内容摘要：打开DVWA的登录页，把安全等级调到Low，然后在SQL注入框里敲下 1' OR '1'='1，整个用户表就摊在你面前了。这不是什么高深技术，一个刚学Web安全三天的人都能做到。黑客攻击演示网站存在的

打开DVWA的黑客登录页，把安全等级调到Low，攻击然后在SQL注入框里敲下 1' OR '1'='1，演示整个用户表就摊在你面前了。网站这不是黑客什么高深技术，一个刚学Web安全三天的攻击人都能做到。黑客攻击演示网站存在的演示意义，就是网站把这种“原来这么简单”的瞬间摆到你眼前。

我第一次接触这类平台是黑客DVWA（Damn Vulnerable Web Application）。它跑在本地PHP环境里，攻击界面丑得离谱，演示但每个漏洞模块都标好了难度等级。网站Low级别下，黑客XSS弹窗跟写个 <script>alert(1)</script> 一样轻松。攻击切到High，演示同样的输入被 htmlspecialchars() 过滤得干干净净。这种对比比看十篇OWASP文档都管用——你亲眼看到防御代码到底在防什么。

后来发现DVWA只是入门。OWASP Juice Shop完全是另一个量级。它是个现代SPA，用Angular写的前端，漏洞藏在业务逻辑里。比如那个经典的“用管理员邮箱注册”漏洞：注册时把邮箱改成 admin@juice-sh.op，系统直接给你管理员权限。没有SQL注入，没有命令执行，纯粹是逻辑缺陷。这种漏洞在真实渗透测试里反而更常见，因为代码审计工具扫不出来。

国内也有不错的靶场。墨者学院的在线靶场把每个漏洞拆成独立关卡，从SQL注入到文件包含，做完一整套大概需要两周。我印象最深的是命令注入那关，输入 | whoami 直接返回当前用户，换成 | cat /etc/passwd 就能读系统文件。靶场环境是Docker隔离的，随便折腾。这种“破坏性学习”比看视频教程高效得多——你搞崩了环境，重置一下就行。

WebGoat是另一个路子。OWASP出的Java靶场，每个课程都配了讲解和提示。它的SQL注入模块会先给你看一段有漏洞的JDBC代码，然后让你构造注入语句。这种“先看源码再攻击”的方式更贴近真实代码审计场景。不过WebGoat的界面反应慢，有时候提交答案要等好几秒，急性子可能受不了。

这些演示网站有个共同点：它们把攻击链拆解成了可复现的步骤。真实渗透测试里，你面对的是一个黑盒，不知道后端用什么框架、数据库什么版本。靶场直接告诉你“这里是MySQL，版本5.7，存在联合注入”。这种确定性降低了学习门槛，但也容易让人产生错觉——以为真实环境也这么听话。

我见过有人把DVWA刷到全绿，然后去挖SRC漏洞，结果连个反射型XSS都找不到。原因很简单：靶场的输入点都是精心设计好的，参数名就叫 id 或 search。真实网站的参数可能是 q、kw、query，甚至藏在JSON body里。靶场教你的是漏洞原理，不是挖洞直觉。

所以我的用法是：靶场练手，真实环境练眼。每周花两小时在HackTheBox或TryHackMe上做一台退役靶机，比刷十遍DVWA有用。那些机器模拟了完整的攻击路径——从信息收集到提权，中间可能卡你三天。但一旦打通，那种“原来这里有个SSRF”的顿悟感，是演示网站给不了的。

最后说个细节。DVWA的默认账号是admin/password，但很多人不知道它的数据库配置文件在 config/config.inc.php 里。有次我改了这个文件，把数据库指向了另一台机器，结果整个靶场直接白屏。这种“玩坏”的经历反而让我记住了PHP的数据库连接流程。演示网站的价值不在于它演示了什么，而在于你敢不敢把它拆开看看里面是什么。