Juice Shop：最适合 Web 渗透测试的靶场环境

引言

在 Web 安全研究和渗透测试领域，Juice Shop 是一个不可多得的练习平台。它模拟了一个在线果汁商店，但暗藏 90+ 个安全漏洞，专门用于 Web 安全测试。相比于 Metasploitable 3 这样的综合性漏洞环境，Juice Shop 专注于 Web 应用安全，尤其是 JavaScript 及前端安全问题。

本篇博客将介绍 Juice Shop 的特点、安装方法（Vagrant/Docker）、基础渗透测试技巧，帮助你快速上手并掌握 Web 安全测试的核心技能。

---

一、Juice Shop 简介

Juice Shop 是一个 开源 Web 安全测试平台，由 OWASP（开放式 Web 应用安全项目） 维护，适用于：

• Web 开发者：帮助他们识别和避免常见的 Web 安全漏洞。
• 渗透测试人员：专注于 Web 应用漏洞挖掘 和 渗透测试。
• 安全研究人员：研究 JavaScript、API 安全、前端漏洞 等。

1.1 Juice Shop 的特点

1. 专注于 Web 安全：涵盖 XSS、SQL 注入、身份认证绕过、文件上传漏洞 等常见 Web 攻击。
2. 基于浏览器的攻击：不依赖 Kali Linux 工具，浏览器开发者工具 就是最强大的武器。
3. 持续维护：每 1-2 个月 更新一次，保持漏洞的真实和现代化。
4. 完善的文档和挑战模式：
   • 官方手册（免费）：OWASP 官方文档
   • 电子书（8 美元）：Leanpub 电子书

---

二、安装 Juice Shop

Juice Shop 提供多种安装方式：

• Docker（推荐）：轻量级、安装简单，占用资源少。
• Vagrant（虚拟机）：适用于需要完整虚拟环境的用户。
• 手动安装（Node.js 运行环境）：适合开发者。

---

2.