sql注入免费靶场

找漏洞练手，入免最怕什么？费靶怕蹲监狱。所以靶场这东西，入免就是费靶给你合法“犯罪”的沙盒。我见过太多新手，入免上来就对着真实网站一顿操作，费靶结果IP被封算轻的入免，运气差点直接喝茶。费靶今天聊几个免费的入免SQL注入靶场，全是费靶能让你放开手脚折腾的地方。

先说最经典的入免DVWA。这玩意儿老得掉牙，费靶但架不住它实用。入免你本地搭个PHP环境，费靶把DVWA一扔，入免里面从low到impossible四个难度等级，像打游戏解锁似的。low级别基本就是给你送分，单引号一怼就报错，union select直接能拖库。但别小看这“送分”，我见过不少人连low级别的闭合方式都搞不明白，还在那儿瞎试。DVWA最狠的地方是它的源代码直接摊开给你看，你一边注一边读代码，慢慢就懂了“啊，原来这地方过滤了空格，那地方没过滤注释符”。这种直观感，比你看十篇教程都管用。

要是觉得DVWA太“正经”，试试Pikachu。别笑，这名字就是皮卡丘。国产靶场，界面花里胡哨，但内容真不少。它有个好处——把各种注入类型分门别类，字符型、搜索型、POST型、报错注入、盲注，全给你拆开揉碎。最绝的是它有个“XXE漏洞”模块，你拿XML去炸服务器，能直接读到本地文件。我第一次拿它读到/etc/passwd时，后背发凉——这要是真实站，岂不是随便看服务器配置？

再往上走，就是SQLi-Labs。这靶场更刁钻，整整75关，从基础到堆叠注入到绕过WAF，一关一关像爬天梯。我记得第23关是过滤了注释符和空格，拿%0a换行符绕过去时，那种爽感不亚于解出一道数学压轴题。不过说实话，这靶场对新手不太友好，容易卡关卡到怀疑人生。建议你先拿DVWA练手，再来这儿受虐。

还有个偏门但极好用的——bWAPP。它不光有SQL注入，什么XSS、CSRF、文件上传、命令注入，全给你包圆了。而且它每个漏洞都配了“修复建议”，你注完还能看看官方怎么补，攻防一体。我特别喜欢它的“SQL Injection (Blind)”模块，布尔盲注得靠页面响应差别猜数据，一猜就是半小时，但那种抽丝剥茧的过程，真能练出耐心。

最后提一嘴在线靶场。像HackTheBox和PortSwigger Web Security Academy，前者偏渗透测试，后者是Burp Suite官方出的，SQL注入实验室全在浏览器里跑，不用本地搭环境。PortSwigger那个尤其良心，每个实验都有官方writeup，你卡住了还能偷瞄答案。不过它们的服务器在国外，网络不稳定时体验挺糟心——你正注到关键处，突然超时，血压直接拉满。

用免费靶场，别贪多。我建议你死磕一个，比如把DVWA的impossible级别用各种姿势打穿，比你在五个靶场里各划拉两下强得多。还有，靶场里的“漏洞”是设计好的，但真实世界的注入点往往藏在参数拼接、JSON格式、甚至请求头里——靶场练的是手感，真正比赛还得靠平时积累。最后提醒一句：玩归玩，闹归闹，别拿真实站点开刀，那靶场可没免费的。