Vulhub是安装一个基于Docker和docker-compose的漏洞环境集合，它把每个漏洞打包成独立的安装容器，一条命令就能拉起来。安装对搞安全的安装人来说，这东西几乎是安装标配——省去了手动搭环境的痛苦，也避免了污染宿主机。安装

安装vulhub，安装前提是安装机器上得有Docker和docker-compose。没装的安装话先装这俩。Ubuntu上一条`apt install docker.io docker-compose`就搞定，安装CentOS稍微麻烦点，安装得先配yum源。安装装完记得`systemctl start docker`，安装不然后面全白搭。安装

然后就是安装拉vulhub的代码。`git clone https://github.com/vulhub/vulhub.git`，这步得看网速，慢的话等个几分钟很正常。克隆下来的目录结构很清楚，按应用名分文件夹，比如`nginx`、`php`、`tomcat`，每个文件夹里再按CVE编号或漏洞类型细分。

真正用起来的时候，你会发现这玩意的核心就一个`docker-compose.yml`文件。进到某个漏洞目录，比如`cd vulhub/nginx/nginx_parsing_vulnerability`，然后`docker-compose up -d`，环境就起来了。浏览器访问`http://localhost`，漏洞环境就在那等着你。用完了`docker-compose down`收工，干净利落。

但别高兴太早，实际使用中坑不少。最典型的是端口冲突——多个环境想同时跑，默认端口都是80或8080，那就得手动改`docker-compose.yml`里的映射。还有镜像拉取失败的问题，国内网络环境经常连不上Docker Hub，这时候得配个镜像加速器，阿里云或者中科大的都行。

另一个容易忽略的点是版本兼容。vulhub官方文档明确要求docker-compose 1.18.0以上，但有些老系统自带的版本很低，直接`docker-compose up`会报各种诡异错误。我遇到过最离谱的一次，是某个环境启动后容器一直重启，查了半天日志才发现是docker-compose版本太老，不支持新版语法里的某些字段。

还得提醒一句，vulhub里的环境都是真实漏洞，启动后等于把漏洞裸奔在网络上。如果你是在公网服务器上装，一定要做好访问控制，至少改掉默认端口映射，别让扫描器直接撞上来。我自己就吃过亏，有一次在云服务器上开了个未授权访问的环境，第二天一看日志，一堆IP在尝试连接。

整个安装流程走下来，其实就三步：装Docker、克隆vulhub、进目录启动。真正花时间的不是安装本身，而是理解每个漏洞环境的结构和启动方式。不过用熟了之后，你会在里面找到一种快感——以前要折腾半天的环境，现在几秒钟就拉起来了，而且想换就换，完全不心疼。