2026-09-12 · 5 min

Índice de Labs y Plataformas de Práctica

Catálogo organizado de laboratorios vulnerables y plataformas CTF para practicar explotación web, API security y testing de aplicaciones.

Colección de laboratorios auto-hosteables y plataformas hosteadas para practicar y replicar vulnerabilidades de forma controlada.

Laboratorios autohosteables (GitHub)

Vulnerabilidad / Tema	Repositorio	Uso
OAuth	cyllective/oauth-labs	Flujos OAuth 2.0 y sus fallos de implementación
SSRF	incredibleindishell/SSRF_Vulnerable_Lab	Server-Side Request Forgery en distintos entornos
SKF (Security Knowledge Framework)	blabla1337/skf-labs	Amplio set de labs OWASP (OWASP SKF)
CSPT	doyensec/CSPTPlayground	Client-Side Path Traversal
React → Shell	jctommasi/react2shellVulnApp	XSS en apps React que conduce a ejecución
Exif samples	ianare/exif-samples	Muestras de imágenes para practicar metadata/exif
CryptOMG (PHP)	SpiderLabs/CryptOMG	Criptografía mal implementada en PHP
API VAPI	roottusk/vapi	Vulnerabilidades de API (injection, auth)
API Pixi	DevSlop/Pixi	OAuth/API abuses con Azure
Generic University	InsiderPhD/Generic-University	Labs tipo universitario, buen punto de partida
crAPIbara Adoption Agency	InsiderPhD/crAPIbara-Adoption-Agency	Variante de crAPI para practicar API bugs
Web3 CTF	Ethernaut (OpenZeppelin)	Smart contracts / seguridad Web3

URL	Tecnología / Foco
http://testasp.vulnweb.com/	ASP clásico (Acunetix WAVSEP)
http://testaspnet.vulnweb.com/	ASP.NET
http://testphp.vulnweb.com/	PHP
http://zero.webappsecurity.com/	App financiera de prueba (OWASP ZAP)
https://demo.testfire.net/	App bancaria de prueba (IBM Altoro Mutual)
http://aspnet.testsparker.com/	ASP.NET (Netsparker)
http://php.testsparker.com/process.php?file=Generics/index.nsp	PHP con parámetro de inclusión de archivo