想练手Web安全，线免又不想花钱买设备搭环境，费漏更不想因为手滑扫了别人的洞靶站而喜提“银手镯”？在线免费漏洞靶场就是给你这种人准备的。打开浏览器，线免注册个账号，费漏就能对着一个故意留了洞的洞靶网站可劲儿造。合法、线免安全、费漏还不用自己配Docker。洞靶

我最早接触的线免是DVWA，那会儿还得自己装PHP+MySQL，费漏现在直接有在线版。洞靶但今天不说它，线免说几个更省事的费漏。比如PortSwigger出的洞靶Web Security Academy，这玩意儿是Burp Suite官方做的，质量高得离谱。它把漏洞拆成一个个小实验室，每个实验室就是一个独立的小网站，目标明确——比如“这个登录框有SQL注入，你得登进admin账户”。做完一个点一下“Solved”，成就感比打游戏还直接。关键是完全免费，连邮箱都不用验证。

另一个我常去的是HackTheBox的Starting Point。虽然HTB主打渗透测试靶机，但它的Starting Point模块里有一堆Web挑战。免费用户每月能重置几次靶机，够用了。它的界面做得像游戏，连上VPN后给你个IP，然后你自己去扫端口、找目录、挖漏洞。第一次拿到flag的时候，我盯着那个32位的字符串看了半天，心里就一个念头：原来真能这样进去啊。

国内的话，i春秋和合天智汇都有在线靶场。i春秋的“实验吧”里有个“在线靶场”专区，分类挺细，XSS、CSRF、文件上传都有。不过有些实验需要积分，每天签到能领。合天智汇更偏向教学，每个漏洞配了视频讲解，适合完全零基础的人。我试过它的SQL注入实验，环境里甚至给你留了提示——比如在URL里加个单引号会报错，然后告诉你“试试联合查询”。这种手把手的感觉，对新手很友好。

但免费靶场有个通病：环境不稳定。有次我在某个平台做文件包含实验，做到一半服务器挂了，刷新后进度全丢。还有的靶场为了防滥用，把危险函数禁了，结果你按教程走半天发现命令执行不了——因为系统根本没装那个命令。所以别太依赖某一个平台，多备几个。

另外，别只盯着“在线”两个字。有些靶场虽然要下载虚拟机，但也是免费的，比如OWASP的Broken Web Application。它故意做得漏洞百出，连目录遍历都不设防。我拿它练手的时候，用dirb扫出一堆备份文件，其中有个config.php.bak直接泄露了数据库密码。这种“意外收获”在线靶场反而给不了，因为在线环境通常把无关文件删干净了。

最后说个实在的：在线靶场练的是“知道漏洞在哪，怎么利用”，但真实渗透里最难的往往是“不知道漏洞在哪”。所以别做完靶场就觉得自己能挖SRC了。靶场是游泳池，真实网络是野河。不过游泳池都游不明白，下河就是送人头。先在这些免费靶场里把OWASP Top 10过一遍，每个漏洞亲手复现一次，比看十遍书都管用。

对了，做完实验记得把flag提交了。有些平台会记录你的完成度，看着进度条一点点满，比刷短视频有意思多了。