漏洞挖掘必练靶场全汇总（新手→进阶→高阶，附搭建+使用指南）

摘要：漏洞挖掘是Web安全、渗透测试的核心能力，而合法靶场是新手入门、老手进阶的唯一安全途径——未经授权的测试行为可能违反《网络安全法》，面临行政处罚甚至刑事责任。

声明：本文所有靶场推荐均为合法开源、可公开练习的平台，所有操作需在靶场或合法授权环境中进行，严禁利用靶场所学技术对未授权网站、系统进行攻击，坚守网络安全法律法规与职业道德。

一、核心前提：为什么练靶场是漏洞挖掘的必经之路？

很多新手入门漏洞挖掘，会陷入「光看理论、不会实操」「盲目用工具、不懂原理」的误区，而靶场的核心价值的就是解决这些问题：

• 合法安全：靶场模拟真实业务场景与漏洞环境，无需担心法律风险，可放心练习漏洞挖掘、利用全流程；

• 循序渐进：从基础漏洞到复杂场景，从单一漏洞到综合渗透，靶场可匹配不同学习阶段的需求，逐步提升实操能力；

• 贴合实战：优质靶场的漏洞场景高度还原真实业务中的漏洞形式，练习后可快速迁移到真实测试场景；

• 低成本落地：多数靶场支持本地部署或在线访问，无需复杂配置，新手10分钟即可搭建完成，零成本入门。

重点提醒：靶场练习的核心是「懂原理、练实操」，而非「单纯刷关卡」，每练一个漏洞，需搞懂其产生原因、利用逻辑与防御方法，才能真正提升漏洞挖掘能力。

二、新手入门靶场（0-3个月，基础漏洞必练）

适合零基础新手、运维转网安、开发转安全的人群，核心目标：掌握OWASP Top 10基础漏洞（SQL注入、XSS、文件上传等）的挖掘与利用方法，熟悉漏洞挖掘基本流程，入门工具使用（Burp Suite、SQLMap等）。

1. DVWA（ Damn Vulnerable Web Application ）—— 新手入门标杆

核心定位：全球最流行的Web安全入门靶场，被誉为「漏洞百科全书」，轻量化、模块化、难度分级清晰，是新手的首选靶场，覆盖Web安全基础必备技能。

核心特点：

• 漏洞覆盖：包含OWASP Top 10全量基础漏洞，8个核心练习模块（暴力破解、命令注入、CSRF、文件包含、文件上传、验证码绕过、SQL注入、XSS），场景高度还原真实Web应用；

• 难度分级：支持Low/Medium/High/Impossible四级难度切换，Low难度无任何防护，适合新手理解漏洞原理；Impossible难度提供完整防御方案，可反向学习防御逻辑；

• 易部署：基于PHP+MySQL开发，支持Docker一键部署，无需复杂依赖，新手10分钟即可搭建完成，也可直接访问在线版本；

• 适配工具：完美匹配Burp Suite、SQLMap等基础工具，可练习抓包改包、自动化扫描、手动注入等核心操作。

搭建方法（Docker快捷部署，新手首选）：

1. 安装Docker（Windows/Linux/Mac通用），确保Docker正常运行；

2. 执行命令拉取镜像：docker pull vulnerables/web-dvwa；

3. 启动容器：docker run -d -p 80:80 vulnerables/web-dvwa；

4. 访问http://localhost，使用默认账号admin/password登录，切换难度即可开始练习。

练习建议：先以Low难度通杀所有模块，建立漏洞认知；再针对薄弱模块（如SQL注入），从Medium到High难度逐步突破，理解防御机制的绕过方法。

2. Pikachu（皮卡丘）—— 中文友好型新手靶场

核心定位：国内开源的中文靶场，专为中文新手设计，界面简洁、漏洞场景贴近国内业务，无需英文基础，适合零基础新手快速入门，尤其适合刚接触漏洞挖掘的小白。

核心特点：

• 漏洞覆盖：涵盖SQL注入、XSS、CSRF、文件上传、文件包含、命令执行等10+基础漏洞，每个漏洞提供多个细分场景，比如XSS包含反射型、存储型、DOM型，贴合国内Web应用常见漏洞；

• 中文适配：所有界面、提示、漏洞说明均为中文，新手无需担心语言障碍，可快速理解漏洞场景；

• 操作简单：无需复杂配置，下载源码后解压到PHPStudy根目录，访问即可使用，支持一键重置漏洞环境；

• 配套说明：每个漏洞场景都有简单的原理说明，新手可边练边学，快速掌握漏洞核心逻辑。

搭建方法（PHPStudy部署，新手易懂）：

1. 下载PHPStudy（集成Apache/MySQL/PHP），安装并启动；

2. 从GitHub下载Pikachu源码（https://github.com/zhuifengshaonianhanlu/pikachu），解压至PHPStudy的www目录；

3. 访问http://localhost/pikachu，点击「初始化安装」，自动创建数据库，完成后即可开始练习。

练习建议：重点练习XSS、文件上传漏洞，这两类漏洞在国内Web应用中高发，练熟后可快速上手简单的漏洞挖掘。

3. WebGoat（OWASP官方靶场）—— 理论+实操结合

核心定位：OWASP官方推出的Web安全训练靶场，主打「理论+实操」结合，不仅能练习漏洞挖掘，还能学习漏洞原理，适合想系统掌握Web安全基础的新手，也是很多企业安全培训的指定靶场。

核心特点：

• 漏洞覆盖：涵盖SQL注入、XSS、CSRF、文件包含、权限绕过、XML外部实体（XXE）等基础漏洞，场景更偏向于企业级业务；

• 理论配套：每个漏洞场景都有详细的原理讲解、攻击思路提示，新手可边练边学，理解漏洞产生的底层逻辑；

• 多语言支持：支持Java、Python等多种语言环境，可练习不同语言下的漏洞挖掘差异；

• 在线+本地：支持在线访问（OWASP官方服务器），也可本地部署，适合不同网络环境的新手。

使用方法（在线访问，无需搭建）：

直接访问OWASP WebGoat官方在线地址（https://owasp.org/www-project-webgoat/），注册账号后即可开始练习，每个关卡有明确的目标，完成目标即可解锁下一关。

三、进阶实战靶场（3-12个月，专项突破+综合练手）

适合掌握基础漏洞、想提升专项能力、向渗透测试工程师进阶的人群，核心目标：突破单一漏洞局限，练习复杂漏洞场景、漏洞绕过、专项漏洞挖掘，提升实战能力，贴合2026年实战场景需求。

1. SQLi-Lab（SQL注入专项靶场）—— SQL注入终极题库

核心定位：专注于SQL注入的专项靶场，被誉为「SQL注入训练神器」，提供29-32个细分场景，从基础的联合查询注入到复杂的盲注、宽字节注入、堆叠查询注入，覆盖所有SQL注入类型，适合想强化SQL注入能力的进阶学习者。

核心特点：

• 漏洞覆盖：涵盖联合查询、盲注（布尔盲注、时间盲注）、宽字节注入、堆叠查询、二次注入、报错注入等所有SQL注入细分场景，实战贴合度高达85%；

• 专项突破：专注单一漏洞，可针对性练习SQL注入的绕过技巧（编码绕过、过滤绕过），解决新手「会基础注入、不会绕过」的痛点；

• 易部署：基于PHP+MySQL开发，支持本地部署和在线访问，部署方法与DVWA类似，新手可快速上手；

• 实战适配：场景高度还原企业真实SQL注入漏洞，练习后可直接应用于真实测试场景，比如网站搜索框、登录页的SQL注入挖掘。

搭建方法：

1. 下载SQLi-Lab源码（https://github.com/Audi-1/sqli-labs），解压至PHPStudy根目录；

2. 修改sql-connections/db-creds.inc文件，配置MySQL账号密码（与PHPStudy一致）；

3. 访问http://localhost/sqli-labs，点击「Setup/reset Database」创建数据库，即可开始练习。

练习建议：按关卡顺序练习，重点突破盲注和绕过技巧，结合SQLMap自动化工具与手动注入结合，理解注入语句的执行逻辑，避免成为「工具党」。

2. Upload-Lab（文件上传专项靶场）—— 文件上传漏洞专攻

核心定位：专注于文件上传漏洞的专项靶场，提供19类文件上传细分场景，从基础的后缀绕过、MIME类型欺骗，到复杂的文件校验绕过、解析漏洞利用，实战贴合度高达90%，适合渗透测试工程师、Web安全从业者强化专项能力。

核心特点：

• 漏洞覆盖：涵盖后缀名绕过、MIME类型欺骗、文件内容校验绕过、解析漏洞（IIS/Apache/Nginx）、图片马制作等所有文件上传相关场景；

• 实战导向：每个关卡模拟不同的文件上传防护策略，练习如何绕过防护、上传恶意文件，与企业真实场景高度一致；

• 细节拉满：每个关卡有明确的提示，可查看后台防护代码，理解防护逻辑，进而找到绕过方法，反向学习文件上传漏洞的防御技巧；

• 轻量部署：基于PHP开发，无需复杂配置，下载源码后解压部署即可使用，支持一键重置环境。

搭建方法：与Pikachu一致，下载源码（https://github.com/c0ny1/upload-labs），解压至PHPStudy www目录，访问即可开始练习。

3. VulnHub（综合实战模拟平台）—— 真实环境复现

核心定位：开源的综合实战靶场，提供大量包含漏洞的虚拟机镜像，模拟真实服务器环境，涵盖服务器漏洞、应用漏洞、内网渗透全流程，实战贴合度高达95%，适合有基础的进阶者、红队方向学习者。

核心特点：

• 漏洞覆盖：涵盖Web漏洞、系统漏洞、内网漏洞、第三方组件漏洞，甚至包含2024+新CVE漏洞场景，可练习漏洞挖掘、权限提升、内网横向移动全流程；

• 场景真实：每个虚拟机镜像模拟真实企业服务器环境，包含完整的业务逻辑，需从信息收集、漏洞挖掘、漏洞利用到权限获取，完成全流程练习；

• 免费开源：所有镜像均可免费下载，支持VMware、VirtualBox部署，无需付费，适合个人练习；

• 进阶适配：难度从初中到极高不等，推荐新手从Kioptrix系列（经典入门）开始练习，逐步提升综合实战能力。

使用方法：

1. 访问VulnHub官网（https://www.vulnhub.com/），下载适合自己难度的虚拟机镜像（推荐新手先下载Kioptrix系列）；

2. 使用VMware打开镜像，配置虚拟机网络（与本机桥接模式）；

3. 启动虚拟机，通过Nmap扫描获取虚拟机IP，开始从信息收集、漏洞挖掘到权限获取的全流程练习。

4. CTFHub（CTF实战靶场）—— 漏洞挖掘+CTF结合

核心定位：国内主流的CTF在线靶场，分专题闯关（SQL注入、文件上传、XXE等），涵盖Web、Misc等多个方向，适合想兼顾漏洞挖掘与CTF竞赛的进阶学习者，可快速提升漏洞挖掘的灵活性和实战能力。

核心特点：

• 漏洞覆盖：涵盖Web领域所有常见漏洞，每个漏洞分多个专题，比如SQL注入专题包含联合查询、盲注、堆叠查询等细分场景；

• CTF导向：每个关卡需要找到Flag（漏洞利用后的关键信息），模拟CTF竞赛场景，可提升漏洞挖掘的针对性和效率；

• 在线便捷：无需本地部署，注册账号后即可在线练习，支持查看题解（新手可参考题解学习）；

• 更新及时：定期更新新的关卡和漏洞场景，贴合2026年最新漏洞趋势，比如云原生相关漏洞场景。

使用方法：直接访问CTFHub官网（https://www.ctfhub.com/#/index），注册账号后，选择「Web专题」，按难度顺序练习即可。

四、高阶突破靶场（1年以上，企业级+前沿场景）

适合资深渗透测试工程师、红队成员、安全研究员，核心目标：练习企业级漏洞挖掘、前沿漏洞场景、复杂内网渗透，提升漏洞挖掘的深度和广度，适配2026年云原生、AI安全等新兴场景需求。

1. Hack The Box（HTB）—— 国际顶尖实战靶场

核心定位：国际知名的高阶实战靶场，提供大量真实的企业级漏洞环境，涵盖Web、系统、内网、云服务、AI安全等多个领域，难度极高，适合想突破技术瓶颈、向国际顶尖安全人才进阶的从业者。

核心特点：

• 场景前沿：包含云原生（K8s容器逃逸）、AI安全（对抗样本生成）、供应链漏洞等2026年新兴场景，贴合国际顶尖安全实战需求；

• 难度极高：漏洞场景复杂，需结合多种漏洞、多种工具，完成从信息收集到权限获取的全流程，对技术能力要求极高；

• 社区活跃：拥有全球顶尖的安全社区，可与全球安全从业者交流漏洞挖掘思路，查看高质量题解；

• 职业价值：在HTB取得优异成绩，可作为个人安全能力的背书，助力职业提升（很多安全大厂会参考HTB成绩）。

使用方法：访问HTB官网（https://www.hackthebox.com/），注册账号后，下载HTB客户端，连接到靶场网络，即可开始练习（部分高级场景需付费解锁）。

2. 封神台（国内高阶实战靶场）—— 真实漏洞复现

核心定位：国内高阶实战靶场，专注于真实漏洞复现，包含大量企业真实漏洞场景、CTF竞赛真题、 SRC漏洞复现，适合想提升真实漏洞挖掘能力、准备SRC挖洞的从业者，也是很多安全大厂的内部训练平台。

核心特点：

• 漏洞真实：所有场景均来自真实企业漏洞、CTF竞赛真题，练习后可直接应用于SRC挖洞、企业安全测试；

• 覆盖广泛：涵盖Web漏洞、系统漏洞、内网漏洞、移动应用漏洞，甚至包含车联网、无人机固件漏洞等前沿场景；

• 难度分层：从进阶到高阶，适合不同水平的资深从业者，可针对性提升薄弱环节；

• 配套资源：提供漏洞复现教程、工具包，新手可参考学习，老手可快速练手。

使用方法：访问封神台官网（https://www.hetianlab.com/），注册账号后，选择「漏洞复现」「CTF实战」模块，按难度练习即可。

3. AWS Well-Architected（云原生专项靶场）—— 云安全进阶

核心定位：亚马逊AWS推出的云原生安全靶场，专注于云服务漏洞场景，包含云存储桶越权、Serverless漏洞、K8s容器逃逸等2026年高发云原生漏洞，适合想深耕云安全、云原生漏洞挖掘的从业者。

核心特点：

• 场景聚焦：专注云原生场景，练习AWS WAF绕过、云存储桶越权、容器逃逸等云服务专属漏洞；

• 实战贴合：模拟真实AWS云环境，漏洞场景与企业云服务部署场景高度一致，练习后可直接应用于云安全测试；

• 官方支持：由AWS官方推出，提供详细的漏洞原理、防御方案，可系统学习云原生安全知识；

• 免费使用：注册AWS账号后，可免费使用靶场资源，适合个人和企业学习。

五、靶场练习核心技巧+避坑指南（2026实战版）

1. 高效练习技巧（少走弯路）

• 分级练习，循序渐进：先练新手靶场（DVWA、Pikachu），掌握基础漏洞；再练进阶靶场（SQLi-Lab、VulnHub），提升专项能力；最后挑战高阶靶场（HTB、封神台），突破技术瓶颈，不建议跳过基础直接练高阶；

• 原理优先，工具为辅：不要单纯依赖工具（如SQLMap、Burp Suite），先手动挖掘，理解漏洞原理和利用逻辑，再用工具提升效率，避免成为「只会用工具、不懂原理」的工具党；

• 复盘总结，举一反三：每练完一个漏洞、一个关卡，总结漏洞挖掘思路、绕过技巧，记录遇到的问题和解决方法，举一反三，避免重复踩坑；

• 结合实战，学以致用：练习靶场的同时，可尝试在合法的SRC平台（如腾讯SRC、阿里SRC）挖洞，将靶场所学应用到真实场景，提升实战能力。

2. 新手常见避坑点（必看）

• 避坑1：盲目追求「刷完所有靶场」，忽视原理学习—— 靶场练习的核心是「掌握能力」，而非「刷关卡数量」，一个漏洞练透，比刷10个漏洞更有价值；

• 避坑2：只练Web漏洞，忽视系统、内网漏洞—— 真实漏洞挖掘中，系统漏洞、内网漏洞同样重要，进阶阶段需重点练习，提升综合能力；

• 避坑3：依赖题解，不独立思考—— 遇到不会的关卡，可先独立思考1-2小时，实在无法解决再参考题解，避免养成「依赖题解」的习惯；

• 避坑4：忽视防御学习—— 漏洞挖掘的核心是「发现漏洞、修复漏洞」，练习漏洞利用的同时，也要学习防御方法，理解防护逻辑，才能成为合格的安全从业者；

• 避坑5：触碰法律红线—— 严禁将靶场所学技术用于未授权的网站、系统，所有练习必须在合法靶场或授权环境中进行，坚守法律底线。

六、2026靶场练习学习路径（可直接套用）

1. 0-3个月（新手入门）：重点练习DVWA、Pikachu，掌握OWASP Top 10基础漏洞，熟悉Burp Suite、SQLMap等基础工具的使用，完成基础漏洞的手动挖掘与利用；

2. 3-12个月（进阶实战）：练习SQLi-Lab、Upload-Lab，强化专项漏洞能力；练习VulnHub、CTFHub，提升综合实战能力和漏洞绕过技巧，尝试在SRC平台挖简单漏洞；

3. 1年以上（高阶突破）：挑战HTB、封神台，练习企业级漏洞、前沿漏洞场景；学习云原生、AI安全相关靶场，提升技术深度和广度，成为资深安全从业者。

结语：靶场是漏洞挖掘的「练兵场」，实战才是最终目标

漏洞挖掘能力的提升，离不开靶场的反复练习，但靶场只是「练兵场」，最终的目标是将所学技术应用到真实的安全测试、漏洞挖掘中，守护企业网络安全。

2026年，漏洞场景不断更新，云原生、AI安全等新兴领域的漏洞逐渐成为主流，选择合适的靶场、坚持练习、注重原理、学以致用，才能在漏洞挖掘的道路上稳步前行。

最后再次提醒：网络安全的核心是「防护」，而非「攻击」，请始终坚守法律法规，坚守职业道德，用靶场所学技术守护网络安全，而非利用技术谋取私利。

网络安全学习资源

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我们和网安大厂360共同研发的的网安视频教程，内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。总共200多节视频，100多本网安电子书，最新学习路线图和工具安装包都有，不用担心学不全。

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源