HackTheBox: Guida Completa in Italiano 2026 (Starting Point, OSCP, HTB Academy)

HackTheBox (HTB) è la piattaforma di hacking pratico preferita dai professionisti della sicurezza a livello mondiale. A differenza di TryHackMe — più adatta ai principianti — HackTheBox mette l'utente di fronte a macchine vulnerabili realistiche senza guide o hint: devi trovare la strada da solo.

La struttura di HackTheBox

HTB Labs

Il cuore della piattaforma: macchine virtuali vulnerabili organizzate per difficoltà (Easy, Medium, Hard, Insane) e sistema operativo (Linux, Windows, Active Directory).

• Macchine attive: Solo soluzioni parziali nei forum. Writeup completi non consentiti.
• Macchine ritirate: Writeup completi disponibili — la risorsa di studio principale.

HTB Academy

La sezione educativa: moduli teorici + pratici su argomenti specifici. Molto diversa dai Labs — qui c'è struttura e spiegazione. I moduli fondamentali (Linux, networking, web attacks) sono parzialmente gratuiti.

Starting Point

16 macchine guidate per principianti, con:

• Domande a risposta chiusa che guidano l'approccio
• Walkthrough ufficiali disponibili
• Difficoltà crescente da Very Easy a Easy

Inizia sempre dallo Starting Point.

---

Starting Point: le macchine per iniziare

Tier 0 — Fondamenti assoluti

Macchina	OS	Concetto chiave
Meow	Linux	Telnet, credenziali default
Fawn	Linux	FTP anonimo
Dancing	Windows	SMB, shares
Redeemer	Linux	Redis non autenticato
Explosion	Windows	RDP, credenziali default

Tier 1 — Vulnerabilità base

Macchina	OS	Concetto chiave
Appointment	Linux	SQL Injection base
Sequel	Linux	MySQL, credenziali default
Crocodile	Linux	FTP + web enumeration
Responder	Windows	LLMNR poisoning, hash NTLM
Three	Linux	AWS S3, subdomain enumeration

Tier 2 — Intermedio

Macchina	OS	Concetto chiave
Archetype	Windows	SMB + MSSQL → Shell
Oopsie	Linux	IDOR + web shell
Vaccine	Linux	SQLi + file traversal
Unified	Linux	Log4Shell (CVE-2021-44228)

---

Macchine ritirate consigliate per principianti

Queste macchine sono considerate ottime per chi impara — tutte hanno walkthrough su YouTube (IppSec) e writeup dettagliati:

Macchina	OS	Difficoltà	Perché imparare
Lame	Linux	Easy	Metasploit, exploit classico
Legacy	Windows	Easy	MS08-067, EternalBlue base
Blue	Windows	Easy	EternalBlue (MS17-010)
Jerry	Windows	Easy	Tomcat manager, WAR upload
Bashed	Linux	Easy	Web shell, sudo abuse
Nibbles	Linux	Easy	Web enum, sudo exploit
Devel	Windows	Easy	FTP upload, Windows privesc
Shocker	Linux	Easy	Shellshock

---

Metodologia di attacco HTB

Fase 1: Enumerazione

# Nmap completo
nmap -sC -sV -oA nmap/initial <IP>
nmap -p- --min-rate 5000 -oA nmap/allports <IP>

# Se porta 80/443
gobuster dir -u http://<IP> -w /usr/share/wordlists/dirb/common.txt
ffuf -w /usr/share/seclists/Discovery/Web-Content/raft-medium-words.txt -u http://<IP>/FUZZ

Fase 2: Foothold

• Cerca CVE note per le versioni dei servizi trovati
• Prova credenziali default
• Cerca file di configurazione esposti
• Testa upload di file, SQL injection, command injection

Fase 3: Privilege Escalation

• Linux: LinPEAS, sudo -l, SUID, cron, servizi interni
• Windows: WinPEAS, PowerUp, token impersonation, servizi non quotati

Fase 4: Proof

Cattura user.txt e root.txt con hostname e data come prova.

---

HTB per la preparazione OSCP

HackTheBox è uno dei percorsi di preparazione più efficaci per OSCP. La lista curata da tj_null (disponibile su GitHub) seleziona le macchine HTB che riflettono meglio l'esame OffSec.

Macchine dalla lista tj_null consigliate:

• Linux: Beep, Cronos, Nineveh, Solidstate, Node, Sneaky
• Windows: Devel, Grandpa, Optimum, Bastard, Chatterbox, Silo

Differenze con OSCP da tenere a mente

• OSCP non usa Metasploit (se non per un exploit specifico) — abituati agli exploit manuali
• OSCP richiede un report professionale — prendi appunti su ogni macchina HTB
• OSCP ha 24 ore di esame — allena la resistenza con sessioni lunghe

---

Risorse per studiare HTB

Risorsa	Tipo	Costo
IppSec (YouTube)	Video walkthrough macchine ritirate	Gratuito
0xdf.gitlab.io	Writeup testuali dettagliati	Gratuito
HTB Academy	Moduli teorici + pratici	Parzialmente gratuito
HackTricks	Wiki di tecniche di hacking	Gratuito
HTB Forum (macchine attive)	Hint senza spoiler	Incluso nell'abbonamento

---

HTB Academy: i moduli fondamentali

Per costruire basi solide prima di affrontare i Labs:

1. Introduction to Networking — IP, subnet, TCP/UDP, OSI model
2. Linux Fundamentals — filesystem, permessi, scripting bash
3. Windows Fundamentals — registry, Active Directory base
4. Introduction to Web Applications — HTTP, cookie, sessioni
5. Using the Metasploit Framework — moduli, payload, post-exploitation
6. File Transfers — tecniche di trasferimento file in pentesting

Ogni modulo ha esercizi pratici integrati. Molto più strutturato dei Labs puri.

Completa lo Starting Point, studia le macchine ritirate con i writeup di IppSec, poi punta all'eJPT come prima certificazione pratica. Visita i corsi gratuiti Pentevo Academy per supportare la preparazione teorica.