – набор задач для людей, которые только изучают XSS, и для людей, которым просто нужно хорошее место для практики своих и без того потрясающих навыков.

WackoPico – это уязвимое веб-приложение, которое содержит известные и распространенные уязвимости, чтобы вы могли использовать свои навыки и знания веб-пентеста, такие как XSS-уязвимости, SQL-инъекции, уязвимости sessionID, LFI и RFI, манипуляции с параметрами, логические ошибки в коде.

BodgeIt Store – уязвимое веб-приложение с открытым исходным кодом, которое в настоящее время предназначено для людей, которые плохо знакомы с веб-тестированием на проникновение. Его легко установить и использовать. Он включает уязвимости, такие как межсайтовый скриптинг, SQL-инъекция, скрытый (но незащищенный) контент, отладочный код, небезопасные ссылки на объекты и уязвимости логики приложения.

Hackxor – реалистичная игра для взлома веб-приложений, призванная помочь игрокам с любым уровнем подготовки развить свои навыки. Все миссии основаны на реальных уязвимостях, которые вы можете обнаружить лично при проведении пентестов, поиске ошибок и исследованиях.

Hacker Gateway – это идеальное место для хакеров, которые хотят проверить свои навыки. Задачи охватывают множество категорий, включая криптографию, стеганографию, программирование и многое другое.

ThisIsLegal сайт c варгеймами и множеством других вещей, таких как форумы и обучающие туториалы. Цель – помочь вам узнать и улучшить как можно больше, а также предоставить сообществу возможность пообщаться.

DVWA – уязвимое веб-приложение PHP/MySQL, является одним из самых известных веб-приложений, используемых для тестирования ваших навыков тестирования на проникновение и ваших знаний в области внедрения SQL, XSS, Blind SQL и т. д. DVWA разработан Райаном Дьюхерстом, также известным как ethicalhack3r, и является часть проекта RandomStorm OpenSource.

Mutillidae – бесплатное веб-приложение с открытым исходным кодом для тестирования на проникновение и взлома веб-сайтов, которое разработали Адриан Креншоу (Irongeek) и Джереми Друин (webpwnized). Он уязвим и идеально подходит для отработки ваших навыков, таких как внедрение SQL, межсайтовые сценарии, HTML-инъекция, Javascript-инъекция, кликджекинг, LFI, методы обхода аутентификации, удаленное выполнение кода и многое другое на основе OWASP top 10.

WebGoat – проект OWASP и заведомо небезопасное веб-приложение, предназначенное для обучения концепциям безопасности веб-приложений. Оно позволяет пользователям продемонстрировать свое понимание проблемы безопасности, используя реальную уязвимость в приложении на каждом уроке.

W3Challs – обучающая платформа с множеством задач в различных категориях, включая хакинг, варгеймы, форензику, криптографию, стеганографию и программирование. Цель платформы — предоставить реалистичные задачи. В зависимости от сложности решённой задачи вы получаете баллы. Также есть форум, на котором можно обсуждать и решать задачи с другими участниками.

Metasploitable – это виртуальная машина Linux, содержащая множество типов уязвимостей, обычно обнаруживаемых в операционной системе, которые можно использовать для эксплуатации. Проект Metasploitable также создается и поддерживается сообществом rapid7 (сообщество Metasploit-FrameWork). Проще говоря, Metasploitable – это операционная система на базе Linux, специально разработанная для отработки навыков тестирования на проникновение, навыков сетевой безопасности, Metasploit-Framework и многих других.

Holynix – это дистрибутив Linux, который был специально создан для того, чтобы иметь дыры в безопасности для целей тестирования на проникновение.

Vulnserver – это потоковое серверное приложение TCP на базе Windows. Это программное обеспечение предназначено в основном как инструмент для обучения тому, как находить и использовать переполнения буфера, и каждая из ошибок, которые оно содержит, тонко отличается от других, требуя немного другого подхода при написании эксплойта.

Ethernaut – это варгейм на основе Web3/Solidity, вдохновленный overthewire. Каждый уровень является смарт-контрактом, который нужно “взломать”. Игра полностью открыта (https://github.com/OpenZeppelin/ethernaut), и все уровни созданы другими игроками.

247CTF – потрясающая платформа, которая предоставляет задачи CTF, доступные 24/7, с категориями от использования двоичных файлов и от сетей до криптографии.

AttackDefense – более 1900 уникальных лабораторных упражнений по таким темам, как разведка, эксплуатация, постэксплуатация, кража данных, веб-приложения, анализ трафика, CVE, сетевые компоненты, атаки на инфраструктуру, повышение привилегий, криминалистика, анализ прошивки, реверсирование, безопасное кодирование, Сети IoT, Metasploit, Python для информационной безопасности и многие другие. Новые лаборатории добавляются еженедельно.

SecGen создает уязвимые виртуальные машины, чтобы вы могли изучить методы тестирования на проникновение. Виртуальные машины, подобные Metasploitable2, всегда одинаковы, в этом проекте используются Vagrant, Puppet и Ruby для быстрого создания случайно сгенерированных уязвимых виртуальных машин, которые можно использовать для обучения.

Awesome CTF – список фреймворков, библиотек, ресурсов, программного обеспечения и руководств для Capture The Flag. Этот список призван помочь начинающим, а также опытным игрокам найти все, что связано с CTF, в одном месте.

CTF-tools – это набор сценариев для установки различных инструментов исследования безопасности. Конечно, все утилиты можно установить вручную, но действительно приятно иметь их в одном месте, которое легко развертывается на новых машинах.

Ignitetechnologies содержит репозитории в которых помогут понять основы повышения привилегий на примерах (https://github.com/Ignitetechnologies/Privilege-Escalation), а также таблицу с машинами Vulnhub по их сложности (https://github.com/Ignitetechnologies/CTF-Difficulty).

Не расстраивайтесь, если (когда) вы застрянете. Все с чего-то начинают, и даже если вы не решите задачу, вы все равно сможете узнать что-то ценное и получить достаточно знаний, чтобы следующая задача была немного проще. Информационная безопасность – огромная область, в которой задействовано множество различных навыков, и есть чему поучиться.

Завершая полный круг, мы также рекомендуем вам сделать свои собственные отчёты. Постарайтесь объяснить, что вы сделали и почему ваше решение сработало, это может пригодиться позже!