HackLab: محاكي هاكر — لعبة اختراق أخلاقي مع طرفية Linux حقيقية

المعيار المفيد لتقييم تطبيق الهاتف هو ما إذا كنت تكتب الأوامر أو تنقر على الإجابات، لأن تذكر الصياغة والترتيب يشكل معظم المهارة. يعمل HackLab بهذه الطريقة: تمنحك المهام طرفية تُفسّر فيها nmap وsqlmap وcurl وتجيب عنها بمخرجات واقعية، وكل هدف خيالي. وهو مجاني على iOS وAndroid ولا يتطلب خبرة سابقة. أما استخدام الأدوات الفعلية على مضيفين حقيقيين، فيبقى محصورًا في مختبر أو CTF مصرح بها.

نعم، بطريقة عملية. تستقبل طرفية Linux داخل التطبيق أوامر حقيقية مثل ls وcat وgrep وnmap وcurl وssh وsqlmap، وتجيب عنها بمخرجات واقعية، بحيث تبني كل مهمة عادات يمكنك إعادة استخدامها في طرفية Linux حقيقية. والمضيفون الذين تعمل عليهم خياليون، لذلك لا يصل أي شيء تكتبه إلى نظام حقيقي.

التعلم قانوني. فلا يخالف القانون في أي مكان أن تقرأ عن الهجمات، وتدرس الأدوات، وتتدرب في بيئة مخصصة لذلك. أما غير القانوني في معظم البلدان فهو الوصول إلى نظام لا تملكه أو اختباره دون إذن كتابي، ولا يُعد القصد دفاعًا — فالفضول وحسن النية لا يجعلان الفحص غير المصرح به قانونيًا. ولهذا توجد المحاكيات ومسابقات Capture-the-Flag والمختبرات المنزلية: فهي تمنحك التدريب نفسه مع حسم مسألة الإذن مسبقًا.

nmap هو أداة لفحص الشبكات. يرسل حزمًا إلى مضيف ويبلغك بالمنافذ التي تستجيب، وما إذا كانت مفتوحة أو مفلترة أو مغلقة، وغالبًا بالبرنامج والإصدار اللذين يستمعان — ssh على 22، وhttp على 80، وhttps على 443. يستخدمها المهاجمون للعثور على منفذ للدخول، ويستخدمها المدافعون للعثور على خدمات لم يكن من المفترض كشفها. في HackLab، تُجرى مرحلة الفحص في المهمة ضد مضيف مُحاكى، لتتدرب على قراءة تلك المخرجات.

يحدث SQL injection عندما يُدرج إدخال المستخدم مباشرةً في استعلام قاعدة البيانات بدلًا من تمريره كمعامل. يكتب المهاجم SQL في حقل نموذج أو عنوان URL، فتقوم قاعدة البيانات بتنفيذه وتعيد بيانات أو تعدّلها، مع أنه لا ينبغي لها كشفها مطلقًا. ويستمر هذا الخلل لأن وجود معامل واحد غير مُهَرَّب في أي موضع من تطبيق كبير يكفي لحدوثه، ولأن إصلاحه — باستخدام العبارات المجهزة والاستعلامات ذات المعاملات — يجب تطبيقه باستمرار، لا مرة واحدة.

تُعد Capture the Flag الصيغة القانونية القياسية للتدرب على الأمن. ينشئ المنظمون أجهزة أو تحديات ضعيفة عمدًا، ويثبت اللاعبون نجاحهم في اختراقها بالعثور على سلسلة مخفية تُسمى flag. ويُحتسب التقييم حسب الصعوبة، وغالبًا ضد عقارب الساعة. وتكمن أهميتها في أنها تمنحك هدفًا مسموحًا لك صراحةً بمهاجمته. تنظم HackLab بطولات CTF مباشرة مجدولة داخل محاكاتها الخاصة، إلى جانب مواجهات ضد لاعبين آخرين وسباقات لتحطيم أفضل وقت مسجل.

لا. HackLab محاكاة ولعبة. تحلل الطرفية الأوامر وتعيد مخرجات واقعية، لكن المضيفين والشبكات والثغرات خيالية وتعمل بالكامل داخل التطبيق. ولا يمكن توجيه أي شيء ينتجه التطبيق إلى بنية تحتية حقيقية، كما أن إنهاء المهمة يترك لديك فهمًا بدلًا من ثغرة. وهذا هو الهدف: يمكنك رؤية كيفية عمل فحص المنافذ وSQL injection واستطلاع XSS دون لمس أي شيء لا يُسمح لك بلمسه.

يمكن تنزيل HackLab مجانًا من App Store وGoogle Play، مع اشتراك Pro اختياري. يضيف Pro مهام يومية غير محدودة، وكل تحديات CTF، ومضاعف XP قدره 1.5x، وتجميدين تلقائيين للسلسلة في كل تجديد، وتجهيزًا ثانيًا للمعدات، وكل دروس Learn المتقدمة. تصنيف التطبيق هو 4+، وتوجد روابط شروط الاستخدام وسياسة الخصوصية في صفحة التطبيق على المتجر.

لا تُشترط خبرة سابقة. تبدأ المهام بمستوى سهل — العثور على المنافذ المفتوحة في مضيف وقراءة سجل خادم — وتوجد مسارات للمبتدئين والمتوسطين والمتقدمين، بالإضافة إلى إعداد Experience Level الذي يكيّف التلميحات ووتيرة التقدم منذ المحاولة الأولى. وإذا توقفت عند خطوة ما، يمنحك AI Mentor عددًا محدودًا من التلميحات السياقية المجانية كل يوم، مكتوبة لتوجيهك نحو التقنية بدلًا من تقديم الإجابة مباشرة.

تفتح الشهادات الأبواب، خصوصًا أمام أول وظيفة أو عقد حكومي، لكنها تختبر معرفة لا يزال عليك اكتسابها من مكان ما. ويبني معظم الناس هذه المعرفة عبر المختبرات وCTF والقراءة، ثم يتقدمون للاختبار لإثباتها. HackLab للتدرب وليست مقررًا دراسيًا: فهي ليست دورة معتمدة أو بنك أسئلة امتحان، لكن المهام العملية تمنحك إلمامًا بالفحص والحقن وتحليل السجلات، ما يجعل المادة الدراسية تبدو كأشياء سبق أن رأيتها.

نعم. تصنف لوحة المتصدرين العالمية اللاعبين من جميع أنحاء العالم، وتُجرى بطولات Capture-the-Flag مباشرة مجدولة ضد عقارب الساعة، مع نشر الترتيب النهائي بعد ذلك. يمكنك أيضًا تحدي صديق أو منافس عشوائي في مواجهة غير متزامنة باستخدام رموز الدعوة، مع تقييمات وإعادات للمواجهة، أو التسابق ضد Ghost — أي أفضل وقت مسجل في مهمة. وتحافظ المهام اليومية وجولة المعلومات العامة اليومية المؤلفة من خمسة أسئلة والسلاسل المتتالية مع تجميد السلسلة على استمرار التقييم اليومي.