对于Web安全学习者来说，免费靶场和实战平台是提升技能的核心工具。下面我为你梳理了一份从入门到进阶的精选平台清单，并附上了学习路径建议，希望能帮你高效上手。
下面的表格汇总了这些核心平台，方便你快速了解它们的定位。
平台名称 | 主要类型 | 核心特点 / 侧重漏洞 | 适用阶段 |
|---|---|---|---|
DVWA (Damn Vulnerable Web Application) | 本地/在线部署 | 最经典的Web漏洞靶场，包含SQL注入、XSS、文件包含等，难度可调 | 初学者入门 |
OWASP Juice Shop | 本地/在线部署 | OWASP旗舰项目，现代JavaScript应用，覆盖OWASP Top 10漏洞，趣味性强 | 初学者至进阶 |
bWAPP | 本地部署 | 包含超过100种漏洞，漏洞类型非常丰富 | 初学者至进阶 |
WebGoat | 本地/在线部署 | OWASP出品，提供详细的教程和指导，教学性很强 | 初学者 |
Pikachu | 本地部署 | 友好的中文靶场，适合国内初学者上手 | 初学者 |
SQL-Labs / XSS-Labs / Upload-Labs | 在线/本地部署 | 专项漏洞训练靶场，针对SQL注入、XSS、文件上传等一点突破 | 专项技能提升 |
Vulhub | 本地部署（Docker） | 基于Docker，一键搭建各种真实软件（如WordPress, Joomla）的CVE漏洞复现环境 | 进阶 / 漏洞复现 |
Vulfocus | 在线平台 | 国内开源，集成众多漏洞环境，有在线平台，支持漏洞复现和CTF训练 | 进阶 / 综合实战 |
Hack The Box | 在线平台 | 全球知名的渗透测试平台，包含机器破解、挑战关卡等，技术社区活跃 | 进阶 / 综合渗透 |
Try Hack Me | 在线平台 | 学习路径清晰，引导性强，适合从零开始体系化学习 | 初学者至进阶 |
VulnStack | 本地部署（虚拟机） | 红队实战靶场，模拟真实企业内网环境，侧重域渗透、横向移动 | 高级 / 内网渗透 |
攻防世界 (XCTF_OJ) | 在线平台 | 汇集大量CTF赛题，适合备战CTF比赛或挑战高难度题目 | 进阶 / CTF专项 |
💡 如何规划你的学习路径？
为了让学习更高效，我建议你遵循一个循序渐进的路径：
第一步：打好基础（1-2个月）
目标：彻底理解OWASP Top 10中每一种漏洞的原理、利用方法和防御措施。
实践：从DVWA 或Pikachu 开始，逐个漏洞进行练习。利用WebGoat 的教程深化理解。这个阶段不要只追求“黑掉”，更要弄懂“为什么会被黑”以及“怎么防”。
第二步：专项强化与实战模拟（2-3个月）
目标：弥补知识短板，并开始接触综合场景。
实践：如果你对SQL注入不熟，就主攻SQL-Labs；如果想精通文件上传漏洞，就死磕Upload-Labs。同时，可以开始尝试Vulfocus 上的综合漏洞环境，或者Try Hack Me 的引导性房间，将多个知识点串联起来。
第三步：进阶挑战与真实环境复现（持续进行）
目标：提升应对复杂真实网络环境的能力。
实践：挑战Hack The Box 的活跃机器，尝试VulnStack 红日靶场来模拟攻击一个公司的内部网络。如果想研究真实世界漏洞，就用Vulhub 搭建并复现历史CVE漏洞。参与攻防世界 的CTF题目也是极好的锻炼。
🔒 重要的安全与法律提醒
请务必牢记，黑客技术是一把双刃剑：
合法授权：所有练习都必须在你自己搭建的或明确授权用于安全测试的靶场中进行。
明确边界：严禁对任何未经授权的网站或系统进行测试，否则将触犯法律。
白帽精神：学习安全技术的目的是为了更好地防御和保护，请始终秉持白帽黑客的职业道德。
希望这份指南能帮你开启Web安全学习之旅。如果你在搭建某个特定靶场环境时遇到问题，我可以提供更详细的指导。
