想练Web渗透，免费最怕两件事：一是渗透没环境，二是靶场把别人网站搞崩了。自己搭靶场又嫌麻烦——配个DVWA要装PHP、免费MySQL、渗透Apache，靶场中间随便哪个版本对不上就报错。免费我见过有人光配环境就耗了一下午，渗透最后连SQL注入的靶场页面都没打开。

免费的免费在线靶场就是来解决这个问题的。打开浏览器就能用，渗透不用装任何东西，靶场随便你怎么折腾都不会影响到真实业务。免费

几个真正能用的渗透免费靶场

DVWA（Damn Vulnerable Web Application）算是最经典的。它把漏洞按难度分了低、靶场中、高、不可能四个等级，同一个SQL注入，低难度直接裸奔，高难度加了token和过滤。这种递进设计对理解防御逻辑特别有用。网上有大量公开的DVWA实例，搜一下就能找到，但注意别在公共实例里留后门或者搞破坏，练完就走。

bWAPP（Buggy Web Application）覆盖的漏洞类型比DVWA更全，包括HTML5相关的安全问题、会话固定、不安全的直接对象引用等。界面没那么好看，但内容扎实。它也有在线版本，不过稳定性看运气，有时候会挂。

WebGoat是OWASP出的，偏向教学。每个漏洞都有提示和引导，适合完全没基础的人。它把攻击步骤拆得很细，你跟着做一遍就能理解原理。缺点是有些关卡设计得比较刻意，和真实场景有差距。

还有PortSwigger Web Security Academy，这个是我最推荐的。Burp Suite官方出的，完全免费，内容质量极高。它把漏洞分成不同主题，每个主题下有讲解、实验环境、社区解答。实验环境是独立分配的，你有一个专属实例，随便你怎么打。SQL注入、XSS、CSRF、SSRF、反序列化、请求走私，全都有。难度从菜鸟到专家级，覆盖得非常完整。唯一的问题是界面全英文，但技术术语就那么些，看多了就习惯了。

本地靶场也值得备一个

在线靶场方便，但依赖网络。有时候你在外面用笔记本，网络不稳定，或者想离线练，那就需要本地环境。VulnHub和HackTheBox的免费机器可以下载虚拟机镜像，用VMware或VirtualBox跑起来。VulnHub的镜像是一次性的，打完就删，适合练渗透流程。HackTheBox的免费机器每周轮换，社区活跃，但排队有时候要等。

另外提一个Pikachu，国产的，中文界面，对新手友好。它把漏洞按模块分类，每个模块都有说明和示例代码。虽然知名度不如DVWA，但内容不差，而且文档是中文的，省去了翻译的麻烦。

怎么用这些靶场才有效

别只盯着一个漏洞反复刷。很多人SQL注入练得滚瓜烂熟，结果遇到文件上传就懵了。靶场的价值在于让你接触不同类型的漏洞，理解它们之间的关联。比如你发现一个XSS，能不能配合CSRF打组合拳？文件包含能不能结合日志投毒拿shell？这些思路在单个漏洞的练习里是学不到的。

还有一点：别只看教程照着敲。教程里的payload是别人总结好的，你照着输入当然能成功，但换个环境就不知道怎么调整了。正确的做法是先自己试，试不出来再看提示，然后关掉提示重新做一遍。这个过程很痛苦，但效果比抄答案强十倍。

最后，靶场终究是靶场。它的漏洞是故意留的，环境是简化过的。真实渗透中你会遇到WAF、CDN、自定义加密、各种奇怪的业务逻辑。靶场只是让你熟悉基本概念和工具操作，真正的功夫还是在实战中磨出来的。但至少，免费的靶场能让你在零成本的前提下，把该踩的坑先踩一遍。