内容摘要：免费好用的渗透测试靶场，我第一个想到的是DVWA。它老，但老得扎实。2008年诞生的东西，至今还是新手入门首选。你本地起个XAMPP，把DVWA往里一丢，五分钟就能开打。SQL注入、XSS、文件上传，

免费好用的免费渗透测试靶场，我第一个想到的好用是DVWA。它老，透测但老得扎实。试靶2008年诞生的免费东西，至今还是好用新手入门首选。你本地起个XAMPP，透测把DVWA往里一丢，试靶五分钟就能开打。免费SQL注入、好用XSS、透测文件上传，试靶这些经典漏洞全给你备好了。免费它有个安全等级调节，好用低级别直接裸奔，透测高级别才有点真实对抗的味道。我见过太多人只在低级别里打转，那叫刷题，不叫渗透。

练手归练手，真实感差点意思。这时候就得看Vulhub。它是个基于Docker的漏洞环境集合，一个命令拉起来一个真实漏洞环境。CVE-2018-7600 Drupal远程代码执行，CVE-2019-0708蓝洞，都给你封装好了。最爽的是它不挑食，你机器上装个Docker，想复现哪个CVE就复现哪个。我去年研究WebLogic反序列化，直接在Vulhub上起了个靶机，半小时内就摸清了攻击链。这东西对搞红队的人来说，比女朋友还贴心。

但你要是想模拟整个内网渗透过程，单点漏洞靶场就不够看了。试试Vulfocus，它是个在线聚合平台，不用本地部署，浏览器打开就能用。里面有几百个漏洞环境，按CVE编号排列得整整齐齐。最妙的是它支持团队协作，你可以拉上同事一起打一个靶机，一个负责Web渗透，一个负责横向移动，配合起来才有真实攻防的味道。它的UI做得也干净，不像有些靶场页面像2005年的论坛。

说完Web端的，移动端也得提一嘴。MobSF不是靶场，但它是你分析安卓APK漏洞的好帮手。你从Vulhub拉个安卓漏洞环境，用MobSF做静态分析，两下就能定位到不安全的SDK调用或者硬编码密钥。这组合拳打完，你基本就能应付大部分移动安全面试题了。

最后说个冷门的——HackTheBox。它不算严格意义的靶场，更像在线CTF加渗透测试的混合体。免费用户能玩前20台机器，每台都设计得像个小谜题。你得先通过枚举拿到入口，再提权到root。它的难点不在漏洞利用本身，而在信息收集。有台机器我卡了三天，最后发现是UDP端口上跑着个弱口令服务。这种挫败感和成就感交织的体验，才是渗透测试最迷人的地方。

靶场这东西，贵精不贵多。DVWA打基础，Vulhub搞复现，Vulfocus练配合，HackTheBox磨耐心。挑一两个吃透，比把每个都点一遍强得多。毕竟真实世界的漏洞不会按教程出牌，你得多在靶场里碰壁，才能少在真实目标上翻车。