[PHP] 网络安全靶场环境推荐：从DVWA到VulHub的新手入门与实战提升指南

学习网络安全，在可控的实战环境中练习是提升技能的关键。本文将为大家系统介绍几款常用且经典的靶场环境，涵盖从基础到进阶的不同需求。

01 DVWA：新手入门首选

DVWA（Damn Vulnerable Web Application）是网络安全新手的必练靶场之一。它将多种常见Web漏洞集成在一个易于搭建的PHP应用中，包括：

• 暴力破解
• 命令注入
• CSRF（跨站请求伪造）
• 文件包含
• 文件上传
• SQL注入与SQL盲注
• 反射型与存储型XSS（跨站脚本攻击）

其难度可调，非常适合初学者逐步理解漏洞原理与利用方法。
项目地址： https://github.com/digininja/DVWA

02 OWASP Broken Web Apps：贴近实战的漏洞集合

OWASP Broken Web Apps (BWA) 项目提供了一个包含大量已知安全漏洞的训练环境。与DVWA相比，它更贴近真实场景，不仅包含专门设计的漏洞应用，还集成了部分存在安全问题的开源Web应用。

其环境支持PHP、JSP、ASP、Python等多种语言，漏洞类型极为丰富，除了常见的Web漏洞，还涉及访问控制、会话安全、Web服务、不安全的直接对象引用等高级主题，是进阶学习和实战演练的优秀平台。
项目地址： https://sourceforge.net/projects/owaspbwa/

03 sqli-labs：专注SQL注入的闯关乐园

sqli-labs是一个专注于SQL注入漏洞的靶场，采用闯关模式设计。虽然漏洞类型单一，但它几乎涵盖了所有SQL注入的分类与利用技巧，从简单的联合查询注入到复杂的盲注、报错注入、堆叠注入等，非常适合想要深入钻研SQL注入技术的学习者。其安装过程同样简单。
项目地址： https://github.com/Audi-1/sqli-labs

04 VulHub：基于Docker的一键漏洞环境

VulHub是一个基于Docker和docker-compose构建的漏洞环境集合。它最大优势在于“一键搭建”，通过简单的命令即可启动一个完整的、包含特定漏洞的应用环境，涵盖了Web应用、系统、服务等多种类型的漏洞，极大简化了环境搭建的复杂度，让你能快速聚焦于漏洞本身的分析与利用。
项目地址： https://vulhub.org/ (注意：此为中文文档站，与文中原图地址不同但为同一项目)

05 pikachu：综合型漏洞练习平台

pikachu也是一款覆盖面较广的综合性漏洞练习平台，包含SQL注入、XSS、RCE、文件包含、文件上传、越权访问、CSRF、SSRF、反序列化等常见Web漏洞。它提供了直观的漏洞场景，适合用于教学和基础巩固。
项目地址： https://github.com/zhuifengshaonianhanlu/pikachu

06 upload-labs：文件上传漏洞专项训练

upload-labs是一个专注于文件上传漏洞的靶场。它通过一系列关卡，模拟了前端验证、MIME类型验证、文件头验证、黑名单/白名单过滤、条件竞争等多种上传防护手段及绕过方式，是深入理解文件上传漏洞的绝佳工具。
项目地址： https://github.com/c0ny1/upload-labs

07 xss-labs：跨站脚本攻击通关挑战

xss-labs是一个专注于跨站脚本攻击的在线通关式靶场。它设计了多道关卡，每关需要利用不同的技巧和Payload来成功执行XSS攻击，对于系统掌握XSS漏洞的触发条件、构造方法和绕过思路非常有帮助。
访问地址： http://test.xss.tv (请注意靶场可用性)