Hack The Box экосистема: app, API и сообщество

Два года назад я зарегистрировался на Hack The Box, открыл дашборд - и завис. 12 разделов, три варианта подключения, Discord-сервер на 200 тысяч человек. Machines, Challenges, Academy, Pwnbox, Sherlocks, Pro Labs, десктопное приложение, GitHub-репозитории с CLI-утилитами. За первые два дня разобрался примерно в трети. Остальное собирал полгода по англоязычным тредам и форумным обрывкам.

Этот гид - попытка сэкономить те полгода. Показать, как всё хозяйство Hack The Box устроено целиком: от Pwnbox до открытых репозиториев, которые русскоязычные материалы обычно не упоминают.

От invite challenge до 5 миллионов: краткая история Hack The Box​

HTB - общепринятое сокращение, которое в среде пентестеров используют как сленг: "закрыл бокс на HTB", "HTB-шный Pro Lab", "залил шелл на HTB-машину". Платформа запущена предположительно в 2017 году в Великобритании (по данным Companies House UK, команда распределена между UK и Грецией; точная дата запуска может отличаться от даты регистрации компании) как CTF-полигон для практики наступательной безопасности - киберполигон, где обучение этичному хакингу строится через решение реальных задач, а не через тесты с вариантами ответов.

На старте для регистрации нужно было решить invite challenge: найти JavaScript-файл inviteapi.min.js в исходном коде страницы, вызвать makeInviteCode() в консоли браузера, декодировать Base64-ответ и отправить POST-запрос на API-эндпоинт. Сам процесс регистрации был первым уроком по client-side анализу. Красиво, чего уж.

Сейчас invite challenge убран, регистрация открыта для всех. По данным официального сайта HTB (на момент публикации), сообщество насчитывает несколько миллионов зарегистрированных пользователей, платформу используют более 1 500 организаций. Из заметного за последние годы: статус Leader в Forrester Wave для платформ обучения кибербезопасности, приобретение LetsDefend (платформа для blue team), партнёрство с Google в области AI-безопасности и запуск AI Range - полигона для тестирования автономных AI-агентов в кибербезопасности (согласно пресс-релизам HTB). Из нишевого CTF-проекта Hack The Box экосистема выросла в полноценную инфраструктуру подготовки специалистов по обоим направлениям - наступательному и оборонительному.

Hackthebox App: десктоп, Pwnbox и мобильный доступ​

Как подключаться к виртуальным машинам для пентеста - первый вопрос новичка. Варианта три, каждый под свою ситуацию.

Локальная ВМ + VPN - основной путь. Kali Linux или Parrot Security в VirtualBox/VMware, .ovpn-файл из раздела Connect to HTB, дальше в терминале:
На интерфейсе tun0 появится адрес вида 10.10.x.x - через него идёт весь трафик к машинам HTB. Минимум для хоста: 8 ГБ RAM (4 ГБ уходят ВМ) и 40 ГБ свободного места. Рекомендую именно этот вариант: привыкнете к своему окружению, настроите алиасы, тулкит - и на реальном проекте не будете тратить время на "а где тут netcat".

Pwnbox - облачная ВМ на базе Parrot OS прямо в браузере. VPN настраивается автоматически, устанавливать ничего не нужно. У бесплатных аккаунтов ограничено время работы. Подходит, если хост слабый или работаете с чужого компьютера. Удобно, но своё окружение не прокачивает.

Десктопное приложение Hack The Box - по сути обёртка над OpenVPN-клиентом. Объединяет VPN-подключение и управление машинами в одном GUI: запуск и остановка инстансов без открытия браузера. Для тех, кому терминальное подключение пока непривычно - самый комфортный старт.

Отдельного мобильного приложения Hack The Box для работы с машинами нет - пентест через телефон технически нецелесообразен (да и зачем). Веб-интерфейс адаптирован под мобильные браузеры: можно отслеживать прогресс, читать описания машин, управлять профилем. Если в поиске нашли запрос "Hack The Box мобильное приложение" - теперь знаете, что именно доступно.

Hack The Box API и Hackthebox GitHub-проекты​

Вокруг платформы существует целый слой инструментов, который русскоязычные гайды не покрывают. Между тем именно он отличает поверхностное знакомство с HTB от понимания того, как всё устроено под капотом.

Hack The Box API - внутренний программный интерфейс, на котором работают сайт и десктопное приложение. Официальной публичной документации HTB не предоставляет, но сообщество реверсит эндпоинты и создаёт обёртки. Наиболее известная - PyHackTheBox (pip install pyhackthebox), неофициальная Python-библиотека для взаимодействия с Hack The Box API. Через неё можно программно стянуть список доступных машин, свою статистику решений, информацию о сложности и категориях челленджей. Пригодится, если хотите автоматизировать трекинг прогресса или собрать собственный дашборд. Я одно время дёргал через неё статистику по Retired-машинам, чтобы выбирать боксы по конкретным техникам - руками это делать уныло.

htb-cli - CLI-утилита на Go для управления HTB из терминала. Репозиторий на Hackthebox GitHub-сообщества: GoToolSharing/htb-cli. Запуск и остановка машин, получение IP текущего инстанса, проверка прогресса - всё без переключения в браузер. Установка: go install github.com/GoToolSharing/htb-cli@latest. Автор активно собирает фидбек на форуме HTB и регулярно выпускает обновления.

На GitHub лежат ещё шаблоны writeup-ов, скрипты автоматизации разведки, интеграции с Discord-ботами для командного трекинга. Для первой недели на платформе всё это избыточно - но знать, что Hack The Box экосистема не заканчивается на веб-интерфейсе, стоит с самого начала.

Hack The Box сообщество: Discord, ранги и HTB Academy​

Сообщество - один из главных ресурсов для тех, кто учится на Hack The Box платформе для пентестеров. Устроено в несколько слоёв.

Discord-сервер объединяет более 200 тысяч участников. Каналы разделены по машинам, челленджам, категориям. Главное правило: по Active-машинам запрещены спойлеры и writeup-ы. Застряли - просите hint (наводящий вопрос), а не готовое решение. После ретайра машины ограничения снимаются. Совет: подпишитесь на канал анонсов - не пропустите еженедельный релиз новых машин.

Ранговая система двигает от Noob через Script Kiddie, Hacker, Pro Hacker до Omniscient. Каждая решённая Active-машина или Challenge даёт очки. Рейтинг мотивирует, но гнаться за ним бессмысленно - ранг придёт сам, если сосредоточиться на понимании техник, а не на количестве сданных флагов. Я видел ребят с Hacker-рангом, которые на реальном проекте работали увереннее, чем иные Pro Hacker-ы - потому что каждый бокс разбирали до костей.

HTB Academy - отдельная обучающая платформа с 355+ модулями и 1770+ лабораторными работами (данные официального сайта). Модули структурированы в Job Paths (SOC-аналитик, пентестер) и Skill Paths (SQL-инъекции, AD-атаки, API Security). Для начинающих Academy - более мягкий вход, чем сразу прыгать в машины: здесь есть теория с объяснениями и пошаговые упражнения с обратной связью.

Writeup-ы по Retired-машинам - основной обучающий ресурс вне Academy. Доступ к самим Retired-машинам требует VIP-подписки, но авторские разборы часто публикуются в открытом доступе.

Как пользоваться Hack The Box: roadmap первой недели​

Минимальный тулкит: nmap, gobuster/ffuf, Burp Suite Community Edition. Для Linux-машин - LinPEAS: скрипт автоматизирует поиск путей privilege escalation и выдаёт структурированный отчёт о misconfigurations, SUID-бинарниках, читаемых файлах с паролями. bloodhound и impacket оставьте до Windows-машин и Active Directory - на первой неделе они не нужны.

Моя главная ошибка на старте: на третий день полез в Medium-машину. Шесть часов впустую. Полное непонимание того, что от меня хочет бокс. Возвращайтесь к Easy, пока не закрываете их стабильно за час-полтора. Hack The Box экосистема построена так, что каждый уровень опирается на навыки предыдущего - перескакивание это надёжнейший способ потерять мотивацию и бросить.

Одна вещь, которую HTB при всей глубине не даёт - системный фундамент. Платформа тренирует руки: сканировать, эксплуатировать, забирать флаги. Но она не объясняет, почему конкретная конфигурация уязвима, как работает TCP/IP на уровне, достаточном для понимания сетевых атак, и где проходит граница между учебным стендом и статьёй уголовного кодекса. Я набивал эти шишки два года, разбирая по кускам информацию, которую можно было пройти структурированно за пару месяцев. Машины HTB - это спарринг. Без фундамента спарринг превращается в хаотичное подражание writeup-ам: повторяешь чужие команды, а при малейшем отклонении от сценария не понимаешь, куда двигаться. Если узнаёте себя в этом описании - IB Basics для тех, кому скучно от Hack The Box без объяснений почему.