练习

Vulnhub

提供漏洞环境虚拟机镜像的靶场平台，包含大量预置漏洞的虚拟机镜像（600+），需通过 VMware 或 VirtualBox 本地运行，目标通常是获取系统 root 权限（Boot2root）并找到 flag，镜像涵盖从初级到高级的不同难度，适合模拟真实渗透测试场景，免费且法律合规，适合自学渗透测试技术，无需担心法律风险。
适用场景：本地渗透练习、内网攻防演练。
Vulnhub链接直达：链接直达
虚拟机下载：

VMware：Download VMware Workstation Pro
VirtualBox：Downloads – Oracle VM VirtualBox

Hack The Box（HTB)

在线渗透测试与网络安全技能训练平台。提供实时更新的挑战和靶机（如 Timelapse 靶场），结合 CTF 风格与真实场景模拟，需通过 VPN 连接靶机，支持积分和排名机制，用户可通过完成挑战提升技能等级，高级功能包括企业级网络安全培训方案（如 Cyber Performance Center），注重技能提升与团队协作。
适用场景：在线渗透测试实战、企业网络安全团队训练。
官网直达：链接直达
需要工具：如果是windows方式连接则需要安装openvpn工具，如果是Linux方式连接最好直接下载一个kali系统，不用太过于麻烦。

OpenVPN：OpenVPN Support Center
kali：Get Kali | Kali Linux（推荐）

Rootme

专注于逆向工程与破解挑战的网络安全平台。提供二进制逆向、密码学、权限提升等挑战（如 ELF、PE 文件分析），需拆解可执行文件或利用脚本漏洞，涵盖多架构（x86、ARM、MIPS）和编程语言（Python、Bash、PHP），挑战难度从基础到高阶，强调对汇编语言、调试工具（如 IDA、GDB）的熟练使用。
适用场景：逆向工程学习、二进制漏洞研究。

官网直达：链接直达
IDA官网工具下载：IDA Pro – Hex Rays（需要购买，也有破解版）

Tryhackme

面向初学者的结构化网络安全学习平台。提供虚拟实验室和分步学习路径（如 Web 安全、密码学），适合新手系统化学习渗透测试基础，涵盖 CTF 常见题型（Web、MISC、Crypto 等），并模拟真实场景（如银行系统入侵）支持实时社区互动和导师指导，降低学习门槛
适用场景：网络安全入门教学、CTF 竞赛准备。

官网直达：链接直达

VulnStack

VulnStack基于ATT&CK框架的红队评估模式，通过模拟企业内网环境（如域渗透、多层网络架构），覆盖漏洞利用、内网信息搜集、横向移动、权限维持等全流程，旨在提供贴近实战的训练场景
红日靶场：链接直达
真实场景模拟：包含外网Web服务、内网主机、域控服务器等多层网络结构，例如外网通过Web漏洞渗透进入内网，最终攻陷域控（
缺点：有些靶机无法正常去使用

封神台

基础漏洞的练习平台。
封神台官网：链接直达

基础学习

本地部署

SQL注入练习：GitHub - Audi-1/sqli-labs: SQLI labs to test error based, Blind boolean based, Time based.
xss练习：GitHub - do0dl3/xss-labs: xss 跨站漏洞平台
服务端请求伪造练习ssrf：GitHub - m6a-UdS/ssrf-lab: Lab for exploring SSRF vulnerabilities
web基本漏洞练习：GitHub - lxj616/DVWA-WooYun: It is a DVWA with some plugins based on real wooyun bug reports
常见的漏洞练习：GitHub - zhuifengshaonianhanlu/pikachu: 一个好玩的Web安全-漏洞测试平台
OWASP漏洞练习：bWAPP, a buggy web application!

在线

PortSwigger学院

PortSwigger 是一家专注于 网络安全技术研发与教育 的公司，成立于 2003 年，核心产品是广受欢迎的 Burp Suite 工具套件。其使命是通过提供高效的工具和资源，帮助企业提升 Web 应用程序的安全性
渗透测试：通过 Burp Suite 发现和利用 Web 应用漏洞
Web渗透测试常见的漏洞学习（推荐⭐⭐⭐⭐⭐）
官网：链接直达