módulo base · leitura obrigatória

Lab Seguro — o ambiente antes do ataque

Todo estudo e ferramenta deste site remete a esta página. A regra de ouro é simples: nada de produção, nada sem autorização, nada fora do escopo. Aqui você monta o campo de treino em minutos.

Por que isolar

Blast radius: um scan agressivo derruba serviços; um exploit mal calibrado corrompe dados. No lab isso é aprendizado — em produção é processo.
Legalidade: Lei 12.737/2012 e LGPD tratam acesso não autorizado como crime, mesmo sem dano. Autorização escrita não é opcional.
Reprodutibilidade: laudo de pentest só vale se o achado se reproduz. Lab controlado = evidência controlada.
Higiene do host: containers e VMs preservam seu Termux/celular/desktop principal — nada de deixar ferramenta de exploração rodando no ambiente onde você faz banco.

Receita 1 — VirtualBox + Kali + rede host-only (desktop)

Melhor experiência geral. Kali como atacante, uma VM Metasploitable/DVWA como alvo, rede host-only isolada da internet.

Instale VirtualBox no host (Windows/Linux/macOS).
Baixe a ISO oficial: kali.org/get-kali e Metasploitable 2.
Crie uma rede host-only em Arquivo → Ferramentas → Gerenciador de Rede. Desmarque DHCP para forçar IPs manuais.
Nas duas VMs, adaptador único = host-only. Sem NAT, sem bridge.
Configure IPs fixos (ex.: Kali 192.168.56.10, alvo 192.168.56.20).
Teste a rede com ping — só as VMs enxergam umas às outras.

Receita 2 — Docker Compose com alvos web (portátil)

Sobe DVWA, Juice Shop e bWAPP em rede interna sem gateway — os containers não enxergam a internet e não são enxergados por ela.

$ # docker-compose.yml
version: "3.8"
networks:
  labnet:
    driver: bridge
    internal: true   # sem saída para a internet
services:
  dvwa:
    image: vulnerables/web-dvwa
    ports: ["127.0.0.1:8081:80"]
    networks: [labnet]
  juice:
    image: bkimminich/juice-shop
    ports: ["127.0.0.1:8082:3000"]
    networks: [labnet]
  bwapp:
    image: raesene/bwapp
    ports: ["127.0.0.1:8083:80"]
    networks: [labnet]

$ docker compose up -d

Portas expostas só em 127.0.0.1 — nunca em 0.0.0.0. Ninguém na sua LAN alcança o alvo.

Receita 3 — Termux + proot-distro Debian (celular)

Isola o pentest do Termux principal. Se algo quebrar, você joga o rootfs fora e cria outro em 2 minutos.

$ pkg install proot-distro -y
proot-distro install debian
proot-distro login debian
# dentro do Debian:
apt update && apt install -y nmap curl git python3 python3-pip

Sem tsu/root. Use containers Docker no PC para subir os alvos vulneráveis e aponte o Termux para eles via Wi-Fi da mesma rede local isolada.

Alvos legais para praticar

Enquanto o lab local não sobe, use plataformas que autorizam o teste por termos de uso — atacar qualquer coisa fora daqui sem contrato é crime.

Kill-switch — derrubar tudo em 1 comando

Salve como lab-down.sh. Use quando perceber que o teste escapou do escopo, quando alguém precisar do dispositivo, ou no fim da sessão.

$ #!/usr/bin/env bash
# lab-down.sh — encerra containers e VMs de pentest
set -e
echo "[*] parando containers do lab..."
docker compose down -v 2>/dev/null || true
docker ps -q --filter "label=lab" | xargs -r docker stop
echo "[*] desligando VMs VirtualBox marcadas..."
VBoxManage list runningvms | awk -F\" '{print $2}' | while read vm; do
  VBoxManage controlvm "$vm" poweroff || true
done
echo "[ok] lab desligado."

$ chmod +x lab-down.sh && ./lab-down.sh

Checklist pré-teste (metodologia OffSec)

Checklist interativo

Antes do primeiro comando

OffSec chama isso de Rules of Engagement. Nada roda enquanto os 8 itens não estiverem marcados.

0/8

01Autorização por escrito assinada (e-mail com aceite conta).Sem isto, PARE. Autoridade verbal não protege ninguém.
02Escopo definido: IPs, domínios, aplicações, exclusões.Se está fora da lista, está fora do teste — mesmo que 'apareça'.
03Janela de teste combinada (data, hora, fuso).
04Canal de contato aberto com o cliente/dono (telefone + e-mail).Para quando algo cair. Vai cair.
05Backup e ponto de restauração validados no alvo (quando aplicável).
06Plano de rollback documentado se você alterar dados.
07Ambiente do atacante isolado (VPN dedicada, VM/Docker de trabalho).Nada de rodar sqlmap na mesma sessão que abre seu banco.
08Logging ligado no seu lado (script/tmux/asciinema) para evidência.
$ tmux new -s pentest && script -f /tmp/session-$(date +%F).log

próximo passo

Com o lab de pé, vá para os estudos e escolha um assunto. Cada estudo termina com um bloco Lab · Verificação · Ética que aponta de volta pra cá.