```html

黑客靶场有哪些

上周有个刚入行安全的黑客小兄弟问我，说想练手但不敢碰真实站点，靶场有没有那种“打了不犯法、黑客还能涨经验”的靶场地方。我回他：靶场。黑客他接着问，靶场靶场到底有哪些？黑客我愣了一下，发现这问题看着简单，靶场真要一口气说全，黑客还挺费劲。靶场干脆写下来，黑客也当给自己理理。靶场

先说本地搭的黑客那种。DVWA，靶场Damn Vulnerable Web Application，黑客估计每个学Web安全的人都拿它开过刀。PHP写的，装完往浏览器一扔，从低到高四个安全等级，SQL注入、XSS、文件包含、命令执行全有。我当年第一次把low级别的SQL注入打通，看着数据库里admin的密码弹出来，兴奋得拍了下桌子。后来调成impossible，才发现自己写的payload有多蠢。它界面丑，代码老，但胜在逻辑直白，适合搞明白漏洞到底怎么产生的。同类的还有bWAPP，漏洞更多，一百来种，但环境偶尔抽风，得有点耐心。

Web这块绕不开OWASP Juice Shop。Node.js写的，界面像个正经电商，实际全是坑。它把漏洞藏在搜索、登录、购物车、甚至客服聊天里。我印象最深的是那个“用admin邮箱注册”的路径，不算传统注入，更像逻辑漏洞。Juice Shop有积分榜，打中一个漏洞给分数，有点像游戏。适合已经知道基础原理、想练综合挖掘的人。另一个是WebGoat，OWASP亲儿子，教程和练习绑在一起，每一步告诉你目标是什么，但具体怎么绕，自己琢磨。Java环境，启动稍慢，内容偏教学，适合系统性过一遍。

再往深走，就是靶机平台。Hack The Box，圈里叫HTB，机器分免费和VIP。免费机器每周轮换，难度从easy到insane。我打第一台easy机器时，连nmap扫端口都手抖，扫出来80和22，然后对着web目录翻了半小时，最后靠一个CVE拿的shell。那种从零到root的过程，比看十遍教程都管用。HTB有排行榜，有season，有pro lab，但免费用户只能同时开一台，还经常要排队。另一个是TryHackMe，更友好，路径化学习，每个房间有引导问题。适合完全没摸过Linux的人。它把“提权”拆成好几步，每一步给提示，不会一上来就懵。但有些人嫌它太保姆，打到后面觉得不过瘾。

国内的话，i春秋的“竞赛训练”和“CTF大本营”算早的。有在线靶场，也有季度赛。我参加过几次他们的CTF，Web题偏实战，偶尔出些奇怪的中间件漏洞。还有攻防世界，XCTF联赛的练习平台，题目质量参差，但数量大，适合刷手感。不过国内平台有个通病：部分老题环境挂了没人修，点进去一片空白。所以别死磕一道题，打不通就换。

CTF本身也算一种靶场，只是更竞技。Pwn、Reverse、Crypto、Misc，每个方向都有专门的练习站。pwnable.kr，韩国人做的，界面复古，题目经典。我卡在fd那题一下午，最后发现是文件描述符的细节没搞清。picoCTF适合新手，每年春季开赛，题目有趣，比如给一段音频让你找隐藏信息。CTF不是靶场，但打CTF的过程就是打靶。

还有一类是云靶场。AWS有个“flaws.cloud”，专门练S3桶权限配置错误。六个关卡，从公开可读的bucket一路到复杂的IAM角色链。我打完最大的感受是：云安全跟传统Web完全两个思路，错一步就卡死。Azure也有类似的Goat，但资料少，得自己啃文档。

最后提一嘴移动端。MobSF可以本地搭，但纯练手的话，AndroLabs和OWASP MASTG的 crackmes 够用。我试过反编译一个简单的apk，找硬编码的密钥，改smali代码重打包。过程琐碎，但比看文章有意思。

靶场这东西，不是越多越好。我见过有人收藏了二十个靶场，每个都只打了第一关。挑一个，装好，从头打到尾，把每一步为什么这么打想清楚。DVWA的low级别打十遍，不如把impossible的源码读一遍。工具会过时，漏洞会修复，但“怎么发现问题、怎么验证、怎么利用”这套肌肉记忆，只有反复打才能长出来。别贪多，先把手头那个打穿。

```