本次系列文章以及下系列文章首选都会在公众号先行发布，如果你想看到最新文章，不要犹豫请关注我们。

微信id:sec-redclub

概述

• 开始web常见漏洞攻防讲解之前，我们给大家简单介绍一下我们课程靶场，其实整体来说比较简单，如果没有一个合理的学习方法，在渗透测试这块整体提高也比较慢，漏洞挖掘src是个不错选择，但是如果经验比较好，在src方面就比较吃力，那么初了src以外，就没有一种好的选择了，经过长时间培训，找到了几套不错漏洞靶场练习平台。
• PHP语言靶场选这里主要选择三个PHP靶场进行渗透测试联系，我在这里选择也主要是以培训为主，因为在实际讲解过程中需要利用不同的场景来进行讲解。

php靶场

Bwapp靶场

Bwapp是一个漏洞集成平台，是一个漏洞功能特别齐全的漏洞靶场，如果代码功底比较好，完全可以进行二次开发，加入自己喜欢模块。
Bwapp渗透测试文章：[BWAPP：一款非常好用的漏洞演示平台 e16K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3k6J5k6h3g2T1N6h3k6Q4x3X3g2U0L8$3#2Q4x3V1k6K6k6h3y4@1L8$3!0D9i4K6u0r3y4K6j5^5z5o6g2Q4x3X3g2Z5N6r3#2D9
Bwapp下载地址：b44K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6L8%4g2J5j5$3g2X3L8%4u0Y4k6g2)9J5k6h3&6W2N6q4)9J5c8Y4m8J5L8$3A6W2j5%4c8K6i4K6u0r3j5Y4N6S2M7s2m8Q4x3V1j5`.


直接进行下载即可。下载完以后我们可以进行安装。安装步骤其实也比较简单，下载源码如下图所示

主要设置几个文件即可，一个是需要修改配置文件，主要是要和你本地数据库进行连接，修改成你自己本地数据库密码，我们本次采用phpstudy集成环境进行安装靶场环境（phpstudy：6aeK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8Z5M7s2y4@1N6h3c8&6i4K6u0W2L8X3g2@1i4K6u0r3）

根据自己需求进行下载即可，你可以选择phpstudy也可以选择jspstudy下载。下载完phpstudy如下所示

主要源码都是放在WWW目录下面，然后可以进行修改bwapp源码，主要修改配置文件config.inc.php文件

然后把username、database修改成自己本地对应即可。

我这里mysql账号和密码默认都是root。设置好以后可以直接在浏览器访问安装即可。

安装完以后，出现这个页面证明安装成功。账号和密码默认是bee/bug直接可进行登录。登录成功以后就可以进行愉快测试了。

bwapp靶场安装成功。

webbug靶场安装介绍

webbug靶场其实安装步骤和bwapp安装步骤一样只是修改核心配置文件，让数据库可以成功建立即可。webbug平台1.0为测试版本，由226safe成员小小艾_Joker收集制作整理。在运用过程中大家可以自行修改源码做到自己满意的程度，如果你乐于分享，也可以给我们意见或建议，再或者，制作你的环境发给我们
下载地址：f1aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4N6W2j5Y4g2Y4i4K6u0W2L8%4u0Y4i4K6u0r3

下载好源码以后，可以直接进行测试。如果想成功测试，需要把里面每一个配置文件，都改成你本地数据库连接文件

这是我本地数据库连接文件，数据库、账号、密码都是相对应的。Test文件夹里面每一个配置文件你都需要进行更改，才可以进行测试。

安装成功以后如下图所示，也可以根据我们实际需求进行修改，增加一些内容或者是删除一些内容，作者只是把框架给我们搭建起来。

所以后续我们可以根据我们自己需求来进行更改。

xvwa靶场

xvwa靶场也是渗透测试比较常用一个案例，内容做的比较好，集成了一些其它漏洞平台，漏洞比较形象。适合初学者进行漏洞学习。
Xvwa渗透测试基础教程95bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3k6J5k6h3g2T1N6h3k6Q4x3X3g2U0L8$3#2Q4x3V1k6F1k6i4N6K6i4K6u0r3z5o6t1I4x3U0g2Q4x3X3g2Z5N6r3#2D9
Xvwa下载地址：链接：051K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8S2L8W2)9J5k6h3u0S2K9h3c8#2i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8U0q4Z5M7e0V1%4d9e0M7$3密码：jm4j
下载完成以后如下图所示

改成自己相应数据库、账号和密码

这是我本地数据库建立的数据库

如果是第一次则需要进行新建，直接进行setup即可。

安装成功以后就可以进行漏洞测试了。

dvwa靶场

dvwa靶场是一个业界用起来做案例比较多的靶场了，在这里就不详细进行介绍了。安装和前几种方法一样，修改配置文件，直接进行setup即可安装成功。
Dvwa渗透测试案例：bd4K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3k6J5k6h3g2T1N6h3k6Q4x3X3g2U0L8$3#2Q4x3V1k6Q4x3@1k6K6i4K6y4p5k6s2k6%4j5b7`.`.
Dvwa下载地址：454K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3c8$3N6$3q4Q4x3X3g2U0L8#2)9J5k6i4g2C8i4K6u0r3
下载好以后如下图

修改config文件

利用账号和密码 admin/password进行登录即可

这是安装成功界面。

zvuldrill靶场

最后介绍zvuldrill靶场，因为zvuldrill靶场看起来像一个真实网站，它没有明确和你说哪里是什么问题，让你去找相应的问题点可能出现在哪里，这个你完全可以进行二次开发，增加其它漏洞。
下载地址：85bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1j5%4x3e0m8D9k6h3!0Q4x3V1k6K9g2Y4g2D9c8s2u0A6L8r3H3`.
下载完以后如下所示

这个也需要进行相应修改，修改配置文件即可进行安装

修改完以后可以进行安装，安装成功以后如下面所示

你可以进行愉快测试，留言地方可能存在跨站也可能存在注入，所以后续文章中我们会介绍上面靶场，可能不会全部内容进行介绍，会介绍一部分，其它的需要大家进行自己挖掘。这个靶场最好一点就是每个知识点需要你平时测试网站一样，漏洞需要自己进行挖掘。每一个可能存在漏洞地方大家都不要放过。
PHP漏洞靶场就给大家介绍到这里。

Jsp靶场

那么jsp靶场也需要大家进行挖掘，那么我们也选择两个给大家进行介绍，这里选择webgoat和wavsep靶场。
如果你想利用jsp靶场，那么首先需要有一个适合自己环境，这里选择jspstudy环境来进行搭建。Jspstudy最好一点就是和phpstudy一样是集成环境，可以进行一键安装，适合新手直接使用。

jspstudy

Jspstudy下载地址：7deK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8Z5M7s2y4@1N6h3c8&6i4K6u0W2L8X3g2@1i4K6u0r3j5g2)9J5k6i4m8Z5M7q4)9J5c8U0t1I4x3g2)9J5k6h3S2@1L8h3H3`.

安装比较简单这里就不给大家进行安装，傻瓜式进行安装，根据提示安装即可。我本机安装如下显示

直接双击jspstudy运行即可。运行界面如下

运行jspstudy成功以后，我们需要编辑一下tomcat用户文件，如果默认不编辑是没有用户。我们后续需要上传这两个漏洞靶场war文件，所以提前在这里修改一下tomcat用户文件，文件夹中一种有两个，两个主要含义是版本不同，你可以根据自己需求进行选择，这里我选择第一个进行测试


这里主要增加一个管理员用户，账号和密码分别是admin/1234

<user username="admin"password="1234" roles="manager-gui"/>

然后再浏览器访问http://localhost:8080/manager/html

输入我们设置的用户名和密码即可成功登陆tomcat后台

webgoat

webgoat下载地址：992K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6i4k6h3u0s2L8$3q4@1i4K6u0r3g2$3g2T1c8$3!0S2N6q4)9J5k6p5q4J5j5$3S2A6N6X3g2V1i4K6u0V1f1X3g2D9k6h3q4K6k6i4x3`.

这里有多个版本进行选择，你也可以下载最新版本进行测试。把你下载好的war文件进行部署即可。

部署成功以后，会弹出一个对话框，来提示你输入用户名和密码，默认用户名和密码为guest/guest

wavsep靶场

wavsep靶场其实和webgoat靶场靶场一样，安装顺序基本上一样，利用tomcat进行安装。成功传上去以后需要我们进行安装，填写我们本地数据库账号和密码

然后点击发送，出现下面页面证明安装成功。

然后再次访问这个地址

出现页面就可以进行jsp网站漏洞靶场测试。除了以上测试以外也可以进行源码分析，源码分析也是按照上面地址进行下载源码，利用eclipse进行源码分析
webgoat源码分析

wavsep源码分析

下节教程主要给大家对应上面靶场进行web漏洞分析和攻击，然后会涉及一些源码审计，希望大家进行关注。