第一次进渗透靶场，渗透靶场我盯着屏幕上的渗透靶场IP地址发愣。那串数字看起来人畜无害，渗透靶场像随便哪个办公室路由器分配出来的渗透靶场。但我知道，渗透靶场它背后藏着一台故意留了后门的渗透靶场Windows Server。靶场这东西，渗透靶场说白了就是渗透靶场把真实网络环境里那些漏洞百出的配置，打包塞进一个隔离的渗透靶场虚拟局域网。你打进去，渗透靶场拿权限，渗透靶场提权，渗透靶场横移，渗透靶场最后摸到域控。渗透靶场全程合法，渗透靶场全程有记录。

我搭的第一个靶场是DVWA。那会儿连Burp Suite都装不利索，抓包抓到一堆乱码。DVWA的low难度下，SQL注入简单得像在输入框里写作文。`' or 1=1 --` 回车，整张用户表弹出来。当时觉得挺爽，后来才明白这玩意儿是给新手找自信用的。真正有意思的是medium难度，它把输入框改成下拉菜单，你没法直接写payload，得用Burp改包。那一刻你才意识到，前端那点限制在代理工具面前跟纸糊的一样。

靶场分两种。一种像DVWA、WebGoat，专攻Web漏洞，每个关卡对应一类攻击手法。另一种像VulnHub上的虚拟机，给你一个完整的IP，自己扫端口、找入口、提权。前者像做习题册，后者像打野。我偏爱后者。有次打一个叫“DC-1”的靶机，nmap扫出80端口跑Drupal 7。搜了下版本号，有个现成的RCE漏洞。msfconsole里敲几行命令，shell就弹回来了。但拿到shell只是开始，里面是个低权限的www-data用户。翻配置文件找到数据库密码，登进去拿到admin的哈希，john跑十分钟破解出来。sudo -l一看，find命令能提权。整个过程像在解一个设计好的谜题，每一步都有线索，但线索不会自己跳出来。

有人觉得靶场太假。真实环境哪有这么多明显的漏洞？这话对，也不对。真实环境确实不会把Drupal 7这种老古董暴露在公网，但会暴露Jenkins、暴露Redis未授权、暴露各种中间件配置错误。靶场练的是手法和直觉。你在一台机器上练过Drupal的利用链，下次遇到Drupal就知道从哪下手。这种肌肉记忆比背CVE编号有用得多。

我见过最离谱的靶场配置是一台Linux机器，root密码设成“toor”。nmap扫完，hydra跑SSH，两秒出结果。出题人大概觉得没人会试这么蠢的密码。但渗透测试里，最蠢的密码往往最有效。真实攻击者不会上来就扔0day，他们先试admin/admin，试完再试admin/123456。靶场把这种“低技术含量”的路径也保留下来，挺真实的。

打靶场有个规矩：别在真实环境里用靶场学到的自动扫描工具。我见过有人拿AWVS对着客户内网一顿扫，结果触发了IPS告警，整个项目被叫停。靶场里的nmap可以随便跑，-T4加速，-A全面扫描。真实环境里你得控制速率，得考虑流量特征，得想清楚每个包发出去会不会被IDS逮住。靶场教你技术，不教你克制。克制得在实战里学，或者被客户骂几次就学会了。

现在我的靶场环境跑在Proxmox上，七八台虚拟机常年开着。有Windows域环境，有Linux提权靶机，还有几台故意配错的Docker容器。周末没事就挑一台打。打穿了就重置快照，打不穿就翻writeup。这东西跟打游戏差不多，只不过通关的奖励不是装备，是那种“原来这个漏洞是这么用的”的瞬间。那个瞬间多了，你再看真实网络，眼睛里全是入口。