HackThisSite.org 这个网站，黑客我第一次打开它是训练在2012年。页面丑得离谱，黑客灰底黑字，训练导航栏挤成一团，黑客像某个大学实验室里学生随手搭的训练。但它活到了现在，黑客而且那套关卡设计至今没被淘汰。训练

它的黑客核心就一件事：让你在真实浏览器里，对真实运行的训练Web应用发起攻击，目标是黑客自己拿到下一关的密码。没有模拟器，训练没有沙箱提示，黑客你面对的训练代码就是有漏洞的代码。

基本训练模式：从看源码开始

第一关简单到让人怀疑是黑客不是走错了。打开页面，右键查看源代码，密码就明晃晃写在HTML注释里。这一关不是考技术，是考习惯——很多人连看源码这一步都想不到。第二关稍微拧了一下：密码藏在JavaScript文件里，你得顺着 <script src="..."> 找过去。第三关开始涉及Cookie篡改，用浏览器开发者工具把某个值改掉，刷新，就过了。

这种难度曲线是有意为之的。它不先给你讲一遍“什么是XSS”，而是让你先动手，卡住了再去论坛翻帖子。论坛里全是十几年前的讨论帖，有人贴出自己试出来的payload，有人在下面骂“这也能行？”。这种粗糙的社区氛围，比看教程视频管用得多。

现实挑战模式：真网站，真授权

“Realistic Missions”是HackThisSite最特别的部分。管理员联系了一些小型网站站长，拿到书面授权后，把这些站点的真实漏洞开放给用户练习。你面对的是一个正在运行的、有真实用户的网站，只不过漏洞是站长自己留的。

我印象最深的是一个老式PHP论坛的关卡。注入点藏在一个分页参数里，得手工构造 UNION SELECT 把管理员密码哈希拖出来。当时我SQL注入练得不多，在那个关卡卡了整整一个周末。最后跑通的那一刻，比后来考任何证书都爽。

这种模式的风险也明显。有些关卡后来因为站长关站或者服务器迁移就失效了，论坛里经常有人发帖问“第X关是不是挂了”。管理员偶尔出来回一句“正在联系站长”。这种不完美反而真实——现实中的渗透测试，环境本来就是会变的。

论坛和IRC：老派但有效

它的论坛版块按难度和类型分，发帖规则很松，但有一条铁律：不准直接贴答案。你可以贴思路、贴报错、贴你试过的payload，但最终那一步得自己迈。有人忍不住贴了完整解法，版主删帖速度比发帖还快。

IRC频道现在基本没人了，但早年是实时求助的主要渠道。我曾在里面问过一个关于 php://filter 的问题，一个叫 darkc0de 的用户两分钟就回了，贴了一段伪协议链的构造思路。那种即时反馈，现在的Discord服务器反而少了点味道。

它到底教会了我什么

不是具体的某个漏洞利用技巧。那些技巧会过时，SQL注入的绕过手法每年都在变。HackThisSite真正训练的是“先看源码、先抓包、先改参数”的条件反射。遇到一个陌生页面，手会自己按F12，会去翻Network面板里每一个请求。这种肌肉记忆，看多少本书都换不来。

网站本身的技术栈老得掉牙，界面十几年没大改。但它的关卡设计逻辑——从简单到复杂、从模拟到真实、从单点到链式——至今没有几个替代品能做到同样密度。它不教你成为专家，它只逼你养成动手的习惯。剩下的，你自己在真实目标上去磨。