法律免责声明本文推荐的全部靶场环境均为本地搭建、官方在线授权的练习平台内容仅供网络安全自学研究。靶场与真实公网业务无关练习过程中也严禁将学到的方法、Payload 用于未授权的互联网系统未经授权渗透属于违法行为一切风险由操作者自行承担。目录1. Web 安全靶场选择思路先练什么、后练什么2. 入门级靶场推荐零基础必刷2.1 DVWA最经典的 Web 漏洞练习靶场2.2 Pikachu国产中文靶场新手友好2.3 sqli-labsSQL 注入专项靶场2.4 upload-labs文件上传专项靶场2.5 XSS-labsXSS 专项靶场3. 综合型实战靶场推荐3.1 bWAPP漏洞种类最全的 PHP 靶场3.2 WebGoatJava 系 Web 安全教学靶场3.3 VulhubDocker 漏洞环境集合中间件 / CMS3.4 Vulfocus国产漏洞复现平台3.5 PicoCTF入门级 CTF 在线平台4. 在线 CTF 攻防平台推荐4.1 攻防世界XCTF4.2 BUUCTF4.3 i 春秋5. 本地靶场搭建方法Docker 一步到位5.1 Docker 安装与配置5.2 Docker Compose 一键拉起常见靶场6. 各靶场学习路线与刷题顺序建议7. 靶场练习常见问题与踩坑8. 从靶场到实战还需要补什么9. 写在最后靶场是起点不是终点最后关于网络安全技术储备对于0基础小白入门摘要Web 安全是实践性极强的学科光背漏洞原理、刷理论视频无法真正掌握漏洞利用必须通过大量靶场实操把知识转化为肌肉记忆。靶场Practice Range / Lab是专门为安全练习搭建的漏洞环境可以放心大胆测试不用承担法律风险。网上靶场资源杂乱很多新手不知道该选哪个、先练哪个、怎么搭建导致今天试一个环境装不上明天换一个又不会配浪费大量时间。本文按学习阶段系统整理 Web 安全靶场入门基础靶场DVWA、Pikachu、sqli-labs、upload-labs、XSS-labs、综合实战靶场bWAPP、WebGoat、Vulhub、Vulfocus、PicoCTF、在线 CTF 平台攻防世界、BUUCTF、i 春秋、以及自建环境的搭建方法每个靶场给出定位、适用人群、技术栈、核心练习点、搭建方法、学习建议。同时给出从零到就业的靶场刷题路线。读完本文你可以选出适合自己的靶场按正确顺序高效练习。前言为什么一定要练靶场Web 安全的漏洞利用是 “原理懂了不代表会用”。你背会了 SQL 注入的原理但没见过真实报错、不会判断注入点、不知道 payload 怎么组合等于不会。靶场提供真实可操作的漏洞环境让你亲自动手复现每一个漏洞建立漏洞认知。学习靶场主要有三种来源本地自建靶场在自己电脑用 Docker / 虚拟机搭建环境可控可无限次测试最推荐官方在线练习平台由平台提供环境无需本地搭建适合快速上手CTF 比赛平台比赛题目覆盖攻防各个方向提升综合能力。选靶场的核心原则按当前水平选择难度先通关入门靶场再进综合靶场最后上 CTF。不要一上来就刷高难题目挫败感会消磨学习热情。1. Web 安全靶场选择思路先练什么、后练什么很多新手一开始就下载十几个靶场结果哪个都浅尝辄止。靶场选择要按阶段推进循序渐进。学习阶段划分阶段学习目标推荐靶场阶段一漏洞原理入门掌握 OWASP Top10 各类漏洞原理、基础利用DVWA、Pikachu阶段二专项深入专项练习 SQL 注入、文件上传、XSSsqli-labs、upload-labs、XSS-labs阶段三综合实战在完整业务系统里综合利用漏洞bWAPP、WebGoat阶段四真实漏洞复现复现中间件、CMS 历史 CVE 漏洞Vulhub、Vulfocus阶段五综合能力提升参加 CTF 比赛、综合渗透练习攻防世界、BUUCTF、PicoCTF选靶场原则先选一个主打靶场推荐 DVWA 或 Pikachu通关建立体系不要同时开五六个遇到薄弱漏洞类型再针对性补专项靶场一定阶段后上综合靶场模拟真实业务每个靶场要 “通关” 而不是 “刷过”理解漏洞根源比跑通 Payload 重要。2. 入门级靶场推荐零基础必刷2.1 DVWA最经典的 Web 漏洞练习靶场定位Web 安全入门第一靶场几乎所有安全学习者都从它开始。技术栈PHP MySQL本地搭建或 Docker 一键部署。核心练习点覆盖 OWASP Top10 主流漏洞Brute Force 暴力破解Command Injection 命令注入CSRF 跨站请求伪造File Inclusion 文件包含LFI/RFIFile Upload 文件上传SQL Injection SQL 注入SQL 盲注Reflected XSS 反射型 XSSStored XSS 存储型 XSSDOM-XSSCSP Bypass不安全验证码JavaScript 漏洞认证绕过最大特色4 个安全等级Low / Medium / High / ImpossibleLow几乎无防护理解漏洞最直观Medium存在基础黑名单过滤学习绕过High较强防护仍有绕过空间Impossible标准安全实现学习正确代码。学习建议从 Low 开始把每一个漏洞原理搞懂再逐级提高。重点看右下角 View Source 源码理解漏洞根源比复制 Payload 重要。DVWA 入门后可以配套阅读它的源码学习 PHP 安全开发。搭建方法Docker 一键部署最省事docker run --rm -it -p 80:80 vulnerables/web-dvwa浏览器访问http://localhost默认账号admin/password。2.2 Pikachu国产中文靶场新手友好定位中文界面的综合漏洞靶场对零基础特别友好是我最推荐给国内新手入门的第一靶场。技术栈PHP本地 PHPStudy 或 Docker 搭建。核心练习点覆盖 OWASP Top10 全部主流漏洞中文菜单清晰暴力破解、XSS反射 / 存储 / DOMCSRF、SQL 注入GET/POST/HEADERRCE 远程代码执行、文件包含、文件下载文件上传、越权、目录遍历敏感信息泄露、HTTP 头部安全SSRF、XXE、不安全的 URL 重定向各种绕过前端绕过、表单验证最大特色全中文适合英文不好的新手每个漏洞有文字原理说明边练边学有配套的解题和原理讲解不用到处搜资料。学习建议Pikachu 很适合作为 DVWA 之前的入门或者和 DVWA 互补。每个漏洞都尝试理解 “为什么这个输入会造成漏洞”。搭建方法Docker 一键部署docker run --rm -it -p 8080:80 area39/pikachu或使用 PHPStudy 手动部署。2.3 sqli-labsSQL 注入专项靶场定位SQL 注入专项练习靶场适合已经入门 SQL 注入、想系统提升注入能力的同学。技术栈PHP MySQL。核心练习点覆盖 SQL 注入几乎所有类型和场景数字型注入、字符型注入报错注入、布尔盲注、时间盲注Union 联合查询注入堆叠注入二阶注入、宽字节注入GET/POST/HEADER 参数注入各种过滤绕过的场景最大特色关卡数量多80 关每一关一个注入场景专项训练 SQL 注入的各类技巧。学习建议适合在 DVWA/Pikachu 了解 SQL 注入后专门刷这个靶场把手写注入练熟。结合 Burp 手工测试不要只会用 sqlmap。搭建方法Dockerdocker run --rm -it -p 8080:80 digitalsleuth/sqli-labs或用 PHPStudy 配置。2.4 upload-labs文件上传专项靶场定位文件上传漏洞专项靶场练文件上传的各种绕过手法。技术栈PHP。核心练习点文件上传绕过各类场景前端 JS 校验绕过MIME 类型校验绕过后缀黑名单 / 白名单绕过00 截断绕过图片马制作与配合文件包含双写后缀、大小写绕过.htaccess 攻击最大特色专门针对文件上传这一个漏洞关卡设置覆盖了上传漏洞几乎全部绕过方式是上传漏洞练习的最全靶场。学习建议配合 DVWA 的文件上传关卡从简单绕过到复杂组合理解每一种校验方式的原理和绕过思路。搭建方法Docker 或 PHPStudy 部署。2.5 XSS-labsXSS 专项靶场定位XSS 跨站脚本专项靶场练 XSS 的各种绕过技巧。技术栈PHP。核心练习点XSS 各类场景反射型 XSS、存储型 XSS、DOM-XSS各种过滤绕过黑名单、编码各种 payload 变形事件属性、标签逃逸最大特色专注 XSS关卡设计由浅入深从简单弹窗到复杂绕过适合系统提升 XSS 能力。学习建议配合 DVWA 的 XSS 关卡掌握 XSS 的绕过原理和不同输出上下文的 payload 构造。3. 综合型实战靶场推荐3.1 bWAPP漏洞种类最全的 PHP 靶场定位一个包含超过 100 种漏洞的 PHP 综合靶场漏洞覆盖面极广。技术栈PHP MySQL可配合 Bee-Box 虚拟机。核心练习点覆盖 OWASP Top10同时包含大量冷门但真实的漏洞类型SQL 注入、XSS、CSRF、SSRF文件上传、命令注入、反序列化HTTP 响应拆分、CRLF 注入敏感信息泄露、SSL/TLS 问题各类中间件、配置类漏洞最大特色漏洞数量极多100很多 DVWA 没有的漏洞类型它都有适合扩展漏洞视野。学习建议DVWA/Pikachu 通关后用 bWAPP 拓宽漏洞类型认知。3.2 WebGoatJava 系 Web 安全教学靶场定位OWASP 官方出品的 Java 系 Web 安全教学靶场带完整教程。技术栈Java Spring Boot。核心练习点覆盖各类 Web 漏洞且每课都有教学讲解 实践练习SQL 注入、XXE、XSS认证绕过、路径遍历CSRF、SSRF、命令注入反序列化漏洞WebGoat 还配有 WebWolf模拟攻击者服务器练习钓鱼、SSRF 等场景最大特色OWASP 官方维护质量高每关带教程讲解边学边做配套 WebWolf 模拟攻击环境。学习建议适合掌握基础后系统学习漏洞原理尤其适合想了解 Java Web 安全方向的同学。搭建方法Dockerdocker run --rm -it -p 8080:8080 webgoat/goatandwolf3.3 VulhubDocker 漏洞环境集合中间件 / CMS定位基于 Docker Compose 的真实漏洞环境复现平台覆盖大量真实组件、中间件、CMS 的历史 CVE 漏洞。技术栈Docker Compose可复现 Apache、Nginx、Tomcat、Weblogic、Struts2、Fastjson、Log4j2、ThinkPHP、Shiro 等大量真实漏洞环境。核心练习点中间件漏洞Weblogic、Tomcat、Apache框架漏洞Struts2、Spring、Fastjson、Log4j2CMS 漏洞ThinkPHP、Drupal、Joomla各类反序列化、RCE、SSRF、文件读取漏洞最大特色环境即代码每个漏洞一个目录一条docker-compose up命令拉起环境覆盖最新最热门真实漏洞紧跟安全热点适合学习 “真实漏洞复现”从入门靶场走向真实 CVE。学习建议Vulhub 难度较高需要一定基础。适合阶段三之后结合 CVE 公告学习漏洞复现。它是红队打点、SRC 挖掘的基础练习。搭建方法官方 github 拉取git clone https://github.com/vulhub/vulhub.git cd vulhub/thinkphp/5-rce docker-compose up -d浏览器访问对应端口即可。3.4 Vulfocus国产漏洞复现平台定位国内知名的漏洞复现综合平台Web 界面可视化管理漏洞环境。技术栈Docker内置大量 Web 漏洞环境ThinkPHP、Fastjson、Struts2、Shiro 等。核心练习点类似 Vulhub但提供可视化界面一键启动漏洞环境适合不想敲命令的同学。学习建议Vulhub 的环境拉取、Vulfocus 的可视化管理两者结合使用。3.5 PicoCTF入门级 CTF 在线平台定位面向初学者的 CTF 练习平台由卡内基梅隆大学维护完全免费在线练习无需本地搭建。核心练习点覆盖 CTF 各大方向Web Exploitation Web 渗透Cryptography 密码学Binary Exploitation 二进制Forensics 取证Reverse Engineering 逆向General Skills 基础技能最大特色完全免费、在线即可练习无需本地环境题目难度分层清晰从入门到进阶有官方 Writeup 讲解英文题目练 Web 安全顺便提升英文。学习建议适合有一定 Web 基础后通过 CTF 综合提升能力。4. 在线 CTF 攻防平台推荐4.1 攻防世界XCTF定位国内最主流的 CTF 练习平台之一聚合了大量高质量 CTF 题目。核心练习点覆盖 Web、逆向、PWN、密码学、杂项全方向题目来自国内外知名 CTF 赛事。学习建议题目按难度分级适合系统性刷题。Web 方向题目质量高适合提升综合能力。4.2 BUUCTF定位国内流行的 CTF 刷题平台题目丰富支持在线提交 flag。核心练习点Web、PWN、逆向、密码学、杂项覆盖大量历年 CTF 真题。学习建议配合 Writeup 学习题目难度跨度大循序渐进。4.3 i 春秋定位国内综合性网络安全学习平台既有在线靶场也有 CTF 练习、课程。核心练习点在线 CTF 题目、漏洞靶场、安全课程还有免费的公益赛。学习建议适合系统学习 练习结合平台有课程体系。5. 本地靶场搭建方法Docker 一步到位强烈建议所有本地靶场用 Docker 搭建比手动配置 PHP 环境省事太多一条命令启动用完即删不污染本机环境。5.1 Docker 安装与配置LinuxUbuntu安装sudo apt update sudo apt install docker.io docker-compose -y sudo systemctl start docker sudo systemctl enable dockerWindows / Mac直接安装 Docker Desktop安装后启动即可。5.2 Docker Compose 一键拉起常见靶场可以写一个docker-compose.yml同时拉起 DVWA、Pikachu 等多个靶场示例version: 3 services: dvwa: image: vulnerables/web-dvwa ports: - 80:80 pikachu: image: area39/pikachu ports: - 8080:80 sqli-labs: image: digitalsleuth/sqli-labs ports: - 8081:80 upload-labs: image: c0ny1/upload-labs ports: - 8082:80保存为docker-compose.yml运行docker-compose up -d浏览器分别访问对应端口即可。提示Docker 镜像下载需要网络国内可配置镜像加速部分靶场首次访问需要初始化数据库如 DVWA 点 Create/Reset Database。6. 各靶场学习路线与刷题顺序建议给出一套从零开始的完整靶场刷题路线第一阶段零基础入门1-2 周用 Docker 搭建 DVWA 和 Pikachu从 Pikachu 或 DVWA 的 Low 等级开始逐个漏洞复现暴力破解→命令注入→SQL 注入→XSS→CSRF→文件上传→文件包含每个漏洞理解原理、危险代码、危害配合 Burp 抓包改包练习。第二阶段专项深入2-4 周SQL 注入刷 sqli-labs把字符型、数字型、盲注、宽字节等全部过一遍文件上传刷 upload-labs掌握各类绕过XSS刷 XSS-labs掌握各类绕过这一阶段开始配合 Burp、sqlmap 等工具。第三阶段综合实战2-4 周刷 bWAPP、WebGoat在完整业务系统中综合利用漏洞学习信息收集、漏洞挖掘的思路结合靶场写渗透测试报告。第四阶段真实漏洞复现持续用 Vulhub/Vulfocus 复现 ThinkPHP、Fastjson、Shiro、Log4j2 等真实 CVE学习漏洞公告、POC 原理为 SRC 挖掘、红队打点打基础。第五阶段综合提升长期上 CTF 平台攻防世界、BUUCTF、PicoCTF刷题参与线上 CTF 比赛参加 SRC 众测严格在授权范围内。7. 靶场练习常见问题与踩坑Docker 启动不了靶场检查 Docker 服务是否启动、镜像是否拉取成功、端口是否被占用Windows 需开启虚拟化、确认 Docker Desktop 运行。DVWA 数据库报错DVWA 首次访问需在页面点 “Create/Reset Database” 初始化数据库数据库连接配置在 config 文件检查。靶场页面打不开 / 404检查端口映射是否正确、容器是否正常启动部分靶场需访问特定路径如 Pikachu 访问根目录即可。XSS 弹不出来、SQL 注入不报错先确认关卡等级、确认 Payload 语法检查是否被当前等级防护过滤在 Burp 里看真实响应不要只看页面。只复制 Payload不懂原理刷靶场最关键的是看源码、理解漏洞成因。跑通一个 Payload 后问自己三个问题为什么能利用哪里没防护怎么修复直接跳过专项靶场一上来刷综合靶场基础不牢综合靶场很多漏洞无从下手容易挫败。按学习路线循序渐进。靶场刷完就忘建议做笔记每个漏洞的原理、Payload、绕过思路、修复方案形成自己的知识库。8. 从靶场到实战还需要补什么靶场是学习起点但靶场和真实业务有差距从靶场走向实战还需要补工具链熟练度Burp、sqlmap、nuclei、ffuf、subfinder 等信息收集与测试工具信息收集能力子域名、端口、指纹、目录爆破实战 70% 工作量在信息收集业务逻辑漏洞越权、未授权、密码重置等逻辑漏洞靶场涉及少但实战高发要单独补真实漏洞复现通过 Vulhub 复现真实 CVE理解真实漏洞利用合规意识实战只能在授权环境SRC 平台、企业授权、靶场进行未授权测试违法。9. 写在最后靶场是起点不是终点Web 安全学习光看视频、背原理远远不够必须动手练靶场。DVWA、Pikachu 带你入门漏洞原理sqli-labs、upload-labs、XSS-labs 帮你专项深入bWAPP、WebGoat 让你综合实战Vulhub、Vulfocus 让你复现真实漏洞CTF 平台帮你综合提升。选靶场不要贪多先通关一个主打靶场DVWA 或 Pikachu建立完整漏洞认知再按薄弱环节补专项靶场最后进综合靶场和 CTF。每个漏洞都做到理解原理、会利用、会修复而不是只会复制 Payload。最后强调所有练习只在自己搭建的靶场和官方授权平台进行靶场练出来的能力必须用在合法合规的地方。未经授权对互联网系统测试是违法行为保持敬畏守住底线。最后关于网络安全技术储备学好网络安全不论是就业还是做副业赚钱都不错但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料给那些想学习网络安全的小伙伴们一点帮助对于0基础小白入门如果你是零基础小白想快速入门网络安全是可以考虑的。一方面是学习时间相对较短学习内容更全面更集中。二方面是可以找到适合自己的学习方案包括网安成长学习路线图、SRC黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全需要的可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】1.成长路线图学习规划要学习一门新的技术作为新手一定要先学习成长路线图方向不对努力白费。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。2.网安入门到进阶视频教程很多朋友都不喜欢晦涩的文字我也为大家准备了视频教程其中一共有21个章节每个章节都是当前板块的精华浓缩。全套教程文末领取哈3.SRC黑客文档大家最喜欢也是最关心的SRC技术文籍黑客技术也有收录SRC技术文籍黑客资料由于是敏感资源这里不能直接展示哦全套教程文末领取哈4.护网行动资料其中关于HW护网行动也准备了对应的资料这些内容可相当于比赛的金手指5.黑客必读书单随着互联网技术的飞速发展网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等以其强大的语言理解和防御能力正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。6.网络安全岗面试题合集当你自学到这里你就要开始思考找工作的事情了而工作绕不开的就是真题和面试题。这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】