TryHackMe vs HackTheBox: Da dove dovrebbe iniziare un principiante?

Ogni principiante della cybersecurity arriva allo stesso bivio nel primo mese: TryHackMe o HackTheBox? Entrambe sono piattaforme legittime con vere macchine da hackerare, ma sono costruite per diversi stadi della curva di apprendimento, e scegliere quella sbagliata per primo può rallentarti o farti abbandonare.

Quello che TryHackMe ti dà effettivamente

TryHackMe è strutturata attorno a room guidate. Room come "Linux Fundamentals" o "Web Fundamentals" ti accompagnano nei concetti passo dopo passo, spesso con domande incorporate che ti forzano a leggere davvero il materiale invece di cercare solo il flag. I percorsi di apprendimento (Pre Security, Cyber Security 101, Jr Penetration Tester) concatenano le room in qualcosa che assomiglia a un curriculum.

Questo è importante se non sai ancora cos'è una reverse shell, come funziona SSH, o perché nmap -sV ti dà un output diverso da nmap -sC. TryHackMe assume che potresti non saperlo, e te lo spiega. Il tier gratuito è abbastanza generoso per passare attraverso molti contenuti fondamentali prima di aver bisogno di un abbonamento.

Quello che HackTheBox si aspetta da te

HackTheBox non ha praticamente alcun aiuto per impostazione predefinita. Ricevi un indirizzo IP e un nome di macchina (le box ritirate hanno writeup disponibili; quelle attive no). Nessun suggerimento a meno che tu non paghi per loro o non scavi nei server Discord della comunità. La filosofia è affondare o nuotare: ci si aspetta che tu cerchi su Google, legga la documentazione e monti una catena di attacco da informazioni parziali.

Questo è più vicino a quello che sembra un vero test di penetrazione o una competizione CTF. Le macchine sono anche valutate per difficoltà (Easy, Medium, Hard, Insane) e etichettate per tecnica, così una volta che sai più o meno quello che stai facendo, puoi esercitarti su abilità specifiche come l'enumerazione di Active Directory o l'escalation di privilegi su Windows.

La differenza che conta davvero

Tutto dipende dall'impalcatura. TryHackMe ti consegna la scala. HackTheBox ti consegna il muro e ti dice che l'attrezzatura da arrampicata esiste da qualche parte. Nessuno è oggettivamente migliore, risolvono problemi diversi. Un principiante totale gettato in HackTheBox senza esperienza Linux passerà tre ore solo capendo come usare gobuster correttamente, e non in modo produttivo, più in un modo frustrante che uccide la motivazione. Allo stesso tempo, qualcuno che ha passato sei mesi solo a fare room guidate su TryHackMe può colpire un muro su HackTheBox perché non ha mai dovuto enumerare un target senza una checklist che gli dice quale strumento eseguire dopo.

Una sequenza realistica

Inizia con i percorsi Pre Security e Cyber Security 101 di TryHackMe se non conosci già il networking di base (TCP/IP, porte, DNS) e il command line Linux di base. Preventiva qualche settimana qui, non mesi. Correre questa fase significa che sarai nel pattern-matching dei comandi senza capire cosa fanno, il che cade a pezzi nel momento in cui una macchina si discosta dallo script del tutorial.

Una volta che puoi enumerare confortevolmente una box con nmap, identificare una versione del servizio e cercare un exploit corrispondente su Exploit-DB o searchsploit senza essere detto di farlo, passa alle room del percorso offensivo di TryHackMe (come quelle che coprono OWASP Top 10) e inizia a mescolare la traccia Starting Point di HackTheBox, che è la risposta di HTB a