web应用靶场下载

搭靶场这件事，应用靶很多人第一步就卡在下载上。场下不是应用靶找不到，是场下找到的太多，不知道哪个能跑、应用靶哪个是场下坑。我自己的应用靶习惯是：先看这个项目最近半年有没有人提交代码，再看issue区有没有人骂娘，场下最后才去点下载按钮。应用靶

DVWA算是场下最老牌的那一批。GitHub上搜digininja/dvwa，应用靶直接clone下来扔进phpstudy的场下www目录，改一下config/config.inc.php里的应用靶数据库账号密码，浏览器打开setup.php点一下创建数据库，场下完事。应用靶整个过程十分钟不到。但有个坑：PHP版本别用8.0以上，它有些函数在8里已经删了，会报一堆fatal error。我一般配PHP 7.4，稳。

SQLi-Labs是另一个必装的。这个靶场专注SQL注入，从联合查询到堆叠注入到宽字节，几十个关卡排得明明白白。下载方式也简单，GitHub搜Audi-1/sqli-labs，丢进web根目录就能跑。不过它的界面是真丑，纯HTML表格，连个CSS都懒得写。但搞安全的人不在乎这个，能弹数据就行。

如果你想要现代一点的，推荐OWASP Juice Shop。这玩意是用Node.js写的，npm install然后npm start，默认跑在3000端口。它的好处是把漏洞藏在了一个完整的电商应用里，有前端有后端有数据库，打起来更像真实渗透。而且它内置了排行榜，你每解一个挑战，分数会涨，有点打游戏的意思。坏处是依赖Node环境，对不写JS的人来说稍微麻烦点。

国内也有不少人在维护靶场集合。比如vulhub，它其实不是传统靶场，而是一堆Docker-compose文件的集合。你想打哪个漏洞，cd进对应目录，docker-compose up -d，环境就起来了。用完docker-compose down，干干净净。这种方式我特别喜欢，因为不污染本机环境，而且版本控制精确——它用的就是有漏洞的那个版本，不会出现“明明照教程打了却没反应”的情况。

下载源的问题得单独说一句。能从GitHub拉就别从乱七八糟的网盘下。我见过有人在某资源站下的DVWA，解压出来config文件里被人塞了后门，连数据库的代码里藏了一句eval。你搭靶场是为了学攻击，结果自己先被攻击了，这笑话就大了。GitHub再慢，挂个代理也要从官方源拉。

还有个小众但好用的：WebGoat。OWASP出的，Java写的，下载jar包直接java -jar webgoat-server-xxx.jar就能跑。它最大的特点是每个漏洞都配了讲解和修复建议，适合边打边学。不过它的关卡设计偏教学，真实感不如Juice Shop。

最后说一个我最近在用的：VulnHub上的虚拟机靶场。严格来说它不是web靶场，是整个虚拟机，但里面往往跑着好几个web应用。下载下来是个ova文件，VMware或VirtualBox导入就能用。好处是网络环境完整，你能从外网扫端口开始一步步打进去。坏处是文件大，动辄几个G，下载得有点耐心。

选哪个？看你目的。纯学SQL注入，SQLi-Labs够用。想体验完整渗透流程，Juice Shop或VulnHub。想快速复现某个CVE，vulhub最省事。别贪多，装三个就够了，打穿比装一堆吃灰强。