打开浏览器，线漏输入一个网址，洞靶页面上弹出一个登录框。线漏你随手试了试admin/admin，洞靶居然进去了。线漏里面是洞靶一个简陋的电商后台，订单列表、线漏用户管理、洞靶文件上传一应俱全。线漏你点开文件上传，洞靶传了个php文件上去，线漏几秒钟后，洞靶服务器返回了一个shell。线漏整个过程不到三分钟，洞靶而你只是线漏坐在家里的沙发上，用一台笔记本。

这就是在线漏洞靶场。它把真实世界里那些要命的安全漏洞，打包成一个个可访问的Web应用，放在公网上供人练习。DVWA、SQLi-Labs、Pikachu，这几个名字搞安全的人多少都听过。DVWA全称Damn Vulnerable Web Application，直译过来就是“该死的有漏洞的Web应用”，起名的人显然没打算掩饰什么。

我第一次接触靶场是在大二。当时在B站刷到一个UP主用sqlmap跑注入，命令行里刷刷刷跳出数据库的表名、字段名、密码哈希，弹幕一片“卧槽”。我跟着视频在本地搭了DVWA，结果卡在配置环节整整一个下午——PHP版本不对、MySQL连不上、权限没开。后来换成在线的靶场，省去了环境折腾，直接进入正题。这个体验差异挺关键的：本地搭环境能学到东西，但很多人还没摸到漏洞的门就放弃了。

在线靶场的价值在于降低了入门门槛。你不需要懂Linux运维，不需要配Apache，甚至不需要知道HTTP协议是怎么回事，打开浏览器就能开始“攻击”。这种即时反馈很重要。在SQLi-Labs的Less-1页面，输入一个单引号，页面报错，你就知道这里存在注入。再输入?id=1' AND 1=2 --+，页面返回空，说明注入生效了。每一步操作都有明确的视觉反馈，跟打游戏一样。

但靶场和真实渗透测试之间的差距，比很多人想象的大得多。

靶场里的漏洞是精心设计好的。开发者故意把mysql_query写成拼接字符串，故意不做过滤，故意把上传目录设成可执行。真实环境里，漏洞往往藏在业务逻辑的缝隙中——一个密码重置接口的token生成算法有缺陷，一个API的权限校验漏了某个参数，一个老旧的第三方组件带着CVE漏洞但没人注意到。靶场练的是“知道漏洞类型后怎么利用”，真实环境考验的是“从一堆正常功能里找出哪个地方不对劲”。

我在一次众测中遇到过这种情况。目标是一个物流查询系统，输入运单号返回物流轨迹。常规的SQL注入、XSS都试了，没反应。后来抓包发现请求里有个userId参数，是Base64编码的数字。解码后改成别的数字，服务器返回了另一个用户的完整订单信息，包括姓名、电话、地址。越权。这个漏洞在靶场里几乎不会出现，因为它不是一个“技术漏洞”，而是一个设计疏忽。

在线靶场适合练手，但别把它当全部。我见过有人刷完了所有靶场关卡，面试时被问到“如果目标没有报错信息你怎么判断注入”就卡住了。靶场给了你一个确定的答案，真实世界给你的是一团迷雾。你得学会在迷雾里找线索：响应时间的细微差异、HTTP状态码的变化、页面内容的微妙不同。

另外说一句，别在别人的真实站点上练手。靶场之所以叫靶场，是因为它授权你攻击。没授权的测试叫入侵，不叫学习。

选靶场的话，DVWA适合入门，覆盖了常见的几类漏洞；SQLi-Labs专注注入，关卡设计得很细；Pikachu的UI更现代一些，漏洞类型也全。如果想进阶，可以试试HackTheBox或者VulnHub上的靶机，那些更接近真实场景。工具方面，Burp Suite社区版免费，够用了。sqlmap别乱跑，先手动确认了再上工具，不然你永远不知道自己在打什么。

最后说个观察。在线靶场这东西，国外起步早，OWASP搞了很多年。国内这几年也多了起来，但质量参差不齐。有些靶场为了“逼真”，把漏洞藏得太深，结果变成了猜谜游戏；有些又太直白，页面上直接写着“此处存在SQL注入”。好的靶场应该在两者之间：给你一个看起来正常的应用，让你自己去找那个不正常的地方。

练多了会有一种直觉。看到一个登录框，你会想试试万能密码；看到一个上传点，你会想改Content-Type；看到一个URL带id参数，你会想加个单引号。这种直觉在真实环境里能帮你省很多时间。但直觉也会骗人，有时候你盯着一个参数看了半天，最后发现漏洞在另一个完全没注意的地方。

保持好奇，保持怀疑。靶场里练的是招式，真实世界里拼的是眼力。

(责任编辑：焦点)