文章总结： 本文汇总了大量网络安全学习与实战资源，涵盖Web漏洞靶场、CTF练习平台、代码审计环境及渗透测试系统（如DVWA、XCTF等）与相关GitHub项目。文章建议初学者利用这些平台系统提升攻防技能，同时强调须严守法律底线，坚守白帽精神，切勿将技术用于非法用途。 综合评分： 45 文章分类： CTF,WEB安全,安全工具,渗透测试,安全培训

常见Web漏洞、CTF、练习、靶机等资源[福利]

孔方兄 孔方兄

知微守望

2026年8月1日 21:30 北京

在小说阅读器读本章

去阅读

SQL注入：RedTiger's Hackithttps://redtiger.labs.overthewire.org/
web:网络安全实验室|网络信息安全攻防学习平台http://hackinglab.cn/index.php
综合：http://www.wechall.net/challs
渗透：  https://lab.pentestit.ru/
综合性黑客game：http://www.gameofhacks.com/
XCTF的训练平台：https://adworld.xctf.org.cn/
安恒的平台：https://www.91ctf.com/session/login
攻防实验室一个综合的新平台，貌似里面二进制的题挺好：Jarvis OJhttps://www.jarvisoj.com/又一个高端平台，里面有一些Oracle、密码学之类的题目：Under the Wirehttps://www.underthewire.tech/wargames.htm
渗透练习平台：https://pentest.training/mockexams.php
一个代码审计的平台（不是web方向，有很多都是C语言的审计，墙裂建议女装大佬来秒）：Websechttp://websec.fr/
一个封装好的CTF平台：Vulnerable Docker VM - NotSoSecurehttps://www.notsosecure.com/vulnerable-docker-vm/也是封装好的一些训练环境：Vulnerable By Design ~ VulnHubPHP安全训练平台：https://www.vulnhub.com/#
PHP Security Advent Calendar 2017 https://www.ripstech.com/php-security-calendar-2017/
一个国外的CTFwiki，质量好像一般:Forgotten Security’s CTF Wikhttp://ctf.forgottensec.com/wiki/index.php?title=Main_Page
一个和Metasploit配套的靶场---Metasploitable：http://downloads.metasploit.com/data/metasploitable/metasploitable-linux-2.0.0.zip
CTF工具库：CTF资源库|CTF工具下载|CTF工具包|CTF工具集合https://www.ctftools.com/down/平时ctf练习
ctf逆向:http://reversing.kr/http://pwnable.kr/http://exploit-exercises.com/http://overthewire.orghttp://security.cs.rpi.edu/courses/binexp-spring2015/ bin 干货区http://www.52pojie.cn/forum-67-1.html 『2014CrackMe大赛』
SQL:https://github.com/Audi-1/sqli-labshttp://redtiger.labs.overthewire.org/
ctf XSS:http://prompt.ml/http://xss.pkav.net/xss/http://www.doscn.org/xss/http://xss-quiz.int21h.jp/http://escape.alf.nu/
ctf综合练习：
http://hackinglab.cn/网络信息安全攻防学习平台http://captf.com/ctf题目http://cafebabe.cc/nazo/脑洞开发，与ctf只有那么一点关系，有85关了( ?? ω ?? )yhttp://1111.segmentfault.com/光棍节程序员闯关秀http://www.helloisa.com/test/http://www.fj543.com/hack/黑客丛林之旅http://monyer.com/game/game1/ 梦之光芒的小游戏http://oj.xctf.org.cn/XCTF_OJ练习平台http://hackgame.blackbap.org/习科黑客游戏http://ctf.3sec.cn/ Jlu.CTFhttp://www.baimaoxueyuan.com/ctf白帽学院ctf挑战赛http://www.ichunqiu.com/tiaozhansi春秋ctf挑战http://ctf.idf.cn/idf 实验室http://ctf.moonsos.com/pentest/index.php米安网ctfhttp://www.hetianlab.com/CTFrace.html合天ctfhttp://www.shiyanbar.com/ctf/index实验吧(前名西普学院）http://hkyx.myhack58.com/黑吧安全网-红客闯关游戏http://202.108.211.5/实训竞赛系统
国外比较好的几个综合练习平台http://www.wechall.nethttp://insight-labs.org/http://wargame.kr/http://canyouhack.it/http://hackit.sinaapp.com/http://webhacking.kr/http://fun.coolshell.cn/http://ringzer0team.com/challengehttps://backdoor.sdslabs.co/http://smashthestack.org/漏洞利用练习网站
另外乌云和360安全播报上有些WPhttp://bobao.360.cn/ctf/https://github.com/ctfs/ 各种 writeuphttp://sec.yka.me/ CTF Writeup Summaryhttps://ctf-team.vulnhub.com/ Write Upshttps://www.vulnhub.com许多ctf靶机汇总
https://www.wechall.net世界知名ctf汇总交流网站
https://www.xssgame.com谷歌XSS挑战
http://xss.tv在线靶场挑战
https://www.hackthebox.eu在线靶场挑战
https://www.root-me.org在线靶场挑战
http://www.itsecgames.combWAPP，包含100多种漏洞环境
https://github.com/c0ny1/vulstudy多种漏洞复现系统的docker汇总
https://github.com/bkimminich/juice-shop常见web安全实验靶场市场
https://github.com/ethicalhack3r/DVWAweb安全实验靶场
https://github.com/78778443/permeatephp常见漏洞靶场
https://github.com/gh0stkey/DoraBoxphp常见漏洞靶场
https://github.com/stamparm/DSVWpy2常见漏洞靶场
https://github.com/amolnaik4/bodhipy常见漏洞靶场
https://github.com/Safflower/Solve-Mephp，韩国一个偏代码审计的ctf靶场源码
https://github.com/WebGoat/WebGoat一键jar包，web安全实验靶场
https://github.com/Audi-1/sqli-labs基于SQLite的sql注入学习靶场
https://github.com/lcamry/sqli-labs通过sqli-labs演示mysql相关的注入手法
https://github.com/c0ny1/upload-labs一个帮你总结所有类型的上传漏洞的靶场
https://github.com/LandGrey/upload-labs-writeupupload-labs指导手册
https://github.com/Go0s/LFIboomCTF本地文件包含漏洞&&PHP利用协议&&实践源码
https://in.security/lin-security-practise-your-linux-privilege-escalation-foo/ 一个虚拟机文件用于linux提权练习
https://github.com/OWASP/igoat适用于ios应用程序测试和安全性的学习工具
https://github.com/prateek147/DVIA-v2适用于ios应用程序测试和安全性的学习工具
https://github.com/rapid7/metasploitable3metasploit练习系统
https://github.com/rapid7/metasploit-vulnerability-emulator基于perl的metasploit模拟环境，练习操作
https://github.com/chryzsh/DarthSidiousAD域环境的搭建、渗透、防护
https://github.com/c0ny1/xxe-lab一个包含php,java,python,C#等各种语言版本的XXE漏洞Demo

真心感觉自己要学习的知识好多，也有好多大神卧虎藏龙、开源分享。作为初学者，我们可能有差距，不论你之前是什么方向，是什么工作，是什么学历，是大学大专中专，亦或是高中初中，只要你喜欢安全，喜欢渗透，就朝着这个目标去努力吧！有差距不可怕，我们需要的是去缩小差距，去战斗，况且这个学习的历程真的很美，安全真的有意思。但切勿去做坏事，我们需要的是白帽子，是维护我们的网络，安全路上共勉。

本文版权归作者和微信公众号平台共有，重在学习交流，不以任何盈利为目的，欢迎转载。

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。公众号内容中部分攻防技巧等只允许在目标授权的情况下进行使用，大部分文章来自各大安全社区，个人博客，如有侵权请立即联系公众号进行删除。若不同意以上警告信息请立即退出浏览！！！

敲敲小黑板：《刑法》第二百八十五条　【非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪】违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：知微守望 孔方兄 孔方兄《常见Web漏洞、CTF、练习、靶机等资源[福利]》