Laboratório de Cibersegurança Gratuito: 7 Opções para Praticar (2026)

Você não precisa gastar nada para treinar hacking ético de forma legal e ainda aprender rápido. Depois de passar bastante tempo testando plataformas diferentes ao longo dos últimos meses, cheguei a um laboratório de cibersegurança gratuito que na prática é uma combinação de sete serviços que não cobram um real: picoCTF, OverTheWire, PortSwigger Web Security Academy, VulnHub, OWASP Juice Shop, DVWA e Metasploitable. Cada um deles cobre uma parte diferente do aprendizado — da fluência em linha de comando até a exploração de falhas reais em aplicações web — e juntos dão conta de levar alguém do zero absoluto a um nível intermediário sem precisar tirar o cartão de crédito da carteira em nenhum momento. TryHackMe e Hack The Box aparecem sempre que esse assunto surge, mas prefiro tratá-los à parte neste texto, porque os planos gratuitos dos dois são mais limitados do que parecem à primeira vista — já expliquei isso com mais detalhes no comparativo entre TryHackMe e Hack The Box. Ao longo deste artigo, explico o que esperar de cada uma das sete opções gratuitas, por onde eu começaria se estivesse do zero hoje, e como transformar essas horas de prática em algo que realmente pese no seu currículo de cibersegurança.

Por que um laboratório de cibersegurança gratuito vale mais que só teoria

Ler sobre uma vulnerabilidade e explorá-la com as próprias mãos são duas habilidades completamente diferentes, e é aí que um laboratório de cibersegurança gratuito faz toda a diferença. A primeira vez que você altera um cookie de sessão em Base64 e vê uma conta de visitante virar administrador, ou escala privilégios numa máquina Linux até chegar em root, o conceito gruda de um jeito que nenhum artigo ou vídeo consegue reproduzir. É basicamente um simulador de voo para quem trabalha ou quer trabalhar com segurança: você erra, tenta de novo, quebra coisas e entende por que elas quebraram, tudo isso sem nenhum risco para sistemas de verdade. Esse “sem risco” não é só conforto, é também uma questão legal. Cada uma das plataformas que vou recomendar aqui dá autorização explícita para atacar os próprios alvos delas — e essa autorização é exatamente o que separa uma prática legítima de um crime. Usar as mesmas técnicas contra a rede da sua faculdade, os servidores do seu empregador atual ou qualquer site sem consentimento por escrito é enquadrado como invasão de dispositivo informático pela Lei 12.737/2012 no Brasil, então nem pense em “testar na prática” fora de um ambiente autorizado, por mais tentador que pareça. Outra coisa que só um laboratório de verdade ensina é lidar com a frustração de travar. Nos primeiros desafios você vai ficar preso em passos que parecem óbvios depois — e é exatamente por aí que se aprende a pesquisar, ler documentação e formar a persistência que qualquer vaga júnior de segurança espera de você. Recrutadores de SOC, pentest e GRC citam com frequência experiência prática como diferencial, e não tem como fingir isso numa entrevista técnica: ou você já colocou a mão na massa nesses ambientes, ou a conversa trava rápido.

As sete plataformas que formam esse laboratório de cibersegurança gratuito

Fundamentos e linha de comando: picoCTF e OverTheWire

Se eu estivesse começando do zero absoluto hoje, entraria pelo OverTheWire. A plataforma roda wargames via SSH direto no terminal, sem interface bonita, sem dica na cara — e é exatamente essa aspereza que ensina a se virar sozinho na linha de comando Linux. O wargame Bandit é o ponto de entrada clássico: cada nível dá uma senha para achar e usar no próximo login, indo de comandos básicos como ls e cat até truques de permissões e scripts. Não tem limite de tempo, não tem ranking pressionando você, e mais ou menos duas semanas resolvendo alguns níveis por dia já deixam qualquer pessoa confortável num terminal Linux — uma base que todas as outras plataformas desta lista vão exigir sem explicar de novo. O picoCTF anda lado a lado com o OverTheWire, mas com outra proposta: foi criado pela Carnegie Mellon University como uma competição educacional de CTF e hoje mantém uma área de prática aberta o ano inteiro, com desafios de web, criptografia, forense e engenharia reversa organizados numa curva de dificuldade bem suave, cheia de dicas para quem trava. É totalmente gratuito, sem nenhum tipo de paywall escondido, e a competição anual dele é uma linha que fica bem em qualquer currículo de quem está migrando de carreira ou ainda está na faculdade. A diferença prática entre os dois: o OverTheWire ensina a sobreviver num terminal; o picoCTF ensina a pensar como quem resolve puzzles de segurança, categoria por categoria, no seu próprio ritmo. Juntas, essas duas peças já formam metade do que eu considero um bom laboratório de cibersegurança gratuito.

Aplicações web e máquinas vulneráveis: PortSwigger, VulnHub, Juice Shop, DVWA e Metasploitable

Depois de fechar o básico de linha de comando, o próximo passo natural é a Web Security Academy, da PortSwigger — os mesmos criadores do Burp Suite. É o melhor treinamento gratuito de segurança de aplicações web que existe hoje: cada classe de vulnerabilidade vem com material escrito explicando o “porquê” antes de te jogar num lab interativo, e os desafios são organizados em três níveis (Apprentice, Practitioner e Expert) que cobrem técnicas bem além do básico de OWASP Top 10. O único porém é que alguns labs mais avançados pedem o Burp Collaborator, recurso que só vem na versão paga do Burp Suite Professional — mas isso afeta uma fração pequena do catálogo, o resto roda de graça sem restrição. Para praticar em máquinas completas em vez de vulnerabilidades isoladas, uso o acervo do VulnHub, que hospeda centenas de VMs vulneráveis criadas pela comunidade para baixar e rodar localmente no VirtualBox ou VMware. Nenhuma máquina nova é publicada desde julho de 2022, mas o catálogo continua sendo um exercício excelente para quem quer montar um home lab e aprender a configurar rede host-only — e se você não quiser lidar com a parte de configuração, o Proving Grounds Play, da OffSec, hospeda várias dessas mesmas máquinas online, prontas para acessar. Para prática mais leve, direto no navegador ou local, o trio OWASP Juice Shop, DVWA e Metasploitable resolve praticamente qualquer necessidade sem custo. O Juice Shop é uma loja online propositalmente insegura, mantida ativamente pela OWASP, que cobre todo o Top 10 e mais um pouco, com placar embutido acompanhando seu progresso — basta rodar docker run -p 3000:3000 bkimminich/juice-shop e abrir a porta 3000 no navegador. O DVWA é o clássico: uma aplicação PHP vulnerável com níveis de dificuldade (low, medium, high, impossible) que mostram a mesma falha com e sem defesas aplicadas, ótimo para entender por que uma correção específica funciona. E o Metasploitable, publicado pela Rapid7, é uma VM Linux cheia de serviços vulneráveis de propósito, perfeita para o primeiro contato sério com o Metasploit Framework e um pentest de rede clássico do início ao fim.

TryHackMe e Hack The Box: gratuitos, mas com letra miúda

Não dá para falar de laboratório de cibersegurança gratuito sem mencionar TryHackMe e Hack The Box, então vale explicar por que optei por não incluí-los entre os “sete gratuitos” lá em cima. O TryHackMe tem um plano free real, com rooms gratuitas e uma hora por dia de AttackBox no navegador, mas a maior parte das trilhas guiadas — que são exatamente o diferencial da plataforma — fica trancada atrás do Premium, cobrado em torno de 17 dólares por mês. O Hack The Box também libera bastante coisa de graça (20 máquinas ativas e mais de 80 desafios no plano free), mas a conexão nesse plano é só por VPN, sem a Pwnbox ilimitada no navegador, e boa parte da comunidade recomenda essa plataforma justamente para quem já passou pelo básico e quer se preparar para provas no estilo OSCP. Na prática, os dois valem muito a pena como complemento, principalmente depois que você já resolveu boa parte do que o OverTheWire, o picoCTF e a PortSwigger oferecem de graça — só não espere zerar nenhum dos dois sem nunca pagar nada. Se você já decidiu seguir para pentest e quer uma trilha específica de cursos gratuitos, escrevi um guia à parte com o curso gratuito de pentest para iniciantes mais indicado, e se a dúvida for especificamente entre essas duas plataformas, o comparativo completo está em TryHackMe ou Hack The Box: qual escolher.

Por onde eu começaria se fosse hoje

Se eu estivesse montando essa rotina do zero outra vez, seguiria uma ordem bem específica. Primeiro, ficaria confortável na linha de comando resolvendo o OverTheWire Bandit até uns vinte níveis — isso leva de uma a duas semanas e evita que você trave depois por não saber navegar num terminal Linux, o que acontece com praticamente todo mundo que pula essa etapa. Em seguida, escolheria uma categoria para se aprofundar em vez de saltar entre todas ao mesmo tempo: web, rede ou forense, tanto faz, mas resolveria de vinte a trinta desafios nessa área antes de diversificar — o picoCTF e a Web Security Academy da PortSwigger cobrem isso bem. Só depois disso eu trocaria os quebra-cabeças de uma técnica isolada por máquinas completas, como as do VulnHub ou do Metasploitable, que encadeiam reconhecimento, exploração e escalação de privilégios do jeito que uma vaga de pentest júnior realmente cobra — e se essa for sua meta, vale somar esse tempo de prática com o que já escrevi sobre a carreira de pentester júnior. E o passo que quase ninguém faz, mas que separa quem só “brincou” de quem levou a sério: escrever writeups das máquinas concluídas, documentando o raciocínio do início ao fim. Isso vira portfólio, dá pra colocar no LinkedIn ou num GitHub pessoal, e mostra para quem está contratando exatamente como você pensa diante de um problema novo — muito mais valioso do que só listar “conhecimento em Kali Linux” no currículo. Se sua meta de carreira ainda não está clara entre virar analista de SOC, entrar para um time de GRC ou seguir puro pentest, vale revisitar esse comparativo antes de escolher onde investir as próximas horas: GRC, SOC ou Pentest: qual área escolher.

No fim, o laboratório de cibersegurança gratuito perfeito é aquele que você vai abrir de novo amanhã. Comece pelo OverTheWire hoje mesmo, sem cartão de crédito, e vá somando as outras seis plataformas conforme for ganhando confiança.

Perguntas frequentes

Um laboratório de cibersegurança gratuito é legal?

Sim. As plataformas citadas aqui formam um laboratório de cibersegurança gratuito com autorização explícita para atacar os próprios alvos delas, o que te mantém dentro da lei. Usar as mesmas técnicas em sistemas que não são seus e sem consentimento por escrito é crime no Brasil, enquadrado pela Lei 12.737/2012.

Dá para aprender cibersegurança só com labs gratuitos?

Dá, sim. PortSwigger Web Security Academy, OverTheWire, picoCTF, VulnHub, Juice Shop e DVWA são totalmente gratuitos, e boa parte de quem trabalha hoje com segurança construiu as primeiras habilidades exatamente assim, sem pagar nada.

Preciso saber programar antes de começar?

Não para começar. O OverTheWire e o picoCTF são pensados para quem nunca tocou num terminal. Noções básicas de lógica e, mais para frente, de scripting em Python ajudam bastante, mas não são pré-requisito para dar o primeiro passo.

Quantas horas por semana valem a pena nesses laboratórios?

Constância importa mais que maratona. Uma ou duas horas na maioria dos dias rende mais do que um fim de semana inteiro esporádico, e quem está buscando emprego na área costuma mirar de 10 a 15 horas semanais.

Qual desses laboratórios prepara melhor para a OSCP?

Nenhum dos sete substitui o Proving Grounds ou o Hack The Box para isso especificamente, mas o VulnHub e o Metasploitable ajudam bastante na base de máquinas completas, e a PortSwigger cobre a parte de exploração web que a prova também cobra.