第一次碰DVWA是渗试靶在一台退役的ThinkPad上，风扇响得像要起飞，透测但那个登录框弹出来的渗试靶时候，我突然理解了靶场存在的透测意义——它把Web渗透里那些抽象的概念，变成了可以亲手戳破的渗试靶东西。

靶场不是透测教程，是渗试靶沙盒。教程告诉你SQL注入的透测原理，靶场让你在输入框里敲 ' OR 1=1 --，渗试靶然后看着数据库把整张用户表吐出来。透测这种即时反馈是渗试靶看视频学不来的。DVWA、透测Pikachu、渗试靶BWAPP、透测WebGoat，渗试靶这几个名字在圈子里出现频率最高，各有各的脾气。

DVWA：入门绕不开的那道坎

Damn Vulnerable Web Application，名字起得直白。PHP+MySQL的老架构，跑在XAMPP上五分钟就能搭起来。它的难度分级设计很贼——Low级别下，SQL注入的代码长这样：

$id = $_GET['id']; $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";

没有任何过滤，输入直接拼进SQL语句。你提交 1' UNION SELECT user, password FROM users -- ，密码哈希就明晃晃躺在页面上。切到Medium，代码变成 $id = mysql_real_escape_string($id)，注入点没了。High级别更狠，加上了LIMIT和is_numeric判断。这种递进式的难度设计，逼着你去理解每种防御手段到底挡住了什么。

但DVWA有个问题：太老了。PHP 5.x的代码风格，mysql_*函数早被废弃。你在这上面练熟了，转到真实环境里面对PDO预处理、WAF规则、ORM框架，还是得重新学。它更像一把钝刀，用来练基本功可以，砍真东西不够快。

Pikachu：中文靶场里的细节控

Pikachu是国内团队做的，界面土但内容细。它把漏洞按类型分得清清楚楚：SQL注入、XSS、CSRF、文件包含、反序列化、SSRF，每个大类下面还有子分类。比如XSS就拆成反射型、存储型、DOM型，每种给一个独立页面。

我印象最深的是它的文件包含模块。Low级别直接 include($_GET['filename'])，你传 ../../../../etc/passwd 就能读系统文件。Medium级别把 ../ 替换成空字符串，看起来防住了？用 ....//....// 就能绕过，因为替换一次后剩下的 ../ 刚好拼成完整路径。这种“防御代码本身有漏洞”的案例，在真实代码审计里太常见了。

Pikachu的文档写得也实在，每个漏洞点都附了修复建议。不是那种“请对输入进行过滤”的废话，而是直接给代码示例。比如命令注入的修复，它告诉你用 escapeshellarg() 而不是简单粗暴地黑名单过滤。

BWAPP：漏洞数量管够

Buggy Web Application，一百多个漏洞点，覆盖OWASP Top 10全部条目。它的优势是量大，适合刷题式练习。但界面是真的丑，操作逻辑也乱，有时候找个漏洞入口得点五六层菜单。

BWAPP有个训练模式，会给你提示和目标。比如“请利用XSS窃取管理员Cookie”，然后你需要在留言板里注入脚本，等后台机器人访问。这种场景化的设计比单纯弹个alert框有意思得多。

靶场练完之后

靶场最大的价值是让你犯错。在DVWA里把数据库删了，重启容器就行。在真实环境里删库，那就准备跑路吧。这种容错空间让你敢去试那些看起来离谱的payload，比如用 into outfile 写webshell，或者用 load_file() 读敏感文件。

但别把靶场当终点。靶场的漏洞是精心设计的，过滤规则是固定的，真实环境里的WAF会学习、会更新、会根据请求频率封IP。我见过有人在DVWA里把SQL注入玩出花，结果面对一个简单的Cloudflare防护就束手无策。

靶场是游泳池，Web是海。在池子里练好换气，下了海还得学会看浪。