2022最新网络安全经典常用靶场整理推荐（含链接）

最新推荐文章于 2025-06-19 17:32:27 发布
原创 最新推荐文章于 2025-06-19 17:32:27 发布 · 3.2k 阅读 · 18 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #web安全 #数据库 #网络安全 #学习

本文整理推荐了多个经典网络安全靶场，包括DVWA、mutillidae、SQLol等，覆盖SQL注入、XSS、Web漏洞等多个领域，适用于学习和测试安全技能。每个靶场都提供了链接供进一步探索。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

推荐几个经典靶场：

DVWA (Dam Vulnerable Web Application)

DVWA是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。
链接: http://www.dvwa.co.uk

mutillidaemutillidae

mutillidaemutillidae是一个免费，开源的Web应用程序，提供专门被允许的安全测试和入侵的Web应用程序。它是由Adrian “Irongeek” Crenshaw和Jeremy “webpwnized” Druin.开发的一款自由和开放源码的Web应用程序。其中包含了丰富的渗透测试项目，如SQL注入、跨站脚本、clickjacking、本地文件包含、远程代码执行等.
链接：http://sourceforge.net/projects/mutillidae

SQLol

SQLol是一个可配置得SQL注入测试平台，它包含了一系列的挑战任务，让你在挑战中测试和学习SQL注入语句。此程序在Austin黑客会议上由Spider Labs发布。
链接：https://github.com/SpiderLabs/SQLol

hackxor

hackxor是由albino开发的一个online黑客游戏,亦可以下载安装完整版进行部署,包括常见的WEB漏洞演练。包含常见的漏洞XSS、CSRF、SQL注入、RCE等。
链接：http://sourceforge.net/projects/hackxor

BodgeIt

BodgeIt是一个Java编写的脆弱性WEB程序。他包含了XSS、SQL注入、调试代码、CSRF、不安全的对象应用以及程序逻辑上面的一些问题。
Exploit KB
该程序包含了各种存在漏洞的WEB应用，可以测试各种SQL注入漏洞。此应用程序还包含在BT5里
链接：http://exploit.co.il/projects/vuln-web-app

WackoPicko

WackoPicko是由Adam Doupé.发布的一个脆弱的Web应用程序，用于测试Web应用程序漏洞扫描工具。它包含了命令行注射、sessionid问题、文件包含、参数篡改、sql注入、xss、flash form反射性xss、弱口令扫描等。
链接：https://github.com/adamdoupe/WackoPicko

WebGoat

WebGoat是由著名的OWASP负责维护的一个漏洞百出的J2EE Web应用程序，这些漏洞并非程序中的bug，而是故意设计用来讲授Web应用程序安全课程的。这个应用程序提供了一个逼真的教学环境，为用户完成课程提供了有关的线索。
项目说明：http://www.owasp.org.cn/owasp-project/webscan-platform
文件下载：https://owasp.org/www-project-webgoat/

OWASP Hackademic

OWASP Hackademic 是由OWASP开发的一个项目，你可以用它来测试各种攻击手法，目前包含了10个有问题的WEB应用程序。
链接：[https://github.com/Hackademic/hackademic

XSSeducation

XSSeducation是由AJ00200开发的一套专门测试跨站的程序。里面包含了各种场景的测试。
链接： http://wiki.aj00200.org/wiki/XSSeducation

Google XSS 游戏
Google推出的XSS小游戏
链接：https://xss-game.appspot.com/

Web for Pentester

web for pentester是国外安全研究者开发的的一款渗透测试平台，通过该平台你可以了解到常见的Web漏洞检测技术。具体包括 XSS跨站脚本攻击, SQL注入, 目录遍历. 命令注入, 代码注入, XML攻击, LDAP攻击, 文件上传 以及一些指纹识别技术

DVWA-WooYun（乌云靶场）

DVWA-WooYun是一个基于DVWA的PHP+Mysql漏洞模拟练习环境，通过将乌云主站上的有趣漏洞报告建模，以插件形式复现给使用该软件的帽子们，可以让乌云帽子们获得读报告体验不到的真实感，在实践的过程中可以无缝隙地深入理解漏洞的原理及利用方式 中英双字，如果您语文学的不好不必担心了，界面提示英文的（DVWA原厂），内容提示中英双字（后来觉得比较眼花，所以去掉了部分英文）

Metasploitable

著名的渗透框架 Metasploit 出品方 rapid7 还提供了配置好的环境 Metasploitable，是一个打包好的操作系统虚拟机镜像，使用 VMWare 的格式。可以使用 VMWare Workstation（也可以用免费精简版的 VMWare Player ）“开机”运行。
链接地址：https://information.rapid7.com/metasploitable-download.html
下载地址：http://downloads.metasploit.com/data/metasploitable/metasploitable-linux-2.0.0.zip

OWASP Broken Web Applications Project

跟 Metasploitable 类似，这也是打包好的虚拟机镜像，预装了许多带有漏洞的 Web 应用，有真实世界里的流行网站应用如 Joomla, WordPress 等的历史版本（带公开漏洞），也有 WebGoat, DVWA 等专门用于漏洞测试的模拟环境。
链接：https://code.google.com/p/owaspbwa/

XCTF_OJ

XCTF-OJ （X Capture The Flag Online Judge）是由 XCTF 组委会组织开发并面向 XCTF 联赛参赛者提供的网络安全技术对抗赛练习平台。XCTF-OJ 平台将汇集国内外 CTF 网络安全竞赛的真题题库，并支持对部分可获取在线题目交互环境的重现恢复，XCTF 联赛后续赛事在赛后也会把赛题离线文件和在线交互环境汇总至 XCTF-OJ 平台，形成目前全球 CTF 社区唯一一个提供赛题重现复盘练习环境的站点资源。
链接:http://oj.xctf.org.cn/

PWNABLE.KR

以上都是网页服务器安全相关的靶场，再推荐一个练习二进制 pwn 的网站：Pwnable.kr。pwnable 这类题目在国外 CTF 较为多见，通常会搭建一个有漏洞（如缓冲区溢出等）的 telnet 服务，给出这个服务后端的二进制可执行文件让答题者逆向，简单一点的会直接给源代码，找出漏洞并编写利用程序后直接攻下目标服务获得答案。这个网站里由简到难列出了许多关卡，现在就上手试试吧。
链接地址：http://pwnable.kr/%3Fp%3Dprobs

Hack0812
关注
[网络安全自学篇] 四十八.Cracer第八期——(1)安全术语、Web渗透流程、Windows基础、注册表及黑客常用DOS命令
杨秀璋的专栏
02-21 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了微软证书漏洞（CVE-2020-0601），并详细讲解了Windows验证机制、可执行文件签名复现及HTTPS劫持。本文将分享另一个主题——Cracer教程，第一篇文章将详细讲解安全术语、Web渗透流程和Windows基础、注册表及黑客常用DOS命令。基础性文章，希望对您有所帮助。
网安知识系列：网络安全ctf比赛_学习资源整理，解题工具、比赛时间、解题思路、实战靶场、学习路线，推荐收藏！...
weixin_54626591的博客
09-12 639
网络安全ctf比赛_学习资源整理，解题工具、比赛时间、解题思路、实战靶场、学习路线，推荐收藏！...
渗透测试-漏洞靶机
weixin_46162146的博客
01-15 5404
0X01 sqli-labs sqli-labs包含了大多数的sql注入类型，以一种闯关模式，对于sql注入进行漏洞利用 下载地址：https://github.com/Audi-1/sqli-labs 0X02 xss challenges xsschallenges是一个专对于XSS漏洞练习的在线靶场，包含了各种绕过，各种姿势的XSS利用 下载地址：http://xss-quiz.int21h...
网络安全靶场推荐，让你通过实操能快速提升实战技能！
m0_71744044的博客
07-28 1235
作为首家云上靶场，基于平行仿真技术的成熟应用，集演、训、学、测为一体，可以提供场景化、实战化、体系化的实训环境，以实战为导向，以真实漏洞和真实业务场景为试炼，支撑网络安全人才测评、能力认证、漏洞研究、综合渗透、案例复现、靶场演练等。网络安全产业就像一个江湖，各色人等聚集。
渗透测试中新手必练的15个靶场，（非常详细）零基础入门到精通，收藏这篇就够了
最新发布
Libra1313的博客
06-19 932
相信很多小伙伴们在学习渗透测试的时候，不知道如何开始，那么这下面15个靶场对你的学习将会有很大的帮助！
网络安全人士必备的8个网络靶场
weixin_51725318的博客
10-18 3612
网络安全人士必备的8个网络靶场
web渗透测试靶站开源系统
qq_41679358的博客
03-26 737
文章目录[隐藏] DVWA (Dam Vulnerable Web Application)mutillidaemutillidaeSQLolhackxorBodgeItExploit KBWackoPickoWebGoatOWASP HackademicXSSeducationGoogle XSS 游戏Web for PentesterDVWA-WooYun(乌云靶场)Metasploita...
【护网急训】应急响应靶场集，24年想参加hvv的同学抓紧练习吧。
liguangyao213的博客
06-02 1161
吉祥学安全除了包含技术干货：Java代码审计、web安全、应急响应等，还包含了安全中常见的售前护网案例、售前方案、ppt等，同时也有面向学生的网络安全面试、护网面试等。护网中最重要的就是通过各类安全设备进行监控，过滤掉告警误报，进而发现真正的告警进行应急响应，减少扣分。我在之前的文章中已经写了应急中所需要的工具及技术点。为了方便大家把熟练使用这些工具，将这些应急知识点使用到实际护网中，今天整理了市面上常见的应急靶机（哪些准备参加24年护网的同学抓紧来联系下吧）。
网络安全最全kali基础配置 docker安装 vulhub靶场搭建
2401_84302816的博客
05-04 645
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！输入命令：apt-get upgrade 系统会打开最新的安装包，并将软件安装的系统中。最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！对于从来没有接触过网络安全的同学，我们帮你准备了详细的。
自学网络安全（黑客技术）—2024最新
dexi113的博客
06-05 924
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！
DVWA-网络安全靶场.zip
02-13
这个靶场运行在web环境下，所以需要先安装web环境。可以使用集成环境安装，比如phpstudy，然后将这个文件解压放到网站根目录下，配置一下配置文件中数据库连接密码，然后在浏览器访问本地web服务即可。
网络安全入门必知的靶场！
oldboyedu1的博客
11-18 4647
DVWA，其主要目标是帮助安全专业人员在法律环境中测试他们的技能和工具，帮助web开发人员更好地了解保护web应用程序的过程，并帮助教师或学生在课程环境中教授或学习web应用程序安全性。一个针对SQL注入的专项训练集，共75个挑战，分为基本SQL注入、高级SQL注入、SQL堆叠注入、SQL挑战四个部分。一个XSS的弹窗挑战，一共13关，可以让你一个点一个点的理解XSS。在里面的有很多靶机，各种难度层，从小白到大佬，都有适合你的靶机，并且经常更新，想要提升自我，可以去尝试一下。5、SQL注入专项练习。
网络安全常见练习靶场
热门推荐
看那白熊
02-09 2万+
工欲善其事，必先利其器。学习信息安全，网络安全必不能纸上谈兵，故搭建一个合法高效的靶场是非常重要的。
靶场攻略 | 网络安全靶场合集
Python_0011的博客
10-11 4618
1JAVA环境。
16个网络安全常用的练习靶场（小白必备）
qq_44005305的博客
01-31 3354
DVWA-WooYun是一个基于DVWA的PHP+Mysql漏洞模拟练习环境，通过将乌云主站上的有趣漏洞报告建模，以插件形式复现给使用该软件的帽子们，可以让乌云帽子们获得读报告体验不到的真实感，在实践的过程中可以无缝隙地深入理解漏洞的原理及利用方式 中英双字，如果您语文学的不好不必担心了，界面提示英文的（DVWA原厂），内容提示中英双字（后来觉得比较眼花，所以去掉了部分英文）这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。
渗透测试|网络安全常用靶场
向阳-Y.的博客
11-10 1万+
搭建教程网络上随便一搜一大堆，这里就不再阐述 vulhub 免费开源漏洞靶场（操作系统漏洞） www.vulhub.org pikachu 综合靶场 https://github.com/zhuifengshaonianhanlu/pikachu sqlilabs SQL注入靶场 https://github.com/himadriganguly/sqlilabs upload-labs 文件上传漏洞靶场 https://github.com/c0ny1/upload-labs ...
未授权访问漏洞靶场
04-01
<think>好的，我现在需要帮助用户寻找关于未授权访问漏洞的靶场和学习资源。首先，我得回顾用户提供的引用内容，看看里面有没有相关的信息。用户提到了引用1到5，其中引用2、3、4、5都提到了靶场或者相关漏洞的实战内容。比如引用2提到了Hadoop和Redis的靶场实战，引用3提到了访问特定路径获取信息，引用4提到了漏洞复现和GETSHELL的方法，引用5则介绍了WebGoat这个Java靶场程序。 接下来，我需要整理这些信息，给出用户具体的靶场资源。首先，Vulfocus在引用2和4中被提到，应该是一个综合靶场平台，支持多漏洞环境，包括Hadoop和Redis的未授权访问。然后WebGoat在引用5里，虽然主要针对Web漏洞，但可能包含相关的内容。另外，用户可能需要自己搭建环境，比如用Docker部署Hadoop或Redis，这在引用3中提到过修复方法，可能搭建时需要注意安全配置。 然后，用户可能还需要学习资源，比如文章或实战指南。引用2和3的标题都涉及未授权访问漏洞的总结和实战，可以推荐相关的文章链接。另外，Metasploitable和DVWA虽然主要是其他漏洞，但可能也包含未授权访问的案例，需要确认一下。 还要注意用户提到的合规性问题，引用1强调了在非授权情况下进行渗透测试是不合法的，所以必须建议用户在本地搭建靶场，如引用4提到的靶场环境下载方式，或者在Vulfocus这样的平台上练习。 最后，要确保回答结构清晰，分点列出靶场推荐、学习资源、注意事项，并且每个部分都有具体的例子和引用来源。同时，生成的相关问题要围绕用户可能进一步的需求，比如漏洞原理、修复方法、搭建步骤等。</think>### 未授权访问漏洞靶场与学习资源推荐 #### 一、靶场环境推荐 1. **Vulfocus综合漏洞靶场** - 支持Hadoop、Redis、Kubernetes等未授权访问漏洞的实战环境 - 提供一键启动的容器化靶场，可直接通过Web界面操作 - 示例漏洞复现： - Redis未授权访问导致GETSHELL（需配合SSH密钥写入）[^4] - Hadoop YARN未授权访问远程命令执行 - 平台地址：`https://vulfocus.cn/` [^2][^4] 2. **WebGoat靶场（OWASP官方）** - 包含访问控制缺陷相关实验（部分涉及未授权访问原理） - 提供30+安全实验课程，含视频演示和分步骤指导 - 项目地址：`https://github.com/WebGoat/WebGoat` [^5] 3. **自建环境（推荐）** - **Hadoop/YARN环境搭建**： ```bash docker pull sequenceiq/hadoop-docker docker run -it -p 8088:8088 sequenceiq/hadoop-docker /etc/bootstrap.sh -bash ``` - **Redis未授权环境**： ```bash docker run -d -p 6379:6379 redis --protected-mode no ``` - 注意：需关闭服务认证模块模拟漏洞[^3] #### 二、学习资源 1. **漏洞原理与实战文章** - 《Hadoop & Redis未授权访问漏洞分析与利用》 - 《Kubernetes API未授权访问漏洞修复指南》 2. **渗透测试方法论** - 未授权访问漏洞的发现路径： - 端口扫描 → 服务识别 → 尝试默认配置访问 → 利用工具验证 - 常用工具链：Nmap、Redis-cli、Metasploit（含Hadoop exploit模块） 3. **合规性注意事项** - 必须使用本地或授权靶场进行测试（如Vulfocus）[^1] - 禁止对非授权目标实施扫描/渗透操作 #### 三、典型漏洞修复方案 1. 强制启用认证机制（如Redis的`requirepass`）[^3] 2. 限制服务监听IP（如Hadoop绑定内网地址） 3. Kubernetes需配置`--anonymous-auth=false` 4. 使用网络ACL限制访问源（如云服务器安全组规则）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值