HackLab: Simulatore Hacker — Un gioco di hacking etico con un vero terminale Linux

Il test più utile per un'app sul telefono è capire se ti fa digitare comandi o toccare risposte, perché la maggior parte della competenza consiste nel ricordare sintassi e ordine. HackLab funziona così: le missioni ti mettono a disposizione un terminale in cui nmap, sqlmap e curl vengono interpretati e restituiscono output realistici, mentre ogni obiettivo è fittizio. È gratis su iOS e Android e non richiede alcuna esperienza precedente. Gli strumenti reali su host reali appartengono comunque a un laboratorio o a un CTF autorizzato.

Sì, in modo pratico. Il terminale Linux integrato nell'app accetta comandi reali come ls, cat, grep, nmap, curl, ssh e sqlmap e restituisce output realistici, così ogni missione sviluppa abitudini che puoi riutilizzare in un vero terminale Linux. Gli host su cui vengono eseguiti sono fittizi, quindi nulla di ciò che digiti raggiunge un sistema reale.

Imparare è legale. Leggere di attacchi, studiare strumenti ed esercitarsi in un ambiente creato appositamente non viola alcuna legge. Ciò che è illegale nella maggior parte dei Paesi è accedere a un sistema o testarlo senza possederlo e senza autorizzazione scritta; l'intenzione non è una giustificazione — la curiosità e le buone motivazioni non rendono legale una scansione non autorizzata. Ecco perché esistono i simulatori, le competizioni Capture-the-Flag e i laboratori domestici: ti offrono la stessa pratica con la questione dell'autorizzazione già risolta.

nmap è uno scanner di rete. Invia pacchetti a un host e segnala quali porte rispondono, indicando se sono aperte, filtrate o chiuse, e spesso anche quale software e versione è in ascolto — ssh sulla 22, http sulla 80, https sulla 443. Gli attaccanti lo usano per trovare un punto d'ingresso; i difensori per individuare i servizi che nessuno intendeva esporre. In HackLab, la fase di scan di una missione viene eseguita contro un host simulato, così ti eserciti a interpretare quell'output.

La SQL injection si verifica quando l'input dell'utente viene inserito direttamente in una query del database invece di essere passato come parametro. Un attaccante digita SQL in un campo di un modulo o in un URL e il database lo esegue, restituendo o modificando dati che non dovrebbe mai esporre. Continua a essere così diffusa perché basta un solo parametro non sottoposto a escape in un punto qualsiasi di un'applicazione complessa e perché la correzione — prepared statements e query parametrizzate — deve essere applicata in modo coerente, non una sola volta.

Capture the Flag è il formato standard per esercitarsi legalmente nella sicurezza. Gli organizzatori allestiscono macchine o sfide volutamente vulnerabili e i giocatori dimostrano di essere riusciti a entrare trovando una stringa nascosta chiamata flag. Il punteggio dipende dalla difficoltà, spesso con un limite di tempo. È importante perché ti offre un obiettivo che sei esplicitamente autorizzato ad attaccare. HackLab organizza tornei CTF dal vivo programmati all'interno della propria simulazione, oltre a duelli contro altri giocatori e gare contro il miglior tempo registrato.

No. HackLab è un simulatore e un gioco. Il terminale interpreta i comandi e restituisce output realistici, ma gli host, le reti e le vulnerabilità sono fittizi e vivono interamente all'interno dell'app. Nulla di ciò che produce può essere indirizzato verso un'infrastruttura reale, e completare una missione ti lascia conoscenze, non un exploit. È proprio questo il punto: puoi vedere come si comportano il port scanning, la SQL injection e il probing XSS senza toccare nulla che non ti sia consentito toccare.

HackLab è gratis da scaricare su App Store e Google Play, con un abbonamento Pro opzionale. Pro aggiunge missioni quotidiane illimitate, ogni sfida CTF, un moltiplicatore di XP di 1.5x, due congelamenti automatici della serie per ogni rinnovo, un secondo equipaggiamento e tutte le lezioni avanzate di Learn. L'app ha una classificazione 4+ e dalla pagina dello store rimanda ai propri termini di utilizzo e all'informativa sulla privacy.

Non è richiesta alcuna esperienza precedente. Le missioni iniziano dal livello facile — trovare le porte aperte su un host, leggere un log del server — e sono disponibili i percorsi Beginner, Intermediate e Advanced, oltre a un'impostazione Experience Level che adatta suggerimenti e ritmo fin dalla prima sessione. Se rimani bloccato in un passaggio, l'AI Mentor offre ogni giorno un numero limitato di suggerimenti contestuali gratuiti, formulati per indicare la tecnica senza fornire direttamente la risposta.

Le certificazioni aprono delle porte, soprattutto per il primo impiego o per un contratto governativo, ma verificano conoscenze che devi comunque acquisire da qualche parte. La maggior parte delle persone le costruisce attraverso laboratori, CTF e letture, per poi sostenere l'esame e dimostrarle. HackLab è pratica, non un corso: non è un corso accreditato né una banca di domande d'esame, ma le missioni pratiche ti danno familiarità con scanning, injection e analisi dei log, facendo apparire il materiale di studio come qualcosa che hai già visto.

Sì. Una classifica globale ordina i giocatori di tutto il mondo e i tornei Capture-the-Flag dal vivo programmati si svolgono contro il tempo, con la classifica finale pubblicata alla fine. Puoi anche sfidare un amico o un avversario casuale in un duello asincrono usando codici di invito, con valutazioni e rivincite, oppure gareggiare contro un Ghost — il miglior tempo registrato su una missione. Le missioni quotidiane, un quiz quotidiano di cinque domande e le serie con un congelamento della serie mantengono attiva la competizione giorno dopo giorno.