Training Lab
Öffentliche Übungsziele für Web-Security — kostenlos, isoliert, täglicher Reset.
- ModernAmusement Development
- Shady Nathan Tawfik
- Full-Stack · Data Science · ML/KI · Cybersicherheit · Design · Open Source
Regeln
Das Labor ist absichtlich verwundbar. Spiele fair, damit es für alle online bleibt:
- Nur die drei Ziele unten angreifen — niemals Systeme außerhalb des Labors
- Kein DoS, kein Flooding, keine Brute-Force-Massenangriffe
- Keine illegalen Inhalte hochladen (Reviews, Gästebuch, Uploads)
- Das Labor wird jede Nacht zurückgesetzt — Fortschritt ist temporär
- Zugriffe werden geloggt; Missbrauch führt zum Ban
- Eine raffinierte Lücke gefunden? Genau darum geht es
Ziele
Drei unabhängige Umgebungen, jede in ihrem eigenen isolierten Netz. Such dir eins aus.
OWASP Juice Shop — Moderner Web-Shop mit über 100 Challenges entlang der OWASP Top 10. Der Punktestand wächst mit jedem gelösten Rätsel — von DOM-XSS bis Broken Auth.
WebGoat — Geführte Lektionen mit Erklärungen: Injection, Authentifizierung, Access Control und CSRF. Arbeite dich durch die Hinweise und vergleiche mit den Musterlösungen.
DVWA — Damn Vulnerable Web Application — jede Lücke auf drei Schwierigkeitsstufen. Nutze sie auf low aus und lies danach im Quellcode, warum medium und high härter sind.
Lernpfad
Ein Weg von null zu soliden Web-Security-Grundlagen:
| # | Station | Fokus |
|---|---|---|
| 1 | Juice Shop | Scoreboard finden, dann die ersten Challenges entlang der OWASP Top 10 |
| 2 | DVWA — low | SQL-Injection, XSS, LFI und CSRF selbst ausnutzen |
| 3 | DVWA — medium/high | Dieselben Lücken, jetzt mit Filtern — im Quellcode nachlesen, warum der Fix wichtig ist |
| 4 | WebGoat | Geführte Lektionen durcharbeiten: Injection, Auth, Access Control |
| 5 | Eigene Tools | Burp, ZAP, sqlmap gegen die Ziele — Requests und Responses analysieren |
| 6 | Hardening | Für jede ausgenutzte Lücke den Fix notieren — Validierung, Prepared Statements, CSP |
Zugang & Reset
| Ziele | Zugang |
|---|---|
juice.lab.modern-amusement.dev | Selbst registrieren |
webgoat.lab.modern-amusement.dev | WebGoat / WebGoat |
dvwa.lab.modern-amusement.dev | admin / password |