打开DVWA的渗透登录页，输入admin/password，测试看到那个熟悉的靶场红色警告条，你就知道——这靶场还能跑。大全但2024年还只玩DVWA，渗透基本等于在靶场里打BB弹。测试

渗透测试靶场分三类：本地搭的靶场、云上跑的大全、以及直接给你一台机器让你打的渗透。DVWA、测试bWAPP、靶场WebGoat属于第一类，大全装个PHP+MySQL就能跑，渗透适合刚摸Burp Suite的测试人练手。但它们的靶场漏洞太“标准”了——SQL注入点就在输入框里等你，XSS弹窗永远那么听话。真实环境里，注入点可能藏在HTTP头的X-Forwarded-For里，XSS要绕三层WAF才弹得出来。

Pikachu和DVWA是同一时代的产物，中文界面友好，但代码审计一下会发现部分漏洞实现得过于刻意。如果你想练手又不想浪费时间在环境配置上，直接上CTFHub的Web技能树或者BUUCTF的Web分区。这些平台把题目按漏洞类型分好，每道题就是一个独立的小靶场，提交flag即得分。缺点是缺乏“从信息收集到getshell”的完整链路——你永远知道这题考的是SSRF，不需要自己判断哪里可能存在漏洞。

VulnHub和Hack The Box补上了这个缺口。VulnHub给你一个OVA镜像，导入VMware后只有IP地址，剩下全靠自己。我印象最深的是Kioptrix Level 1，一个老旧的Linux靶机，Samba版本低到能直接打trans2open溢出。但很多人卡在信息收集阶段——nmap扫出80端口，浏览器打开却是一片空白，因为虚拟主机头没配。这种“坑”才是真实渗透的常态。

Hack The Box的Starting Point系列对新手更友好。Meow、Fawn、Dancing这三台机器几乎成了入行仪式。Meow考Telnet弱口令，Fawn考FTP匿名登录，Dancing考SMB空会话。每台机器通关后写一篇writeup，比看十小时视频教程管用。但HTB的VIP靶机才是精髓——比如“Blue”那台，MS17-010永恒之蓝直接打，打完还要手动迁移进程、抓哈希、解NTLM。这套流程走一遍，比考OSCP时的lab机器还锻炼人。

云靶场里，PentesterLab和PortSwigger的Web Security Academy值得单独说。PortSwigger的实验室直接嵌在浏览器里，每个lab对应一个具体的漏洞场景。它的“SQL注入”系列有十几关，从最简单的UNION注入到盲注时间延迟，难度曲线平滑得让人想哭。PentesterLab的Badge体系更偏代码审计，比如“Web For Pentester”系列，每个漏洞都有对应的PHP源码让你读——知道漏洞怎么产生的，比知道怎么利用更重要。

国内靶场绕不开春秋云镜和墨者学院。春秋云镜的靶场偏实战，比如“某OA系统漏洞复现”这种，环境里预装了全套中间件和源码，打起来像在真实内网。墨者学院的靶场更新快，但部分题目需要付费。免费用户每天能刷两道，攒积分换靶机。它的“命令执行”专题里有一道题，过滤了system、exec、passthru，但没过滤反引号——这种细节只有真做过的人才会设计出来。

自己搭靶场的话，推荐用Docker。Vulhub一条命令起一个环境，比如docker-compose up -d跑起Struts2的S2-045，直接拿工具打。但Docker靶场有个问题：网络隔离太干净，打内网穿透时没有真实的路由跳转。想练内网渗透，还是得用VMware开三台虚拟机，配双网卡，手动搭域环境。

最后说个冷门的：OWASP Juice Shop。它用Node.js+Angular写的前端，漏洞藏在API调用和前端逻辑里。比如“管理员注册”漏洞，需要你改注册请求里的role字段为admin——这种业务逻辑漏洞在传统靶场里很少见。Juice Shop还有排行榜，全球的人都在刷分，看着自己的名字往上爬，比打游戏上分还上瘾。

靶场打多了会有肌肉记忆。看到登录框先试admin/admin，看到?id=1先加单引号，看到上传点先传.php.jpg。但真实渗透里，这些肌肉记忆往往没用——因为目标可能是个只允许GET请求的静态页面，漏洞在CDN配置里。靶场练的是工具和流程，练不出“直觉”。直觉这东西，得在真实项目里被甲方骂几次才能长出来。

(责任编辑：休闲)