学网络安全只看书不练等于白学。但上哪练总不能拿真实网站开刀吧今天就把我用过的20个靶场平台全部分享出来从入门到高级全覆盖1. 为什么要用靶场安全学习中最大的痛点就是没有地方练手。你不能拿别人的网站去测那是违法的。靶场就是专门给你练手的模拟漏洞环境不用担心法律风险随便打。靶场分三类在线靶场浏览器打开就能用不需要自己搭建环境下载靶场需要自己用虚拟机或Docker搭建更灵活CTF平台以比赛形式出题更有挑战性2. 在线靶场8个2.1 DVWA网址dvwa.co.uk难度⭐⭐适合零基础入门特点最经典的Web漏洞靶场SQL注入、XSS、文件上传等十几种漏洞每种都有Low/Medium/High/Impossible四个难度。新手必刷2.2 WebGoat网址owasp.org/www-project-webgoat/难度⭐⭐⭐适合有一定基础特点OWASP官方出品比DVWA更系统。每种漏洞都有详细的教学文档边学边练。2.3 bWAPP网址bWAPP.net难度⭐⭐⭐适合进阶练习特点漏洞类型超多100多种界面简陋但内容丰富适合刷完DVWA后进阶。2.4 pikachu网址github.com/zhuifengshaonianhanlu/pikachu难度⭐适合纯新手特点国内安全爱好者开发的靶场中文界面对新手非常友好。漏洞类型和DVWA类似但讲解更详细。2.5 HackTheBox网址hackthebox.com难度⭐⭐⭐⭐适合有渗透基础特点全球最火的靶场平台模拟真实环境的渗透测试从信息收集到拿shell全流程。有在线排行榜打通一台机器拿积分升级。强烈推荐2.6 TryHackMe网址tryhackme.com难度⭐⭐⭐适合入门到进阶特点比HTB更友好有详细的学习路径和引导。每台机器都有walkthrough可以参考。适合HTB觉得太难的人先用这个过渡。2.7 PortSwigger Web Security Academy网址portswigger.net/web-security难度⭐⭐⭐⭐适合深入学习Web安全特点Burp Suite官方出品免费涵盖所有Web漏洞类型每个漏洞都有详细讲解和实验环境。Web安全学习的最佳平台之一。2.8 长亭XCTF网址adworld.xctf.org.cn难度⭐⭐⭐⭐适合CTF备赛特点国内最好的CTF练习平台题目分类清晰Web/Pwn/Reverse/Crypto/Misc从入门到高级都有。3. 下载靶场5个3.1 VulnHub网址vulnhub.com难度⭐⭐⭐⭐适合想自己搭环境的特点大量社区贡献的靶机镜像下载后用VMware/VirtualBox打开就能练。每台靶机都有作者设定的目标和提示像解开一个个谜题。3.2 SQLi-Labs网址github.com/Audi-1/sqli-labs难度⭐⭐⭐适合专攻SQL注入特点SQL注入专项靶场75关从最基础的联合查询注入到盲注、堆叠注入、宽字节注入全覆盖。想精通SQL注入必刷。3.3 Upload-Labs网址github.com/c0ny10/upload-labs难度⭐⭐⭐适合专攻文件上传特点文件上传漏洞专项靶场20关各种绕过方式后缀名绕过、MIME绕过、内容检测绕过、解析漏洞等。3.4 DVWA (Docker版)网址Docker Hub搜索dvwa难度⭐⭐适合不想折腾环境特点docker run -d -p 80:80 vulnerables/web-dvwa一行命令搞定。比手动搭建方便太多。3.5 Commix-Shell网址github.com/commixproject/commix-testbed难度⭐⭐⭐适合专攻命令注入特点命令注入专项靶场涵盖各种命令注入场景适合想深入学习OS Command Injection的人。4. CTF平台7个4.1 BUUCTF网址buuoj.cn难度⭐⭐⭐⭐适合CTF备赛特点国内题目量最大的CTF平台收录了历年各大赛事的真题。题目质量不错更新也快。国内CTF选手必刷。4.2 NSSCTF网址ctf.nssctf.cn难度⭐⭐⭐适合入门CTF特点近年崛起的新平台题目更新快难度分档合理对新手比较友好。4.3 CTFHub网址ctfhub.com难度⭐⭐⭐适合CTF入门特点按技能树组织题目有引导式的学习路径适合不知道从哪开始的新手。4.4 PicoCTF网址picoctf.org难度⭐⭐适合零基础CTF特点卡内基梅隆大学出品的CTF平台专门面向中学生和大学生。题目简单有趣非常适合CTF纯新手入门。4.5 RingZer0Team网址ringzer0team.com难度⭐⭐⭐⭐适合进阶CTF特点偏实战的CTF平台题目模拟真实场景有些题目难度不小。4.6 Root-Me网址root-me.org难度⭐⭐⭐⭐适合进阶练习特点法国的CTF平台题目种类多、质量高。有些题目需要很强的综合能力适合有一定基础后挑战。4.7 Hacker101 CTF网址ctf.hacker101.com难度⭐⭐⭐适合Web安全方向特点HackerOne出品的CTF平台以Web安全为主。做完还有积分可以兑换HackerOne的邀请资格。5. 不同阶段怎么刷靶场阶段推荐靶场目标纯新手DVWA、pikachu、PicoCTF理解每种漏洞原理入门进阶SQLi-Labs、Upload-Labs、WebGoat专项深入练习综合提升TryHackMe、PortSwigger Academy全流程渗透测试实战模拟HackTheBox、VulnHub模拟真实环境CFT备赛BUUCTF、XCTF、NSSCTF比赛训练6. 刷靶场的心得①先自己想实在不行再看答案。看了答案再做一遍不算会了不看答案能做出来才算。②做好笔记。每打完一台机器记录思路、用到的技术、踩过的坑。这些笔记就是你最宝贵的财富。③不要只刷简单的。一直待在舒适区不会进步。适当挑战难的题目才能成长。④关注社区Writeup。别人打不通的机器看Writeup学思路但不要照抄。⑤注意积累工具和payload。打靶场过程中收集好用的工具和payload建立自己的武器库。【粉丝福利】我整理了一份《靶场通关指南》含20个靶场的通关笔记、常用payload集、靶场搭建Docker Compose文件。免费发给你大家一起学习交流~以上靶场仅用于学习和研究目的请勿将学到的技术用于非法用途。