打开Pikachu靶场，洞测第一眼看到那只黄色电老鼠的试平像素头像，我差点笑出声——一个漏洞测试平台，洞测非要起个这么萌的试平名字。可等你真正点进去，洞测才发现这只“老鼠”咬起人来是试平真疼。

它把SQL注入、洞测XSS、试平CSRF、洞测文件上传这些漏洞，试平像自助餐一样整整齐齐码在导航栏里。洞测每个漏洞都配了“漏洞描述”和“测试说明”，试平连攻击载荷都给你备好了。洞测最妙的试平是，它故意留了“不安全的洞测验证码”和“越权访问”这种容易被新手忽略的坑位。

我第一次拿它练手时，在“基于布尔的盲注”那个页面卡了半小时。输入`1' and 1=1`，页面正常；改成`1' and 1=2`，页面照样显示。后来才反应过来，这关的过滤逻辑是拿单引号做文章，得先闭合括号再注释掉后面的语句。这种“明明知道答案却绕不过去”的挫败感，比任何教科书都来得直接。

有一说一，Pikachu最狠的设计是那个“RCE”模块。它给你一个ping命令输入框，看起来人畜无害，可一旦你在IP后面加上`& whoami`，服务器就把自己的家底全抖出来了。我当时在虚拟机里试完，后背发凉——这要是真站，早被人拿下了。

平台还自带“暴力破解”关卡，密码字典是现成的，但服务器加了延迟锁定策略。你猜怎么着？你得学会用Burp Suite的宏功能绕过锁定，否则傻乎乎地手点，点一百次都白搭。这种“逼你用工具链”的设计，比单纯讲原理有用多了。

别以为它只是给新手玩的。我见过有老手拿Pikachu的“文件包含”漏洞去测WAF规则，因为它的漏洞代码写得干净，没有多余干扰项。倒是那个“数据库操作”模块，明明给了phpMyAdmin的入口，却故意不告诉你密码——这明摆着让你练SQL注入拿库名。

要说缺点，也不是没有。它的界面还停留在十年前，按钮布局跟老式论坛似的。而且漏洞类型偏基础，像反序列化、SSTI这种进阶玩法压根没有。你要是只会刷Pikachu，出去照样被真实站点的花式过滤教做人。

但话说回来，能把“从入门到放弃”的曲线拉平，让一个零基础的人在一下午搞明白什么叫“联合注入”，这本身就是本事。我甚至见过培训班老师拿它当考试题，让学生十分钟内拿下“存储型XSS”的cookie——结果一半人卡在编码绕过上。

最后提个醒：别拿它对着公网IP练手。这平台设计初衷就是本地局域网环境，你非要挂到云服务器上，等于给黑客递刀子。毕竟，那只皮卡丘再可爱，也是带电的。

(责任编辑：综合)